Los ataques de reflexión y amplificación son una clase de DDoS en la que el atacante explota el comportamiento de un protocolo para generar tráfico masivamente desproporcionado hacia un objetivo — usando servidores de terceros completamente ajenos al ataque. No requieren botnet ni ancho de banda sostenido: un atacante modesto puede generar terabits desde una conexión doméstica.
El mecanismo básico
Ambos componentes trabajan juntos. La reflexión hace que el tráfico parezca venir de un servidor legítimo, no del atacante. La amplificación hace que la respuesta sea mucho mayor que la petición — a veces miles de veces. Juntos, dan al atacante un enorme apalancamiento con recursos mínimos.
Principales protocolos de reflexión/amplificación
- DNS (UDP/53): amplificación 28–54x. Ampliamente explotado.
- NTP (UDP/123): hasta 556x mediante el comando MONLIST. Antiguo pero aún en uso.
- Memcached (UDP/11211): hasta 51.000x. El mayor factor de amplificación conocido.
- SSDP (UDP/1900): 30x. Usado en ataques basados en Mirai.
- CLDAP (UDP/389): 56–70x. Apunta a servicios LDAP de Windows.
- WS-Discovery (UDP/3702): 300–500x. Vector más reciente que apunta a IoT.
Por qué la falsificación de IP lo hace posible
Todos los ataques de reflexión dependen de la falsificación de la dirección de origen UDP. El atacante envía un paquete simulando venir de la IP de la víctima; el amplificador envía su gran respuesta a esa IP. Las redes que implementan filtrado de entrada BCP38 bloquean los paquetes falsificados — pero una fracción significativa de las redes de internet no lo hace.
Mitigación en la capa del proxy
La amplificación es una avalancha de capa de red (L3/L4), así que se detiene aguas arriba — en la red de tu host o proveedor de tránsito, idealmente con validación de dirección de origen BCP38. Akarguard es un proxy inverso L7: no hace scrubbing de UDP, pero al ocultar tu IP de origen elimina el objetivo directo, así que la avalancha reflejada no tiene dónde caer y tu servidor sigue atendiendo a usuarios legítimos.