Ataque de denegación de servicio (DoS).

Un ataque de denegación de servicio satura un único objetivo —servidor, aplicación, enlace o dispositivo— desde una o pocas fuentes, con el fin de degradar o detener su funcionamiento. Se diferencia del DDoS, que moviliza muchos hosts distribuidos; un DoS simple se apoya en la asimetría: poco esfuerzo del atacante obliga a un gran trabajo a la víctima.

Las técnicas recorren toda la pila. Las inundaciones volumétricas saturan el ancho de banda. El abuso de protocolo agota estado finito: un SYN flood llena la cola de conexiones con handshakes semiabiertos, motivo por el que se inventaron las SYN cookies. Los ataques lentos priman la paciencia sobre el volumen: Slowloris (Robert Hansen, 2009) envía cabeceras HTTP parciales a cuentagotas para inmovilizar cada hilo de un servidor multihilo como Apache, casi sin ancho de banda. El agotamiento de recursos en capa de aplicación convierte una petición en coste desproporcionado: consultas costosas, descompresión de una bomba zip/XML o ReDoS, donde una expresión regular con retroceso catastrófico sobre entrada del atacante consume CPU durante segundos por petición. Los ataques de complejidad algorítmica, como la divulgación de hash-flooding de 2011 (28C3), forzaron el peor caso O(n²) en las tablas hash de muchos frameworks web. Los clásicos crashes por paquetes malformados —Ping of Death, Teardrop, LAND— y las fork bombs locales completan la familia.

Las defensas se combinan: limitación de tasas y timeouts de conexión, SYN cookies, presupuestos de tamaño y tiempo de petición, planificación de capacidad y autoescalado, filtrado upstream/anycast, reglas WAF, semillas hash aleatorizadas y endurecer el código frente a entradas que disparan trabajo superlineal.

flowchart TD
  A[Atacante: 1 o pocos hosts] --> B{¿Qué recurso agotar?}
  B -->|Ancho de banda| C[Inundación volumétrica]
  B -->|Estado de conexión| D[SYN flood - sockets semiabiertos]
  B -->|Hilos de trabajo| E[Slowloris - peticiones lentas parciales]
  B -->|CPU / memoria| F[ReDoS, bomba zip,<br/>hash-flooding, consulta costosa]
  B -->|Bug de crash| G[Ping of Death / Teardrop / LAND]
  C --> H[Servicio no disponible para<br/>usuarios legítimos]
  D --> H
  E --> H
  F --> H
  G --> H
  H --> I[Defensas: rate limiting, SYN cookies,<br/>timeouts, WAF, autoescalado, código robusto]