¿Qué es la protección DDoS?

• Volumétrico (inundaciones L3/L4). Saturación de ancho de banda puro: inundaciones UDP, amplificación DNS/NTP, los clásicos de botnets estilo Mirai. Se mide en gigabits — los ataques modernos superan rutinariamente los 100 Gbps, muy por encima del enlace de subida de cualquier servidor individual. Solo la capacidad de depuración en sentido ascendente puede responder a esto.
• Ataques de protocolo. Agotamiento del estado de conexión en lugar de ancho de banda: inundaciones SYN, trucos con paquetes fragmentados, agotamiento de la tabla de conexiones. Menores en volumen, más letales por paquete; filtrados por inspección con estado en el borde.
• Capa de aplicación (L7). Inundaciones de peticiones HTTP de aspecto legítimo dirigidas a endpoints costosos — páginas de búsqueda, formularios de inicio de sesión, llamadas a la API. Las más difíciles de filtrar genéricamente porque cada petición parece un usuario real; mitigadas por limitación de velocidad, desafíos y caché en el borde de la aplicación.

Una pila de protección real aborda las tres; “DDoS protegido” que solo significa una ACL de router no aborda ninguna.

El pipeline es detección → desvío → depuración → reinyección. La telemetría de flujo (NetFlow/sFlow) observa la IP de cada cliente en busca de anomalías — una línea de base de tráfico de repente multiplicada, una mezcla de protocolos que coincide con una firma de ataque conocida. En segundos, el prefijo objetivo se desvía a la capacidad de depuración: hardware de filtrado que descarta fuentes falsificadas, limita las tasas de flujo, valida el comportamiento del protocolo y deja pasar lo que queda. El tráfico limpio vuelve a entrar en la red hacia tu servidor, que en su mayor parte no nota nada. Los dos números que importan son el tiempo hasta la mitigación (segundos frente a minutos decide si los jugadores/usuarios lo notan) y el margen de depuración (un depurador de 10 Gbps ante una inundación de 400 Gbps es decorativo). “Siempre activo” significa que el tráfico se analiza permanentemente de forma inline en lugar de desviarse solo tras el daño; para las cargas de trabajo propensas a ataques, esa diferencia es el producto.

La protección incluida (la nuestra también) cubre las capas de red: absorción volumétrica y filtrado de protocolo a escala de varios cientos de gigabits, siempre activa, sin cargo adicional, en todas las ubicaciones. Lo que ningún filtro de nivel de red puede cubrir completamente es la eficiencia de tu propia aplicación: si una única petición HTTP barata hace que tu aplicación ejecute una consulta de base de datos de cinco segundos, un atacante solo necesita unos pocos cientos de peticiones por segundo — indistinguibles de los usuarios — para hacerte daño. La resiliencia L7 es un trabajo compartido: el proveedor filtra las inundaciones; tú cacheas agresivamente, limitas la velocidad en los endpoints costosos y (si quieres páginas de desafío) te pones delante con una CDN. Los proveedores honestos dicen esto; desconfía de los que prometen “inhackeable”.

Hay un patrón feo en el alojamiento convencional: recibe un ataque, te suspenden. La política DDoS real de muchos proveedores económicos es hacer null-route a la víctima — tu IP queda oscura hasta que el ataque para, lo que significa que el atacante gana de forma instantánea y repetible. Las redes con mitigación seria y una cultura de no castigar a las víctimas se encuentran de forma desproporcionada en el rincón offshore/tolerante a DDoS del mercado — Rumanía es famosa exactamente por esto. Nuestra política es la sensata: ser atacado no es una infracción, la mitigación se activa automáticamente y nadie recibe null-route por ser víctima. (Lanzar ataques, por supuesto, está en el otro lado de la AUP.)