Cuando tu servidor sufre un ataque, "nos están haciendo DDoS" no es una información accionable; "SYN flood, cuatro millones de paquetes por segundo, fuentes suplantadas, dirigido al puerto 443" sí lo es. La diferencia entre ambas es una captura de paquetes de treinta segundos y una mirada estructurada a esa captura. Esta guía cubre cómo capturar de forma segura en una máquina ya saturada (tcpdump, no la GUI de Wireshark), el flujo de triaje en Wireshark (Protocol Hierarchy, Conversations, I/O Graphs) y las firmas de filtros de visualización de los vectores de ataque habituales, y termina con cómo convertir los hallazgos en mitigación.

Los ataques DDoS se dividen en tres grandes familias: floods volumétricos que saturan tu conexión, ataques de protocolo que agotan el estado de las conexiones, y floods de capa de aplicación que parecen tráfico legítimo. Cada uno agota un recurso distinto, así que cada uno necesita una defensa distinta, y ninguna capa por sí sola detiene las tres. Esta guía relaciona las formas de ataque más comunes con el recurso que atacan y la mitigación que realmente funciona contra ellas, explica qué puede detener un firewall en el propio servidor y qué no, y termina con un manual práctico de respuesta a incidentes para cuando tu servidor esté bajo ataque.