Cómo funciona la defensa contra ataques DDoS

La defensa moderna contra DDoS requiere protección en múltiples capas simultáneamente.

¿Por qué una defensa multicapa?

Los atacantes utilizan ataques multivectoriales que combinan diferentes tipos de amenazas. Las defensas de una sola capa fallan porque:

• Los ataques volumétricos saturan el ancho de banda de la red
• Los ataques de protocolo agotan los recursos de conexión
• Los ataques a aplicaciones se dirigen a vulnerabilidades específicas
• Todos pueden ocurrir simultáneamente

Solución: Defensa en profundidad con múltiples capas de protección.

Capa 1: Protección en el borde de la red

Qué protege: La infraestructura de red y el ancho de banda

‍

Mecanismos de defensa:

• Limitación de tasa: Limita el volumen de tráfico por origen/destino
• Bloqueo geográfico: Bloquea el tráfico de regiones específicas (cuando es apropiado)
• Filtrado por reputación de IP: Bloquea fuentes maliciosas conocidas
• Filtrado de paquetes: Descarta paquetes con características no válidas

Gestiona:

• Ataques de inundación UDP
• Ataques de inundación ICMP
• Ataques volumétricos de gran escala
• Ataques básicos de amplificación

Capa 2: Protección de protocolos

Qué protege: Dispositivos de red, firewalls, balanceadores de carga

‍

Mecanismos de defensa:

• SYN Cookies: Previene ataques de inundación SYN
• Limitación de tasa de conexiones: Controla la tasa de nuevas conexiones
• Gestión de tablas de estado: Previene el agotamiento de recursos
• Validación de protocolos: Rechaza paquetes malformados

Gestiona:

• Inundaciones SYN
• Inundaciones ACK
• Ataques de fragmentación
• Agotamiento de estado TCP
• Explotación de protocolos

Capa 3: Protección de aplicaciones

Qué protege: Servidores web, API, aplicaciones

‍

Mecanismos de defensa:

• Filtrado HTTP/HTTPS: Analiza patrones de solicitud
• Limitación de tasa por usuario/sesión: Previene el abuso individual
• Desafío-respuesta: CAPTCHA, desafíos de JavaScript
• Análisis de comportamiento: Identifica el comportamiento de bots frente al humano
• WAF (Firewall de aplicaciones web): Protege contra el OWASP Top 10

Gestiona:

• Inundaciones HTTP/HTTPS
• Ataques Slowloris
• Abuso de API
• Explotaciones específicas de aplicaciones
• Ataques de baja intensidad (low-and-slow)

Capa 4: Protección DNS

Qué protege: Infraestructura DNS

‍

Mecanismos de defensa:

• Limitación de tasa de consultas: Previene inundaciones DNS
• Limitación de tasa de respuesta: Controla la amplificación
• Filtrado NXDOMAIN: Bloquea consultas de dominios inexistentes
• Distribución Anycast: Distribuye la carga geográficamente
• Validación DNSSEC: Garantiza la autenticidad de la respuesta

Gestiona:

• Inundaciones de consultas DNS
• Ataques NXDOMAIN
• Amplificación DNS
• Ataques de subdominios aleatorios
• Ataques de dominios fantasma

Capas de defensa trabajando en conjunto

Ejemplo de ataque multivectorial:

• Inundación UDP volumétrica (100 Gbps)
  
  • Capa 1: La limitación de tasa reduce el tráfico a niveles manejables
• Inundación SYN (10M paquetes/seg)
  
  • Capa 2: Las cookies SYN previenen el agotamiento de conexiones
• Inundación HTTP (100K solicitudes/seg)
  
  • Capa 3: El análisis conductual identifica y bloquea bots

Resultado: Los tres ataques fueron mitigados simultáneamente mediante una defensa coordinada de múltiples capas.

‍

Conclusión clave: La defensa de múltiples capas es fundamental. Ninguna capa por sí sola puede proteger contra los ataques modernos de múltiples vectores.

‍