«Anti-DDoS incluido» aparece en casi todas las páginas de alojamiento. La fórmula es vaga y cubre realidades muy distintas. Esto es lo que conviene entender para saber qué estás comprando.
Qué es un ataque de denegación de servicio
Un ataque DDoS busca dejar un servicio inaccesible saturándolo. Hay dos familias que casi no tienen nada en común.
Los ataques volumétricos ahogan el enlace de red bajo una avalancha de paquetes. Se miden en gigabits por segundo. No explotan ninguna vulnerabilidad: simplemente llenan la tubería. Un servidor tras un enlace de 1 Gb/s cae ante 10 Gb/s de tráfico, sea cual sea su software.
Los ataques de aplicación son mucho más discretos. Unos miles de peticiones HTTP aparentemente legítimas dirigidas a la página más costosa bastan para saturar la base de datos. El volumen es bajo; el servicio cae igualmente.
Qué hace un filtrado de red
El filtrado Anti-DDoS actúa aguas arriba, en la red del centro de datos, antes de que el tráfico llegue a tu servidor. Los equipos analizan los flujos y descartan lo que no parece tráfico legítimo: amplificación DNS o NTP, inundaciones SYN, paquetes malformados.
Es muy eficaz contra lo volumétrico, y es lo que más cuenta en un servidor de juego: esos ataques buscan cortar la partida, no robar datos.
Lo que ningún filtrado hará por ti
Conviene decirlo con claridad:
- Un ataque de aplicación dirigido se parece al tráfico normal. El filtrado de red lo deja pasar; la limitación de peticiones, la caché y las protecciones del lado de la aplicación son cosa tuya.
- Una contraseña débil no es un problema de DDoS. La mayoría de servidores comprometidos lo son por un acceso mal protegido, no por saturación.
- Un plugin vulnerable sigue siendo vulnerable, protegido o no.
- Un ataque interno — un jugador que abusa de un comando costoso — no se ve desde la red.
Buenas prácticas complementarias
- No publiques la IP de tu máquina. Para un sitio web, pon delante un servicio que oculte el origen. Una IP conocida es un objetivo más fácil.
- Limita la tasa en la aplicación. En una API o un formulario, unas pocas peticiones por minuto y dirección casi siempre bastan.
- Usa caché. Una página servida desde caché cuesta mil veces menos que una recalculada.
- Supervisa. Un ataque detectado en diez minutos se gestiona mucho mejor que uno descubierto al día siguiente.
Qué preguntar a un proveedor
Tres preguntas sencillas:
- ¿El filtrado está siempre activo o se activa bajo demanda?
- ¿Hay un límite de capacidad? ¿Cuál?
- ¿Qué pasa si mi servicio sufre ataques repetidos: estoy protegido o me suspenden?
La última es la más reveladora. Algunos proveedores cortan al cliente atacado para proteger a los demás. Es una política defendible, pero debe anunciarse antes de contratar, no descubrirse durante el incidente.
Nuestra página de estado publica de forma continua la disponibilidad de cada pieza de la infraestructura.