DoS y DDoS suelen usarse como sinónimos, pero la D adicional cambia casi todo sobre cómo funciona el ataque y cómo se detiene. Ambos buscan dejar un servicio no disponible; la diferencia es cuántas máquinas atacan, y ese único dato decide si puedes bloquearlo tú mismo o necesitas protección delante de tu servidor.
DoS: un atacante, una fuente
Un ataque de denegación de servicio (DoS) proviene de una sola máquina. Un ordenador envía una avalancha de peticiones o paquetes malformados para agotar la CPU, la memoria o la tabla de conexiones del servidor. Como se origina en una única dirección, un DoS es relativamente fácil de detener: identificas la IP de origen, la bloqueas en el firewall y el ataque termina.
DDoS: miles de fuentes a la vez
Un ataque distribuido de denegación de servicio (DDoS) proviene de muchas máquinas simultáneamente — a menudo una botnet de miles o millones de dispositivos comprometidos repartidos por el mundo. Esa distribución es lo que hace tan difícil defenderse: no hay una única IP que bloquear, el tráfico puede superar tu ancho de banda total y cada paquete puede venir de una dirección distinta y de aspecto inocente.
La diferencia clave
Un DoS es un atacante que normalmente puedes bloquear a mano. Un DDoS son miles que no puedes — por eso la defensa real contra DDoS tiene que ocurrir delante de tu servidor, en un proxy o red capaz de absorber o filtrar tráfico de un enorme número de fuentes a la vez.
Por qué el DDoS es mucho más difícil de detener
- Sin fuente única: bloquear una IP no sirve de nada cuando la avalancha viene de miles.
- Escala: un ataque distribuido genera mucho más tráfico que una sola máquina, a veces superando por completo tu enlace.
- Camuflaje: el DDoS de capa de aplicación (capa 7) envía peticiones de aspecto válido, difíciles de distinguir de usuarios reales.
- Bajo coste: los atacantes alquilan capacidad de botnet por unos dólares en servicios de stresser, así que la barrera es trivial.
Cómo se defiende cada uno
Un DoS simple se maneja en el servidor: reglas de firewall, fail2ban y límites de tasa suelen bastar. Un DDoS necesita defensa por encima de tu origen. Las avalanchas volumétricas de capa de red (L3/L4) las absorbe la red de tu host o proveedor de tránsito; los ataques de capa de aplicación (L7) se filtran en un proxy inverso que inspecciona cada petición, desafía a los clientes automatizados y limita la tasa de los abusivos. Akarguard es ese proxy inverso de capa 7: enrutas tu dominio a través de él con un cambio de DNS, filtra los ataques de capa de aplicación y oculta tu origen para que las avalanchas directas no tengan objetivo.