Todos los artículosTécnico

Ataques de reflexión y amplificación: la guía técnica completa

Equipo Akarguard · Ingeniería de Seguridad8 min de lecturaDec 12, 2023

Los ataques de reflexión usan servidores de terceros como amplificadores involuntarios. Entendemos la mecánica — y la mitigación — en todos los protocolos principales.

Los ataques de reflexión y amplificación son una clase de DDoS en la que el atacante explota el comportamiento de un protocolo para generar tráfico masivamente desproporcionado hacia un objetivo — usando servidores de terceros completamente ajenos al ataque. No requieren botnet ni ancho de banda sostenido: un atacante modesto puede generar terabits desde una conexión doméstica.

El mecanismo básico

Ambos componentes trabajan juntos. La reflexión hace que el tráfico parezca venir de un servidor legítimo, no del atacante. La amplificación hace que la respuesta sea mucho mayor que la petición — a veces miles de veces. Juntos, dan al atacante un enorme apalancamiento con recursos mínimos.

Principales protocolos de reflexión/amplificación

  • DNS (UDP/53): amplificación 28–54x. Ampliamente explotado.
  • NTP (UDP/123): hasta 556x mediante el comando MONLIST. Antiguo pero aún en uso.
  • Memcached (UDP/11211): hasta 51.000x. El mayor factor de amplificación conocido.
  • SSDP (UDP/1900): 30x. Usado en ataques basados en Mirai.
  • CLDAP (UDP/389): 56–70x. Apunta a servicios LDAP de Windows.
  • WS-Discovery (UDP/3702): 300–500x. Vector más reciente que apunta a IoT.

Por qué la falsificación de IP lo hace posible

Todos los ataques de reflexión dependen de la falsificación de la dirección de origen UDP. El atacante envía un paquete simulando venir de la IP de la víctima; el amplificador envía su gran respuesta a esa IP. Las redes que implementan filtrado de entrada BCP38 bloquean los paquetes falsificados — pero una fracción significativa de las redes de internet no lo hace.

Mitigación en la capa del proxy

La amplificación es una avalancha de capa de red (L3/L4), así que se detiene aguas arriba — en la red de tu host o proveedor de tránsito, idealmente con validación de dirección de origen BCP38. Akarguard es un proxy inverso L7: no hace scrubbing de UDP, pero al ocultar tu IP de origen elimina el objetivo directo, así que la avalancha reflejada no tiene dónde caer y tu servidor sigue atendiendo a usuarios legítimos.

Preguntas frecuentes

¿Qué es un ataque de reflexión y amplificación?

Un tipo de DDoS en el que el atacante abusa de servidores de terceros ajenos al ataque para generar tráfico desproporcionado hacia un objetivo. La reflexión hace que el tráfico parezca venir de un servidor legítimo; la amplificación hace la respuesta mucho mayor que la petición. No requiere botnet.

¿Qué protocolos se usan en la reflexión?

Los más comunes: DNS (28–54x), NTP (hasta 556x), Memcached (hasta 51.000x — el mayor conocido), SSDP (30x), CLDAP (56–70x) y WS-Discovery (300–500x). Todos son servicios UDP sin autenticación.

¿Por qué la falsificación de IP hace posibles estos ataques?

Porque el atacante envía un paquete simulando venir de la IP de la víctima y el amplificador manda su gran respuesta a esa dirección. Las redes con filtrado de entrada BCP38 bloquean los paquetes de origen falsificado, pero una parte significativa de internet no lo aplica.

¿Un proxy inverso detiene los ataques de reflexión?

La avalancha en sí no — se detiene en la capa de red, en el proveedor aguas arriba (idealmente con BCP38). Akarguard es un proxy L7; no hace scrubbing de UDP, pero al ocultar tu IP de origen hace que la avalancha reflejada no tenga objetivo.

Protege tu sitio

Akarguard filtra el tráfico antes de que llegue a tu servidor. La instalación es un solo cambio de DNS; no necesitas comprar hardware ni migrar tu servidor.

Ver precios