# Ataques de amplificación DNS: cómo los atacantes convierten los resolvers en armas

> Los resolvers DNS abiertos pueden amplificar el tráfico 70x. Aún hay millones accesibles en internet — lo que hace del DNS uno de los vectores DDoS más explotados hoy.

- Category: Análisis de ataques
- Author: Equipo Akarguard, Ingeniería de Seguridad
- Published: Jan 28, 2025
- Canonical: https://akarguard.net/es/blog/ataque-de-amplificacion-dns

---

La amplificación DNS es un ataque de reflexión: el atacante falsifica la IP de la víctima y envía pequeñas consultas DNS a resolvers abiertos. El resolver envía una respuesta DNS grande — a veces 70 veces mayor — directamente a la víctima. Multiplícalo por 100.000 resolvers abiertos y tienes un ataque a escala de terabits.

## La aritmética de la amplificación

> **Aritmética del ataque** — Una consulta DNS de 40 bytes para una zona grande firmada con DNSSEC puede producir una respuesta de 4.096 bytes — un factor de amplificación de 100x. Con 50.000 resolvers abiertos enviando a la vez, un atacante de 1 Gbps genera 100 Gbps de tráfico entrante en la víctima.

## Por qué siguen existiendo resolvers abiertos

- Routers domésticos y equipos de ISP mal configurados.
- Servidores DNS antiguos dejados abiertos por 'comodidad'.
- Instancias en la nube lanzadas sin reglas de firewall.
- Se estiman más de 5 millones de resolvers abiertos aún accesibles en 2025.

## Lo que ve el objetivo

Todo el tráfico parece venir de servidores DNS legítimos — IPs imposibles de poner en lista negra globalmente. El límite de tasa estándar y las listas de bloqueo por IP fallan. Solo una capa de filtrado capaz de distinguir respuestas DNS legítimas del tráfico de reflexión puede detener el ataque de forma eficaz.

## Dónde ayuda Akarguard y dónde no

- La amplificación DNS es una avalancha de capa de red (L3/L4); el tráfico UDP/53 en bruto debe descartarse aguas arriba, en la red de tu host o proveedor de tránsito — no por un proxy inverso HTTP.
- Pregunta a tu proveedor si aplica validación de dirección de origen BCP38 y puede filtrar la reflexión UDP en el borde de su red.
- Tras Akarguard tu IP de origen está oculta, así que una avalancha dirigida a tu servidor no tiene objetivo directo.
- Akarguard filtra los ataques de capa de aplicación (L7) que llegan a tu sitio; no es un scrubber volumétrico de UDP ni pretende serlo.

---

Source: Akarguard Security Blog (https://akarguard.net/es/blog). Akarguard provides DDoS protection: traffic is proxied through our edge, attack traffic is filtered, and clean traffic reaches your origin. Reuse of this article with attribution and a link to the canonical URL is permitted.