Protección frente a la denegación de servicio

Qué exige, en claro

Establecer prevención frente a ataques de denegación de servicio: capacidad y arquitectura que aguanten picos (op.pl.4), tecnologías de mitigación — típicamente el anti-DDoS del proveedor cloud o CDN, con sus garantías como evidencia — y limitación de lo expuesto (rate limiting, perímetro mp.com.1).

Y reacción preparada: detección del ataque en curso (op.mon.1), procedimiento de respuesta (a quién llamar en el proveedor, qué activar, cómo comunicar) y su conexión con la gestión de incidentes y la continuidad cuando el nivel de disponibilidad lo exige.

Cuándo aplica y cómo escala

Exigible a partir de categoría MEDIA, ligada al nivel de disponibilidad; en cualquier servicio expuesto conviene saber qué te protege y qué harías. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Servicio detrás de CDN con mitigación DDoS incluida y rate limiting en la API: el ataque volumétrico lo absorbe el proveedor, y el aplicativo corta el abuso por cliente.
• Procedimiento de respuesta probado en simulacro: quién detecta, quién activa el modo mitigación del proveedor, qué se comunica a los usuarios y cuándo se escala a continuidad.

Errores habituales

• Asumir que «eso a nosotros no nos pasará»: los servicios públicos son objetivo recurrente.
• Tener anti-DDoS contratado y no saber activarlo ni a quién llamar a las 3 de la mañana.
• API sin rate limiting: un solo cliente (o un bucle accidental) tumba el servicio.
• Absorber el ataque a base de autoescalado sin límite: el DoS se convierte en factura.
• No distinguir en la monitorización un pico legítimo de un ataque.

Evidencias que suele ser razonable preparar

• Mecanismos de mitigación contratados o desplegados (CDN/anti-DDoS, rate limiting) y sus garantías.
• Dimensionamiento y límites de capacidad documentados (op.pl.4).
• Procedimiento de respuesta ante DoS con contactos y pasos.
• Registro de incidentes o simulacros de este tipo y lecciones aplicadas.

Preguntas que debería hacerse el responsable

• Si ahora mismo empezara un DDoS, ¿qué lo pararía — y quién lo activa?
• ¿Tu API limita las peticiones por cliente?
• ¿El autoescalado tiene techo o la factura es el techo?
• ¿Habéis ensayado alguna vez la respuesta a un ataque de este tipo?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 820 · Protección contra denegación de servicio (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.