Protección contra DDoS y bots maliciosos: guía sencilla
Cómo un ataque DDoS y el tráfico de bots maliciosos ralentizan un sitio, qué capas de protección existen y cuánta necesita cada tipo de empresa.
Equipo de rabbitclipPublicación: 7 min. de lectura
En breve
Un ataque DDoS envía a un sitio una cantidad abrumadora de peticiones desde muchos orígenes a la vez, de modo que el servidor ya no puede responder; el objetivo no es robar datos, sino dejar fuera a los visitantes reales. El tráfico de bots maliciosos es más silencioso: software automático copia contenido, rellena formularios, prueba páginas de acceso o simplemente consume recursos del servidor. La protección no descansa en un único producto, sino en capas que filtran las peticiones antes de que lleguen al servidor: un filtro en el borde de la red, un cortafuegos de aplicaciones web, límites de peticiones y los ajustes del propio servidor.
La pregunta práctica de un propietario suele ser esta: mi sitio se ha vuelto lento o no carga, ¿es un ataque o una afluencia genuina de gente? La respuesta está en de dónde viene el tráfico y cómo se comporta. Una avalancha tras una campaña es dispersa pero se comporta como personas; un ataque suele golpear la misma página, de la misma manera, a una velocidad inusual.
Este artículo separa las dos amenazas, enumera las capas de protección y explica por qué no todas las empresas necesitan las mismas medidas.
Qué diferencia hay entre DDoS y tráfico de bots maliciosos
El DDoS es ruidoso y actúa deprisa. Llegan más peticiones de las que el servidor o su conexión de red pueden soportar, y el sitio se vuelve lento o directamente no abre. El ataque suele repartirse entre muchas máquinas, por lo que bloquear una sola dirección no sirve de nada.
El tráfico de bots maliciosos es constante y de poco volumen. Un bot rastrea su lista de precios, otro inunda el formulario de comentarios con enlaces, un tercero adivina contraseñas en el acceso de administración. Ninguno derriba el sitio en un instante, pero juntos desgastan los recursos del servidor, el presupuesto publicitario (por clics falsos) y la fiabilidad de sus estadísticas. A las dos amenazas se responde con herramientas distintas.
Cómo saber si un sitio está siendo atacado
La primera señal es una lentitud que no se corresponde con el número de visitantes. Si el sitio va lento cuando no hay rebajas ni un impulso publicitario, y los gráficos de recursos del servidor tocan el techo, la sospecha está justificada. La segunda señal son peticiones inusualmente frecuentes en los registros del servidor, desde el mismo rango de direcciones o hacia la misma página; un tráfico que alcanza picos a horas extrañas también es una pista.
Para un diagnóstico firme hay que leer los registros del servidor, algo que hemos descrito en otro lugar con lenguaje sencillo. Las señales típicas son las siguientes.
- Tráfico y lentitud repentinos sin campaña ni anuncio
- Peticiones que se acumulan en una página o en la dirección de acceso
- Mucho tráfico de países de los que no proceden sus clientes reales
- Entradas sin sentido o repetidas que llegan por los formularios
- Avisos de límite de recursos de su proveedor de alojamiento
Qué capas utiliza la protección
La primera capa es el borde de la red. Poner un servicio de protección y entrega delante del sitio absorbe la mayor parte del tráfico de ataque antes de que llegue a su servidor. Si la dirección real del servidor principal permanece oculta, un atacante no puede apuntar a ella directamente. Las ventajas de velocidad de este enfoque en el día a día son el tema de un artículo aparte.
La segunda capa está a nivel de aplicación. Un cortafuegos de aplicaciones web (WAF) corta los patrones malos conocidos y las peticiones sospechosas, mientras que un límite de peticiones restringe cuántas puede hacer una dirección en un tiempo dado. La tercera capa es el propio sitio: limitar los intentos de acceso, añadir una comprobación invisible a los formularios y guardar en caché las páginas pesadas hacen que el servidor resista mejor el mismo ataque.
Cada capa es incompleta por sí sola. Un filtro de red no corrige un fallo de la aplicación, y un WAF no detiene una inundación de red; trabajando juntos reparten el riesgo.
Qué empresa necesita qué medidas
Elija las medidas según el riesgo real del sitio. Para un pequeño sitio de presentación suelen bastar una protección básica en el borde de la red, software actualizado y un límite de intentos de acceso. Si estar fuera de línea no le cuesta ningún ingreso directo, una instalación cara y complicada es desproporcionada.
Las tiendas, los sistemas de reservas y los sitios que cobran pagos son distintos: cada hora fuera de línea son ventas perdidas y confianza perdida. Para estos conviene considerar juntos un WAF, límites de peticiones, la gestión de bots maliciosos y un plan de contacto para el momento de un ataque. También tiene sentido probar la carga y la resistencia antes de un periodo de campaña.
Cuándo comprar protección es una mala elección
Hay casos en que comprar protección no es la respuesta. Si el problema no es un ataque sino un alojamiento débil (un sitio que toca el límite de recursos en un servidor compartido, por ejemplo), un servicio de protección no lo resolverá; la solución real es una infraestructura mayor o un sitio más ligero. Primero diagnostique si el tráfico es realmente un ataque.
Del mismo modo, confiar en una lista de bloqueo y decir «hemos dejado fuera a todos los bots» es un error. Los rastreadores de los buscadores y los servicios de pago o de monitorización también son bots, y bloquearlos todos puede sacar su sitio de los resultados de búsqueda. El objetivo no es destruir bots, sino distinguir los malos de los buenos.
Qué errores son habituales
El error más común es buscar protección cuando el ataque ya ha empezado. Cambiar el DNS y montar un servicio nuevo en mitad de un incidente lleva tiempo y añade el riesgo de nuevos errores. Poner antes una protección sencilla en el borde supone mucho menos trabajo que hacerlo en plena crisis.
Otro error es dejar expuesta la dirección real del servidor principal; incluso con un servicio de protección, un atacante puede encontrar la dirección a través de otro registro y golpear directamente. Entre los errores frecuentes están estos.
- Montar la protección pero dejar expuestas la dirección real del servidor o registros antiguos
- No poner límite de intentos ni segunda verificación en la página de acceso
- Suponer que el archivo robots detendrá a los bots maliciosos; solo se dirige a los bots que eligen obedecerlo
- No decidir de antemano quién hace qué durante un ataque
- No actualizar el software ni los plugins; los ataques suelen aprovechar un fallo conocido
Qué hacer durante un ataque
Primero mantenga la calma y averigüe qué está afectado: ¿todo el sitio, una sola página, solo el acceso? Después contacte con su proveedor de alojamiento y con el servicio de protección, si lo hay; muchos proveedores pueden añadir medidas para filtrar el tráfico durante un ataque. Mantener esa conversación de antemano y no en plena crisis supone una gran diferencia.
Después del ataque, revise los registros: qué página fue el objetivo, qué debilidad se aprovechó, qué medida funcionó. Ese conocimiento marca la siguiente configuración. Para echar un vistazo rápido a la seguridad general de su sitio, puede usar nuestra herramienta de comprobación de seguridad y SSL.
La protección contra DDoS y tráfico de bots maliciosos no es una sola herramienta, sino capas montadas en el borde de la red, en la aplicación y en el sitio; cuánta necesita depende de lo que costaría estar fuera de línea. A un pequeño sitio de presentación le basta una protección básica, mientras que un sitio que genera ingresos necesita un montaje por capas y planificado. Si desea evaluar junto con nosotros el riesgo real de su sitio, rabbitclip le propondrá con gusto una conversación inicial, sin prisas.
Preguntas frecuentes
¿Roba datos un ataque DDoS?
Normalmente no; su objetivo es dejar el sitio inaccesible. A veces, sin embargo, un ataque se usa como distracción, así que conviene comprobar cualquier otra debilidad durante y después de un incidente.
¿Por qué iban a atacar a un sitio pequeño?
Los atacantes a menudo no eligen un sitio concreto; el software automático rastrea los sitios abiertos y vulnerables. Por eso todo sitio necesita software actualizado y una capa básica de protección.
¿Es correcto bloquear todos los bots?
No. Los rastreadores de los buscadores y algunos servicios de monitorización también son bots, y bloquearlos perjudica la visibilidad del sitio en las búsquedas. El objetivo es separar los bots maliciosos de los que se comportan bien.
¿No me protege ya mi proveedor de alojamiento?
Algunos proveedores ofrecen una protección básica a nivel de red, pero el alcance difiere. Lo más seguro es preguntar por escrito a su proveedor qué tipos de ataque cubre y hasta qué tamaño.
¿Bloqueará un límite de peticiones a clientes reales?
No si el umbral es sensato. Se fija por encima del uso normal de un visitante genuino pero por debajo de la velocidad de un ataque, y se ajusta durante las primeras semanas observando los registros.
