Un ataque DDoS de amplificación es un tipo de ataque de reflexión en el que pequeñas peticiones con dirección de origen falsificada hacen que servidores de terceros envíen respuestas mucho mayores a la víctima.
Cómo funcionan los ataques de amplificación
El atacante envía consultas por UDP —que no verifica al remitente— a miles de servidores accesibles públicamente, falsificando como origen la dirección IP de la víctima (spoofing). Los servidores responden a la víctima, y cada respuesta es muchas veces mayor que la petición. Esa proporción se llama factor de amplificación. Protocolos que se abusan con frecuencia:
- DNS: resolutores abiertos que responden a consultas grandes, como ANY o registros DNSSEC;
- NTP: el antiguo comando
monlist, con factores de varios cientos; - Memcached: servidores de caché expuestos, con factores de decenas de miles;
- SSDP, CLDAP, SNMP, CharGEN y algunos servicios de VPN y juegos basados en UDP.
Por qué es importante
La amplificación permite que una pequeña botnet o un único servidor alquilado genere inundaciones de tráfico de cientos de gigabits por segundo y oculta al atacante tras reflectores inocentes. En febrero de 2018, GitHub sufrió un ataque de 1,35 Tbps con servidores memcached expuestos, un récord en aquel momento. La amplificación sigue siendo un recurso habitual de los ataques DDoS que venden los servicios «booter» y «stresser», junto con las inundaciones de botnets.
Cómo defenderse
- Los operadores de red deben bloquear el tráfico falsificado con filtrado de entrada (BCP 38, RFC 2827).
- No exponer a internet resolutores DNS, NTP, memcached ni SNMP; desactivar comandos heredados y aplicar limitación de tasa de respuesta.
- Usar servicios de limpieza de tráfico DDoS o una CDN con capacidad suficiente para absorber inundaciones volumétricas.
- Preparar con el proveedor de internet un plan de incidentes que incluya el filtrado aguas arriba de los puertos abusados.
