Durante años, tumbar un servidor era cuestión de fuerza bruta desde un puñado de máquinas: pocas IPs lanzando miles de peticiones por segundo. La defensa era igual de directa: identificar esas IPs en los logs y bloquearlas. Hoy ese manual ya no sirve. Los ataques de denegación de servicio modernos vienen de miles — a veces millones — de direcciones IP distintas, cada una haciendo un puñado de peticiones aparentemente legítimas. Ninguna IP individual supera umbral alguno; el conjunto, en cambio, satura tu línea, tu firewall o tu aplicación. Y bloquear IPs una a una es como achicar el mar con un cubo. Diseñar una protección DDoS que aguante hoy exige cambiar de mentalidad. Defenderse hoy exige una estrategia de seguridad informática que combine varias capas.
El cambio no es teórico. En 2025 los ataques DDoS crecieron más de un 120% y los hipervolumétricos se multiplicaron por siete; el récord se lo llevó un ataque de 31,4 terabits por segundo lanzado por la botnet Aisuru/Kimwolf, formada por más de un millón de dispositivos infectados — en su mayoría televisores Android y aparatos IoT domésticos. Es decir: el tráfico que te ataca sale de routers y televisores de usuarios reales, con IPs residenciales de operadoras normales.
En este artículo hacemos el recorrido completo: de dónde venimos (el mítico ping de la muerte), cómo es el ataque distribuido actual y por qué invalida las defensas clásicas, qué hacen exactamente los firewalls modernos — FortiGate, Palo Alto, SonicWall — para plantarle cara, cuál es su límite físico, y qué puede hacer una empresa que no tiene nada de eso (o algo muy básico) para no quedarse fuera de juego. Como siempre, con criterio de arquitectura y sin humo.
1. El ping de la muerte: el abuelo de la denegación de servicio
El ping de la muerte (ping of death) es el ejemplo perfecto de la primera generación de ataques DoS. Un paquete ICMP no debería superar los 65.535 bytes; a mediados de los 90 se descubrió que enviando un ping fragmentado que, al reensamblarse, excedía ese límite, la pila TCP/IP de muchos sistemas operativos desbordaba el buffer y la máquina se colgaba o reiniciaba. Un solo paquete, desde una sola máquina, tumbaba un servidor entero.
¿Cómo se para hoy? La respuesta corta: ya está parado de serie. Todos los sistemas operativos modernos validan el tamaño de los paquetes reensamblados desde hace más de dos décadas, y cualquier firewall — incluso el más básico — descarta fragmentos ICMP anómalos sin despeinarse. Si tu infraestructura está parcheada, el ping de la muerte clásico es historia. Las lecciones, en cambio, siguen vigentes:
- Parchear no es opcional. Resurgen variantes periódicamente (la vulnerabilidad de ICMPv6 en Windows de 2013, o casos posteriores en pilas embebidas de dispositivos IoT que nunca reciben actualizaciones). El dispositivo sin parches de tu red es el que acabará cayéndose — o formando parte de una botnet que ataca a otros.
- Filtra ICMP con criterio. No hace falta bloquearlo todo (romperías el descubrimiento de MTU), pero sí descartar fragmentos ICMP, limitar la tasa de echo request y no responder a ping desde la WAN si no hay motivo.
- Los ataques de paquete malformado siguen existiendo y son la razón de que los firewalls serios incluyan protección específica de packet-based attacks: paquetes con flags TCP imposibles, cabeceras corruptas o fragmentación maliciosa se descartan antes de tocar tus servidores.
El ping de la muerte necesitaba una vulnerabilidad. El DDoS moderno no explota ningún fallo: usa el protocolo exactamente como fue diseñado, solo que a una escala que nadie previó. Por eso no se «parchea»: se absorbe, se filtra y se dispersa.
2. El DDoS moderno: miles de IPs, pocas peticiones, imposible de bloquear a mano
El patrón que describías cualquier administrador de sistemas lo reconoce: antes veías en los logs tres IPs haciendo 10.000 peticiones por minuto y las bloqueabas; ahora ves 80.000 IPs distintas haciendo 3 peticiones cada una, y el servidor está igual de caído. ¿Qué ha cambiado por debajo?
2.1 Botnets de dispositivos domésticos
La materia prima del ataque son dispositivos IoT comprometidos: routers domésticos, cámaras, televisores Android, decodificadores. La botnet Aisuru/Kimwolf — responsable del récord de 31,4 Tbps documentado por el informe DDoS de Cloudflare del Q4 de 2025 — se estimaba entre uno y cuatro millones de equipos infectados. Cada dispositivo aporta poco; el enjambre lo aporta todo. Y como son IPs residenciales de operadoras legítimas, distinguirlas de tus clientes reales es el corazón del problema.
2.2 Bajo el radar por diseño
Los atacantes conocen las defensas clásicas y las esquivan a propósito. Se han documentado campañas de días contra rangos enteros — más de 65.000 IPs de destino de una misma red /16 — donde el tráfico por IP individual se mantenía deliberadamente por debajo de los umbrales de detección de los sistemas tradicionales, mientras el agregado saturaba los enlaces. Es el llamado carpet bombing: en lugar de martillear un objetivo, se riega toda la red con lluvia fina. A esto se suman los ataques de capa 7 (HTTP) de baja tasa: peticiones perfectamente formadas a las URLs más caras de tu aplicación — búsquedas, checkout, login — que consumen CPU y base de datos sin disparar ninguna alarma de red.
2.3 Por qué bloquear IPs ya no funciona
Tres razones. Primera, la aritmética: no puedes gestionar listas negras de un millón de IPs que además rotan cada hora. Segunda, el daño colateral: con CGNAT, detrás de una IP residencial puede haber cientos de usuarios legítimos de una operadora; bloquear rangos enteros es bloquear clientes. Tercera, el objetivo real del ataque muchas veces no es tu servidor sino tu caudal: si te llenan la línea WAN de 1 Gbps con 40 Gbps de basura, da igual lo que bloquee tu firewall — el atasco está en la autopista, antes de tu peaje.
3. Señales de que te está pasando: ejemplos de detección
Detectar esto a tiempo marca la diferencia entre degradación y caída total. Señales concretas que vemos en incidentes reales:
- Latencia que sube en escalón, no en rampa. El tráfico legítimo crece de forma orgánica; un DDoS entra de golpe. Si tu tiempo de respuesta pasa de 200 ms a 8 segundos en dos minutos sin campaña de marketing de por medio, sospecha.
- Miles de IPs nuevas que nunca habían visitado tu web, repartidas por países o sistemas autónomos que no encajan con tu negocio, cada una con 2-5 peticiones. En un ecommerce español, 40.000 primeras visitas simultáneas desde rangos residenciales de otro continente no son SEO: son una botnet.
- Conexiones TCP a medio abrir (SYN sin completar el handshake) acumulándose por miles: el clásico SYN flood, que agota la tabla de conexiones del servidor o del propio firewall.
- Patrón de URLs anómalo: el tráfico real se reparte entre portada, fichas y categorías; el ataque L7 martillea una sola ruta cara (el buscador interno, el carrito) o rutas aleatorias inexistentes para reventar la caché.
- El enlace WAN al 100% con el servidor aburrido (o al revés): si el caudal está saturado pero la CPU del servidor está tranquila, el ataque es volumétrico puro; si la línea respira pero la base de datos agoniza, es aplicativo. La respuesta correcta es distinta en cada caso.
Para tener estas señales necesitas visibilidad: logs centralizados, métricas de red y monitorización del perímetro. Precisamente el tipo de visibilidad del que hablamos en nuestra guía de cómo poner un firewall detrás del router de tu operadora — sin ella, el primer aviso del ataque te lo dan tus clientes por teléfono.
4. Qué hacen los firewalls modernos: Fortinet, Palo Alto y SonicWall
Los fabricantes serios asumieron hace años que la defensa por IP de origen está muerta. Lo que hacen ahora, cada uno con su acento, se apoya en tres ideas: comportamiento agregado, umbrales por destino y absorción inteligente del handshake.
4.1 Fortinet: baselines de comportamiento con machine learning
El enfoque de FortiDDoS (el appliance dedicado de Fortinet) es 100% conductual: en lugar de firmas, construye durante un periodo de aprendizaje una línea base del tráfico normal de tu red sobre cientos de miles de parámetros — tasas por protocolo, por puerto, por tipo de petición — y a partir de ahí cualquier desviación estadística significativa se mitiga automáticamente, con tiempos de reacción de menos de 2 segundos. No le importa qué IP envía el tráfico: le importa que el agregado de SYN por segundo hacia tu granja web es 40 veces el histórico de un martes por la mañana. En los FortiGate de gama empresarial, la protección DoS por políticas aplica esta misma lógica de umbrales (anómalos por destino, no por origen) integrada en el NGFW.
4.2 Palo Alto: Zone Protection y perfiles DoS por zona y por servidor
Palo Alto lo estructura en dos niveles. Los Zone Protection profiles defienden cada zona de entrada midiendo el agregado de conexiones nuevas por segundo (CPS) de cada tipo de flood — SYN, UDP, ICMP — contra umbrales configurados; cuando se superan, el firewall activa SYN cookies (valida el handshake sin gastar recursos, de forma que solo se descarta el tráfico que no completa el protocolo, es decir, el falso) o Random Early Drop (descarte probabilístico cuando la avalancha es tal que ni validar compensa). Los DoS Protection profiles bajan al detalle de servidores críticos concretos, con umbrales propios para tu web de producción distintos de los del resto de la red. Además protege sus propios buffers de paquetes — porque en un DDoS, el primer caído suele ser el propio firewall.
4.3 SonicWall: SYN proxy, watch-and-block y filtro de botnets
SonicWall combina un SYN proxy en la WAN que se activa al superar un umbral de conexiones incompletas por segundo (el firewall completa él mismo el handshake y solo pasa al servidor las conexiones reales), protección de floods UDP e ICMP en modo watch-and-block (monitoriza tasas hacia cada destino y descarta lo que excede el umbral durante la ventana del ataque), y un filtro de botnets con reputación: paquetes de IPs conocidas como parte de redes de mando y control se descartan en la puerta, complementado con filtrado Geo-IP para negocios de ámbito local.
4.4 La letra pequeña que ningún fabricante pone en la portada
Todo lo anterior funciona mientras el ataque quepa por tu línea. Un firewall on-premise, por caro que sea, solo puede filtrar el tráfico que le llega: si contratas 1 Gbps con tu operadora y el ataque mete 40 Gbps, el enlace se satura aguas arriba y tu firewall filtra perfectamente… una línea muerta. Contra el DDoS volumétrico moderno, el appliance perimetral es una pieza necesaria pero no suficiente: la absorción de volumen se hace en la nube (CDN/anycast, donde el ataque se reparte entre cientos de datacenters) o en el scrubbing del operador. El firewall queda como segunda línea: floods que sí caben por el caudal, ataques aplicativos, y todo lo que no es DDoS — que sigue siendo el 95% de tu día a día de seguridad.
5. Protección DDoS sin firewall dedicado: opciones realistas para pymes
La buena noticia: la protección más eficaz contra el DDoS volumétrico moderno no es un appliance de decenas de miles de euros — es arquitectura, y buena parte es gratuita o casi.
5.1 Ponte detrás de un proxy inverso en la nube (la medida número uno)
Servicios como Cloudflare (con mitigación DDoS ilimitada incluso en el plan gratuito), Fastly o AWS CloudFront/Shield anteponen su red anycast global a tu servidor: el ataque de 31,4 Tbps del récord de 2025 se absorbió automáticamente repartido entre cientos de datacenters, sin intervención humana. Para una pyme, activar esto es un cambio de DNS y una tarde de trabajo. Dos condiciones para que sirva de algo: que tu IP de origen no esté expuesta (si el atacante la conoce, se salta el proxy y te ataca directo: tu firewall debe aceptar tráfico web únicamente desde los rangos del CDN) y que actives el rate limiting y el modo «under attack» cuando toque.
5.2 Endurece lo que ya tienes
- SYN cookies en el kernel (activadas por defecto en Linux moderno, verifica net.ipv4.tcp_syncookies) y límites de conexiones por IP en Nginx/HAProxy: no pararán una botnet, pero sí la cola de ataques mediocres, que siguen siendo mayoría.
- Rate limiting por endpoint, especialmente en las rutas caras (login, buscador, APIs) — los mismos principios que aplicamos en la guía de seguridad de APIs REST: autenticación y rate limiting.
- Caché agresiva: una página cacheada se sirve por céntimos; una generada por PHP y MySQL, no. Cuanto más estático sirvas desde el CDN, más grande tiene que ser el ataque para hacerte daño.
- CrowdSec o fail2ban: analizan tus logs y banean comportamiento anómalo. CrowdSec añade la baza colaborativa: las IPs que atacan a otros miembros de la red llegan a tu lista de bloqueo antes de que te toquen a ti — inteligencia de reputación al estilo del filtro de botnets de los grandes fabricantes, a coste cero.
- Un firewall perimetral digno, aunque sea modesto: con flood protection básica bien configurada haces un papel más que decente contra ataques medianos. Cómo montarlo sin gastar una fortuna lo contamos en ciberseguridad de servidores con poco presupuesto.
5.3 Ten un plan antes de necesitarlo
Cuando el ataque llega, no es momento de leer documentación. El plan mínimo cabe en una página: quién detecta (qué alerta te avisa de latencia o caudal anómalo), quién decide (activar modo under-attack, endurecer reglas), a quién llamas (tu hosting y tu operadora tienen equipos anti-DDoS — pregunta HOY qué incluye tu contrato), y cómo comunicas a clientes si el servicio se degrada. Si estás construyendo tu seguridad desde cero, este plan es un capítulo más del camino que describimos en seguridad informática para pymes: desde cero y en ciberseguridad para empresas: por dónde empezar.
¿Aguantaría tu plataforma un DDoS mañana?
En Keliam evaluamos tu exposición real: arquitectura del perímetro, configuración del firewall, exposición de la IP de origen, rate limiting y plan de respuesta. Y si no tienes nada montado, diseñamos la defensa en capas adecuada a tu tamaño — sin venderte hierro que no necesitas.
6. Checklist por nivel de madurez
Si no tienes nada (hoy mismo): proxy inverso en la nube con el DNS apuntando a él y la IP de origen oculta; SYN cookies verificadas en el kernel; rate limiting básico en el servidor web; averigua qué protección anti-DDoS incluye tu hosting y tu operadora.
Si tienes algo básico (este trimestre): lo anterior más CrowdSec alimentado por tus logs, caché agresiva de contenido, alertas de latencia y caudal, firewall perimetral con flood protection configurada (no en valores de fábrica: ajustados a TU tráfico), y el plan de respuesta de una página escrito y compartido.
Si tienes firewall serio (FortiGate, Palo Alto, SonicWall): activa y ajusta lo que probablemente tienes apagado — perfiles de protección de zona con umbrales basados en tu línea base real, SYN proxy/cookies, filtro de botnets y Geo-IP si tu negocio es local. Y asume su límite: contrata la capa volumétrica en la nube igualmente, porque contra 40 Gbps tu appliance no juega. Revisa umbrales cada seis meses: tu tráfico legítimo de hoy no es el de hace un año.
Conclusión
Del ping de la muerte al DDoS de un millón de televisores hay treinta años y una inversión completa del modelo: antes el ataque explotaba un fallo y se paraba con un parche; ahora explota la escala y se para con arquitectura. La protección DDoS moderna no es una caja mágica sino una cadena de capas — nube que absorbe, operador que filtra, firewall que analiza comportamiento, aplicación que se protege a sí misma — donde cada eslabón cubre lo que el siguiente no puede. Y la parte más eficaz de esa cadena está, literalmente, al alcance de cualquier pyme: un proxy inverso bien configurado y la disciplina de no exponer jamás la IP de origen paran más ataques que muchos appliances caros mal configurados.
La pregunta correcta no es «¿me atacarán?» — con botnets alquilándose por horas, la respuesta es estadística — sino «¿cuánto tarda mi plataforma en enterarse, y quién hace qué en los primeros diez minutos?». Si hoy no sabes responderla, ya sabes por dónde empezar.
Preguntas frecuentes sobre protección DDoS
¿El ping de la muerte sigue siendo una amenaza real?
El clásico de los 90, no: cualquier sistema parcheado lo ignora. Pero sus descendientes — paquetes malformados contra pilas TCP/IP de dispositivos embebidos e IoT sin actualizar — siguen apareciendo. La defensa es la misma de siempre: parches al día y un firewall que descarte paquetes anómalos en el perímetro.
¿Cloudflare en plan gratuito es protección suficiente para una pyme?
Contra el DDoS volumétrico, es la medida individual más rentable que existe: mitigación ilimitada repartida en una red anycast global. No cubre igual de bien los ataques aplicativos sofisticados (para eso están los planes de pago con WAF avanzado y rate limiting fino) y no sirve de nada si tu IP de origen está expuesta. Como primera capa: sí, sin dudarlo.
Tengo un FortiGate / Palo Alto / SonicWall, ¿estoy protegido?
Contra floods que quepan por tu caudal y ataques aplicativos, razonablemente — si los perfiles de protección están activados y ajustados a tu tráfico real, que en nuestra experiencia es el gran «si». Contra un volumétrico que sature tu línea WAN, no: esa batalla se libra aguas arriba, en la nube o en el operador. Firewall y capa cloud no compiten: se complementan.
