# Ataques de reflexión y amplificación: la guía técnica completa > Los ataques de reflexión usan servidores de terceros como amplificadores involuntarios. Entendemos la mecánica — y la mitigación — en todos los protocolos principales. - Category: Técnico - Author: Equipo Akarguard, Ingeniería de Seguridad - Published: Dec 12, 2023 - Canonical: https://akarguard.net/es/blog/ataques-de-reflexion-y-amplificacion --- Los ataques de reflexión y amplificación son una clase de DDoS en la que el atacante explota el comportamiento de un protocolo para generar tráfico masivamente desproporcionado hacia un objetivo — usando servidores de terceros completamente ajenos al ataque. No requieren botnet ni ancho de banda sostenido: un atacante modesto puede generar terabits desde una conexión doméstica. ## El mecanismo básico Ambos componentes trabajan juntos. La reflexión hace que el tráfico parezca venir de un servidor legítimo, no del atacante. La amplificación hace que la respuesta sea mucho mayor que la petición — a veces miles de veces. Juntos, dan al atacante un enorme apalancamiento con recursos mínimos. ## Principales protocolos de reflexión/amplificación - DNS (UDP/53): amplificación 28–54x. Ampliamente explotado. - NTP (UDP/123): hasta 556x mediante el comando MONLIST. Antiguo pero aún en uso. - Memcached (UDP/11211): hasta 51.000x. El mayor factor de amplificación conocido. - SSDP (UDP/1900): 30x. Usado en ataques basados en Mirai. - CLDAP (UDP/389): 56–70x. Apunta a servicios LDAP de Windows. - WS-Discovery (UDP/3702): 300–500x. Vector más reciente que apunta a IoT. ## Por qué la falsificación de IP lo hace posible Todos los ataques de reflexión dependen de la falsificación de la dirección de origen UDP. El atacante envía un paquete simulando venir de la IP de la víctima; el amplificador envía su gran respuesta a esa IP. Las redes que implementan filtrado de entrada BCP38 bloquean los paquetes falsificados — pero una fracción significativa de las redes de internet no lo hace. ## Mitigación en la capa del proxy La amplificación es una avalancha de capa de red (L3/L4), así que se detiene aguas arriba — en la red de tu host o proveedor de tránsito, idealmente con validación de dirección de origen BCP38. Akarguard es un proxy inverso L7: no hace scrubbing de UDP, pero al ocultar tu IP de origen elimina el objetivo directo, así que la avalancha reflejada no tiene dónde caer y tu servidor sigue atendiendo a usuarios legítimos. --- Source: Akarguard Security Blog (https://akarguard.net/es/blog). Akarguard provides DDoS protection: traffic is proxied through our edge, attack traffic is filtered, and clean traffic reaches your origin. Reuse of this article with attribution and a link to the canonical URL is permitted.