1. Introducción
La protección DDoS para empresas suele tratarse como un problema de «ancho de banda», y esa simplificación es la causa de que tantas web caigan cada año. Un ataque de denegación de servicio distribuido no es un problema de red: es un problema de diseño, de proveedor y de respuesta. Mientras tanto, las cifras no dejan de crecer: Cloudflare mitigó 21,3 millones de ataques DDoS en 2024, un 53 % más que el año anterior, y el récord histórico se marcó en Halloween de 2024 con 5,6 Tbps generados por unos 13.000 dispositivos IoT Mirai.
En este artículo recorremos la protección DDoS de principio a fin con el capítulo de denegación de servicio del libro del autor «Protocolos y procedimientos prácticos de ciberseguridad» (Confemetal, 2026): los vectores por capa OSI, la amplificación, quién te ataca, el ransom DDoS, la mitigación en la nube con WAF y bot management, y el runbook de respuesta con sus obligaciones de notificación según NIS2.
El objetivo es que tu empresa sepa si necesita protección, dónde ponerla antes de que el ataque ocurra y qué hacer durante las primeras horas de indisponibilidad.
2. Qué es un DDoS y por qué filtrar IP por IP es una batalla perdida
La diferencia entre DoS y DDoS es una cuestión de escala. En un DoS, una sola fuente satura el servicio y basta bloquear su IP. En un DDoS, miles de dispositivos comprometidos — una botnet — golpean al mismo tiempo; filtrar IP por IP contra una botnet es perder la batalla antes de empezar. La analogía del libro es precisa: es la diferencia entre una persona y 50.000 personas intentando pasar por la misma puerta giratoria.
El origen de las botnets modernas está documentado: Mirai, cuyo código se publicó en septiembre de 2016, convirtió cámaras, DVR y routers con credenciales por defecto (admin/admin, sin actualizaciones, con UPnP abierto) en un ejército de dispositivos; sus récords fueron 1,1 Tbps contra OVH y unos 1,2 Tbps contra Dyn DNS, que tumbó Twitter, GitHub, Spotify y Netflix. Sus variantes — Mozi, Meris, RapperBot, Aisuru — siguen activas. El resultado es un recurso de ataque barato, siempre disponible y difícil de apagar.
3. Los vectores: cada capa OSI tiene su método
Un ataque no es «un ataque»: el capítulo clasifica los vectores por el nivel de red que explotan, y la defensa cambia según la capa. La tabla resume el mapa:
| Capa | Tipo de ataque | Ejemplos |
|---|---|---|
| L3-L4 volumétrico | Saturar el enlace y el stack | UDP flood, ICMP flood, SYN flood |
| Amplificación/reflexión | Multiplicar el tráfico usando terceros | DNS, NTP, Memcached (hasta 51.000x), SSDP, CLDAP |
| Protocolo | Explotar fallos del protocolo | Smurf, Ping of Death, Teardrop |
| L7 aplicación | Agotar recursos del aplicativo | GET/POST flood con bots, Slowloris, Slow POST |
| L7 lógico | Abusar de endpoints costosos | Informes, exportaciones, búsquedas, recálculo de cestas |
Fig. 1 – Clasificación de vectores DDoS por capa OSI según el capítulo 5 del libro «Protocolos y procedimientos prácticos de ciberseguridad».
Los ataques de aplicación merecen doble atención porque no necesitan grandes volúmenes: unas pocas decenas de peticiones a un endpoint costoso (un generador de informes, una búsqueda pesada) pueden tumbar un servicio con apenas 1 Gbps. Es la línea más descuidada de la defensa porque exige trabajar sobre el código, no solo sobre el ancho de banda.
4. La amplificación: el multiplicador del cibercriminal
La amplificación es el truco que convierte unos pocos servidores en una avalancha: el atacante envía una petición pequeña con la dirección de origen falsificada (spoofing) a un servidor que responde con mucho más tráfico del recibido. Los casos extremos del libro: Memcached alcanza factores de amplificación de hasta 51.000 veces, y NTP y DNS se sitúan en órdenes menores pero igualmente devastadores. Con pocos miles de dispositivos y protocolos amplificables se alcanzan los Tbps que baten récords.
La defensa pasiva es sencilla y casi gratis: deshabilitar los servicios amplificables en tu propia infraestructura, mantener los DNS con rate limiting y nunca exponer Memcached, NTP abiertos o SSDP a Internet. Cada servicio amplificable que no existe ya no es un multiplicador para nadie; por eso el endurecimiento de DNS (con proveedores como Cloudflare DNS, AWS Route 53 o Azure DNS) forma parte de cualquier plan serio.
5. ¿Quién te ataca y por qué?
Saber quién golpea tu puerta orienta la defensa. El libro distribuye las motivaciones con datos: alrededor del 40 % de los ataques provienen de competidores (muy habitual en juego online, apuestas, ecommerce en fechas como el Black Friday y cripto), el 17 % de actores estatales (grupos como NoName057(16), Killnet o Anonymous Sudan) y otro ~17 % de descontentos que contratan servicios booter o stresser por pocos euros. El resto lo completan hacktivistas y, cada vez más, extorsionadores.
Ese último grupo es el de mayor crecimiento en temporadas comerciales: el ransom DDoS. El grupo envía una nota exigiendo un pago para no interrumpir el servicio, a veces con un ataque de demostración de unos minutos. La recomendación del libro es contundente: no pagar. Pagar no garantiza nada, financia a la criminalidad y marca a la empresa como pagadora en el registro informal de los grupos, lo que garantiza rondas futuras. Se absorbe e ignora el ataque de demostración, se refuerza la mitigación y se denuncia la extorsión a las autoridades.
6. La protección: mitigación cloud, WAF y bot management
El pilar de la protección DDoS para empresas es la mitigación cloud de tipo scrubbing: el tráfico se desvía a una red en la nube que lo limpia antes de enviarlo al origen. Proveedores como Cloudflare (red anycast con capacidad superior a 500 Tbps y más de 330 ciudades), AWS Shield Advanced, Akamai Prolexic, Azure DDoS, Imperva, Radware o F5 Distributed Cloud marcan la diferencia entre absorber o caer. Los modelos de despliegue son tres: always-on (proxy permanente), on-demand (desvío por DNS o BGP con una ventana de minutos) e híbrido, que es el más habitual en producción.
La protección DDoS no termina en el tráfico de red: la capa 7 exige WAF con funcionalidad anti-DDoS (rate limiting, challenges de JavaScript, CAPTCHA, geobloqueo y filtrado por ASN) y bot management con fingerprinting TLS/HTTP y reputación de ASN. Productos como Cloudflare WAF, AWS WAF, Imperva o F5, y de bot management como Cloudflare Bot Management, Akamai Bot Manager, DataDome o HUMAN, forman parte de la misma solución. Y no hay que olvidar el endurecimiento propio: ocultar la IP de origen (ACL del proveedor o túneles tipo Argo Tunnel), sobreaprovisionar los enlaces y desactivar los protocolos amplificables del stack TCP (SYN cookies) son medidas de coste bajo y efecto alto.
Un ejemplo de endurecimiento y comprobación:
# Comprobaciones básicas de preparación ante DDoS
# 1. ¿El DNS está tras un proveedor con mitigación?
dig +short www.tudominio.com | head
# 2. ¿Hay servicios amplificables expuestos?
nmap -sU -p 161,1900,11211,123 --script broadcast-* tu-origen.example
# 3. ¿El origen filtra solo tráfico del proxy de mitigación?
iptables -A INPUT -p tcp --dport 443 -s RANGO_PROXY -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP
Fig. 2 – Comandos de preparación para un plan de mitigación DDoS, inspirados en el capítulo 5 del libro.
Por último, el diseño defensivo del aplicativo: endpoints costosos con autenticación y rate limiting, paginación en consultas pesadas y circuit breakers para descargar servicios saturables. Corregir esos tres puntos elimina el atractivo del ataque lógico de capa 7, que atraviesa con más facilidad a empresas con buena mitigación de red pero código frágil.
7. Qué hacer durante el ataque
La respuesta empieza antes del ataque: un runbook documentado y ensayado. El triaje responde a tres preguntas: ¿es DDoS o un problema interno?, ¿qué capa se está atacando?, ¿qué servicios están afectados? Con eso decidido, la mitigación activa sigue un orden: desvío del tráfico al scrubbing, rate limiting agresivo — la pregunta operativa del libro es «¿servicio degradado para todos o caído para todos?» —, challenges masivos, geobloqueo temporal y filtrado upstream con el ISP mediante BGP FlowSpec o blackhole. Un comité de crisis con responsables de comunicación y negocio cierra el círculo, porque una web caída es también un problema de reputación.
# Triaje inicial de un incidente DDoS
1. ¿DDoS o interno? -> Revisar CPU, disco y proceso en el origen
2. ¿Qué capa? -> Tráfico entrante: analizar protocolo y destino
3. ¿Qué servicios? -> Listar afección: web, API, correo, DNS
Fig. 3 – Las tres preguntas del triaje de incidentes DDoS según el capítulo 5 del libro.
Las obligaciones legales completan la respuesta: en España son aplicables los artículos 264 y siguientes del Código Penal contra quien provocase el ataque, y si la indisponibilidad afecta a servicios esenciales, la directiva NIS2 exige notificar al CSIRT en 24 horas con el informe completo a las 72. La denuncia ante la policía con los logs del ataque suele ser el primer paso documental.
8. Después del ataque: medir, revisar y practicar
Terminado el incidente, el post mortem según NIST SP 800-61 debe responder con métricas: tiempo hasta la absorción total, volumen dirigido al origen y endpoints afectados. Conviene revisar el contrato del proveedor de mitigación (cobertura incluida y cargos extraordinarios, una factura inesperada tras un ataque masivo es un clásico) y reforzar el aplicativo si el ataque fue de capa 7. Finalmente, se practica: pruebas de carga legítima con Locust, k6 o JMeter, y simulaciones DDoS con el proveedor bajo contrato autorizado, para que el runbook no sea un documento sino un reflejo. Aquí puedes ver cómo un buen SIEM ayuda en la detección temprana de estos y otros incidentes: implementación de un SOC sobre SIEM, y cómo planificar auditorías técnicas y pruebas planificadas para validar tu protección DDoS.
9. Conclusión
La protección DDoS para empresas ya no es una opción de las grandes corporaciones: con 21,3 millones de ataques mitigados solo en 2024 y récords de 5,6 Tbps, cualquier negocio con ventas online, APIs o reputación que cuidar es un objetivo. La fórmula del libro es clara y está al alcance de un presupuesto medio: mitigación cloud con scrubbing, WAF y bot management para la capa 7, endurecimiento propio del DNS y los protocolos amplificables, diseño defensivo del aplicativo y un runbook ensayado con notificación NIS2 incluida. Quien prepare esas cuatro piezas antes del ataque no caerá; quien las improvise durante, probablemente sí.
¿Necesitas ayuda con Protección DDoS empresas?
En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.
Contacta con nosotros para una evaluación gratuita de tu infraestructura.