Un ataque DDoS es una de las razones más comunes por las que una web se cae sin previo aviso. Todo servidor tiene un límite de solicitudes que puede gestionar a la vez. Un ataque DDoS supera ese límite enviando un número enorme de solicitudes desde miles de dispositivos distintos al mismo tiempo, hasta que el servidor se queda sin capacidad y los visitantes reales no pueden entrar.
A diferencia de la mayoría de los otros ataques web, un ataque DDoS no intenta entrar en una web ni robarle nada. Intenta tumbarla. Entender cómo funciona deja claro por qué protegerse de él es muy distinto de otras medidas de seguridad.
DDoS son las siglas de Distributed Denial of Service (denegación de servicio distribuida). "Denegación de servicio" significa que el objetivo es dejar el sitio inutilizable. "Distribuida" significa que el ataque viene de miles de lugares distintos a la vez, no de una sola fuente. Esa dispersión es lo que lo hace difícil de detener. No puedes bloquear una dirección IP y acabar con él. Para ver qué tipos de amenazas enfrentan las webs y por qué la protección importa en todos los sitios, lee el artículo sobre por qué es importante la seguridad web.
Cómo funciona un ataque DDoS
El atacante no envía todo ese tráfico él mismo. Usa una gran red de dispositivos que han sido tomados en silencio por software dañino: ordenadores domésticos, routers, cámaras y cualquier otra cosa conectada a internet. Los dueños de esos dispositivos normalmente no saben que está ocurriendo nada.
La mecánica del ataque
- El atacante ordena a todos esos dispositivos que envíen solicitudes al sitio objetivo al mismo tiempo
- Como las solicitudes vienen de miles de ubicaciones distintas, el servidor ve un pico enorme de lo que parece tráfico real
- El servidor intenta gestionar la carga y se queda sin capacidad antes de poder seguir el ritmo
- Las solicitudes de los visitantes reales se pierden en la inundación y nunca reciben respuesta
- El sitio parece estar caído mientras dura el ataque
Qué lo hace difícil de detener
La parte distribuida de un ataque DDoS es lo que lo diferencia de una simple inundación desde una sola fuente. Si un solo dispositivo enviara todo el tráfico, bloquearlo pondría fin al ataque. Cuando intervienen miles de dispositivos, cada uno enviando poca cantidad de tráfico, bloquear uno cualquiera apenas se nota. Lo que causa el problema es el volumen total, y detenerlo exige filtrar a un nivel por encima del sitio individual.
Qué le hace un ataque DDoS a una web
El sitio se cae
Cuando el servidor se ve desbordado, deja de responder. Quien intenta cargar cualquier página recibe un mensaje de error o un tiempo de espera agotado. El sitio no está roto y no se ha borrado nada. Simplemente no puede responder a las solicitudes porque está atendiendo un volumen imposible de solicitudes falsas.
Para el propietario del sitio, esto se nota en alertas que saltan en las herramientas de monitorización, mensajes de atención al cliente que llegan y un panel inaccesible porque el servidor no responde a nada.
Los visitantes reales no pueden entrar
El servidor no distingue entre un visitante real y una de las solicitudes del ataque. Intenta atenderlas todas y acaba sin atender bien ninguna. Una persona que de verdad quiere leer una página, hacer un pedido o ponerse en contacto queda bloqueada igual que la inundación de solicitudes falsas. El sitio se queda a oscuras para todos hasta que el ataque termina o se filtra.
Cuánto duran los ataques
Algunos ataques acaban en minutos. Otros duran horas y, en casos más graves, siguen durante días. El atacante controla cuándo se detiene. Cuanto más dura, más le cuesta al propietario del sitio en tráfico perdido, pedidos que no llegan y daños al rendimiento en buscadores por una caída prolongada.
Por qué se ataca a las webs con DDoS
Ataques dirigidos
Algunos ataques DDoS apuntan a un sitio concreto. Un competidor que intenta dejar fuera de línea a un rival durante un periodo de mucho tráfico. Alguien con una queja contra una empresa o una figura pública. Una acción coordinada contra una organización de gran proyección. Estos ataques son deliberados y el objetivo se elige.
Ataques automatizados al azar
Una gran parte de los ataques DDoS no tiene nada que ver con el sitio concreto al que golpean. Las herramientas automáticas prueban sitios y atacan los que se pueden desbordar. El sitio no necesita ser un objetivo elegido. Solo necesita ser localizable y estar en un servidor que no pueda absorber la carga que genera la herramienta.
Peticiones de rescate
En algunos casos, los atacantes contactan con una empresa antes de empezar el ataque y exigen un pago para no hacerlo. Si no llega el pago, el ataque empieza. Este tipo de ataque, a veces llamado DDoS con rescate, es una amenaza real para las tiendas online y los servicios en línea, donde una caída tiene un coste económico claro e inmediato.
Cómo se protegen las webs de los ataques DDoS
Filtrado de tráfico a nivel de red
La protección DDoS más eficaz ocurre a nivel de red, antes de que el tráfico del ataque llegue al servidor de cada sitio. Los proveedores de hosting y las redes de entrega de contenido vigilan los patrones de tráfico inusuales, identifican cuándo un sitio está siendo atacado y empiezan a filtrar la inundación entrante antes de que tumbe el servidor.
Funciona porque actúa por encima del sitio individual. Un servidor que se vería desbordado atendiendo todo ese tráfico directamente, en cambio, tiene el volumen interceptado y descartado a nivel de red, antes de que llegue.
Límite de solicitudes
El límite de solicitudes (rate limiting) pone un tope al número de solicitudes que una sola fuente puede enviar en un intervalo corto. Un visitante real que carga una página envía pocas solicitudes. Una herramienta de ataque puede enviar miles desde la misma fuente en un segundo. El límite de solicitudes identifica y ralentiza o bloquea las fuentes que se comportan como ningún visitante real lo haría.
El límite de solicitudes no es una defensa completa por sí solo contra grandes ataques distribuidos, ya que estos reparten las solicitudes entre tantas fuentes que ninguna llega al límite. Pero reduce la carga de los ataques más grandes y se ocupa por completo de los intentos de inundación a menor escala.
Distribución del tráfico entre servidores
Las redes de entrega de contenido reparten el contenido del sitio entre muchos servidores en distintas ubicaciones. Cuando un ataque apunta a un sitio, el tráfico se distribuye entre todos esos servidores en lugar de golpear a uno. Un volumen de ataque que tumbaría un servidor tiene que ser lo bastante grande para desbordar a muchos a la vez y tener el mismo efecto.
Un firewall de aplicaciones web que funcione junto a una CDN añade otra capa, y filtra las solicitudes dañinas antes de que lleguen siquiera a los servidores. Para saber más sobre cómo funciona, lee el artículo sobre qué es un firewall de aplicaciones web y cómo protege tu sitio.
Qué hacer durante un ataque DDoS
- Contacta de inmediato con tu proveedor de hosting. Tiene herramientas a nivel de red que pueden detectar y filtrar el tráfico del ataque mucho más rápido que cualquier cosa que se pueda hacer desde el panel del sitio
- Anota cuándo empezó el ataque y qué estás observando. Esto ayuda al equipo de hosting a entender con qué trata y de dónde viene el tráfico
- No hagas cambios importantes en la configuración del sitio mientras el ataque está activo. Espera a que las cosas se estabilicen antes de ajustar nada
- Confirma que las copias de seguridad del sitio están intactas. Un ataque DDoS no altera ni borra contenido, pero saber que las copias están a salvo es útil
Para saber cómo configurar copias de seguridad que estén listas cuando hagan falta, lee el artículo sobre cómo hacer copias de seguridad de tu web. Para la guía completa de protección de tu sitio frente a todos los tipos comunes de ataques, lee el artículo sobre cómo proteger tu web de los hackers.
Cómo gestiona WEMASY la protección contra DDoS
El hosting de WEMASY incluye protección contra DDoS y filtrado de tráfico a nivel de red. Los ataques se detectan y se filtran antes de que lleguen a cada sitio de la plataforma. Esta protección está integrada en todos los planes y los propietarios de sitios no tienen que configurar nada.
Los sitios en WEMASY no necesitan contratar servicios de protección DDoS aparte. El filtrado a nivel de red se ocupa de las inundaciones de tráfico de gran volumen que dejarían un sitio fuera de línea en un hosting sin protección, y está activo por defecto en todos los sitios de la plataforma.
Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.
Preguntas frecuentes
¿Qué es un ataque DDoS?
Un ataque DDoS, siglas de Distributed Denial of Service, es un ataque que inunda el servidor de una web con tantas solicitudes a la vez que se queda sin capacidad y deja de responder a los visitantes reales. Las solicitudes vienen de miles de dispositivos distintos a la vez, lo que las hace difíciles de bloquear en el origen. El sitio se cae o se vuelve muy lento mientras dura el ataque. A diferencia del hackeo, un ataque DDoS no intenta acceder al sitio ni robarle nada. El objetivo es simplemente tumbarlo. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿En qué se diferencia un ataque DDoS de un hackeo?
Hackear implica encontrar la forma de saltarse la seguridad de un sitio para acceder a algo, cambiarlo o robarlo. Un ataque DDoS no hace nada de eso. Inunda el servidor con tráfico hasta que el sitio no puede responder a nadie. El contenido, los archivos y los datos del sitio no se tocan. Los visitantes reales simplemente no pueden llegar al sitio mientras dura el ataque. Los dos son amenazas, pero funcionan de formas completamente distintas y requieren tipos de protección distintos.
¿Puede una web pequeña ser objetivo de un ataque DDoS?
Sí. Una gran parte de los ataques DDoS son automatizados y no eligen sus objetivos de forma específica. Las herramientas buscan sitios que se puedan desbordar y golpean lo que encuentran. Un sitio pequeño con poca capacidad de servidor puede caerse con más facilidad que un sitio grande con más recursos para absorber tráfico. El tamaño no protege. Lo que importa son las defensas que hay a nivel de hosting y de red.
¿Cuánto dura un ataque DDoS?
Depende del atacante. Algunos ataques duran unos minutos. Otros duran horas o incluso días. El ataque continúa mientras el atacante decida mantenerlo. Con protección a nivel de red, el tráfico del ataque puede filtrarse antes de llegar al sitio, lo que significa que el sitio sigue en pie aunque el ataque esté en marcha. Sin esa protección, el sitio queda fuera de línea durante todo el tiempo que dure.
¿Qué debo hacer si mi sitio está sufriendo un ataque DDoS?
Contacta de inmediato con tu proveedor de hosting. Tiene herramientas a nivel de red que pueden detectar y filtrar el tráfico del ataque mucho más rápido que cualquier cosa disponible desde el panel del sitio. Anota cuándo empezó el ataque y lo que estás viendo. Evita hacer cambios importantes de configuración mientras el ataque está activo. Cuando las cosas se hayan estabilizado, revisa si tu plan de hosting incluye protección contra DDoS y si merece la pena poner otras medidas adicionales.
¿Mi hosting incluye protección contra DDoS?
Depende del proveedor y del plan. Algunos proveedores de hosting incluyen protección DDoS a nivel de red en todos los planes como función estándar. Otros la ofrecen como complemento o solo en los niveles superiores. Revisa la documentación de tu hosting o contacta con tu proveedor para confirmar qué está incluido. Las redes de entrega de contenido también ofrecen protección DDoS por diseño, ya que distribuir el tráfico entre muchos servidores reduce el impacto de cualquier ataque en una sola ubicación.