¿Cuáles son las capas de defensa DDoS y qué maneja cada una?

Question

Accepted Answer

La defensa DDoS es **defensa en profundidad**: ningún control único detiene cada ataque, por lo que apila capas que cada una absorbe, filtra o bloquea una clase de tráfico diferente. El orden importa — empuje tanto trabajo como sea posible hacia el borde, lejos de su origen.

## Las capas, de borde hacia adentro

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — la capa más externa. Con **anycast**, la misma IP se anuncia desde muchos puntos de presencia, por lo que una inundación volumétrica **se distribuye en la capacidad global** en lugar de un centro de datos. Los centros de limpieza absorben la inundación y solo reenvían tráfico limpio.
- **WAF (Web Application Firewall)** — inspecciona solicitudes HTTP y bloquea patrones maliciosos: firmas incorrectas, agentes de usuario sospechosos, direcciones IP conocidas malas e inundaciones **Layer 7** que imitan solicitudes reales.
- **Rate limiting** — limita solicitudes por IP, clave API o usuario durante una ventana de tiempo, devolviendo `429 Too Many Requests`. Detiene clientes abusivos sin dañar los normales.
- **Upstream / ISP blackhole (null-route)** — el último recurso para volumen sin procesar. El proveedor descarta todo el tráfico a la IP objetivo (**remotely-triggered blackhole, RTBH**), sacrificando esa única IP para proteger todo lo demás.
- **Autoscaling + overprovisioning** — capacidad de origen adicional para **absorber** lo que se cuela, comprando tiempo mientras se conectan otras capas.

## Cómo funcionan juntos

El modelo mental es **absorber -> filtrar -> bloquear**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Los ataques volumétricos mueren en la capa CDN/scrubbing; los ataques de nivel de aplicación que parecen tráfico real se filtran mediante WAF y limitador de velocidad.

## Por qué es importante

Depender de una sola capa falla predeciblemente: un WAF no puede detener una inundación de 1 Tbps (la tubería se satura primero), y un CDN por sí solo pasará felizmente una inundación HTTP inteligente a su origen. La estratificación significa que cada clase de ataque cumple un control diseñado para él, y el origen solo ve tráfico que las capas externas no pudieron manejar por sí solas.