¿Qué es la protección DDoS y cómo funciona?

Un ataque DDoS (denegación de servicio distribuida) intenta dejar un servicio fuera de línea inundándolo con más tráfico del que puede manejar. Así funcionan estos ataques, qué hace la protección DDoS y qué no puede hacer.

Los tres tipos de ataque

• Los ataques volumétricos llenan la propia tubería de red con basura, medida en gigabits por segundo. Ejemplos son las inundaciones UDP y la amplificación de DNS o NTP.
• Los ataques de protocolo abusan de cómo funcionan las conexiones, como las inundaciones SYN que agotan la tabla de conexiones del servidor.
• Los ataques de capa de aplicación envían muchas peticiones de apariencia legítima, como miles de búsquedas o inicios de sesión por segundo, para agotar la CPU y las bases de datos.

En términos de red, los dos primeros son ataques de capa 3 y 4 (L3/L4) y el último es de capa 7 (L7).

Cómo funciona la protección a nivel de red

1. El tráfico hacia tu dirección IP pasa primero por el hardware de filtrado del proveedor.
2. El sistema aprende cómo es el tráfico normal y señala las anomalías.
3. Los paquetes maliciosos, como los de origen falsificado o los malformados, se descartan antes de llegar a tu servidor.
4. El tráfico limpio continúa con normalidad, normalmente sin retraso visible.

Cada VPS de nuestra plataforma incluye protección L3/L4, que cubre los ataques volumétricos y de protocolo que causan la mayoría de las caídas.

Lo que la protección L3/L4 no detiene

Las inundaciones de capa 7 parecen visitantes reales, así que los filtros de red no siempre pueden distinguirlas. Las gestionas a nivel de aplicación:

• Pon una CDN o un proxy inverso delante de los sitios web y usa la caché de forma agresiva.
• Usa limitación de tasa en Nginx (limit_req_zone) para las páginas de login y de búsqueda.
• Usa fail2ban para bloquear a los reincidentes.
• Sirve páginas estáticas donde puedas; casi no cuesta nada entregarlas.

Reduce tu exposición

• Mantén privada la IP de tu origen si usas una CDN, y no la filtres en el historial de DNS ni en las cabeceras de correo.
• Cierra todos los puertos que no uses.
• Mantén el software actualizado para que los atacantes no puedan usar un pequeño fallo para hacerlo caer.
• Monitoriza el uso de recursos para notar los problemas pronto.

Qué hacer durante un ataque

1. Confirma que es un ataque: revisa los gráficos de ancho de banda y ss -s para ver el número de conexiones.
2. Contacta con el soporte de tu host para que ajusten el filtrado.
3. Activa límites de tasa o pon el sitio detrás de un proxy.
4. No pagues las exigencias de extorsión. El pago no detiene los ataques repetidos.