Ataques L7: qué buscar

Cada ataque L7 deja una firma en los logs. Conocer el patrón de cada uno es lo que convierte un océano de solicitudes en hipótesis que se pueden probar.

OWASP Automated ThreatsMITRE ATT&CKOWASP Top 10OWASP Core Rule Set

Qué es

Los ataques de capa 7 usan el propio protocolo de la aplicación (HTTP) para explotar lógica, credenciales o capacidad. Muchos parecen tráfico legítimo solicitud por solicitud, y solo el conjunto revela el patrón, por eso la detección es, en gran parte, estadística y de comportamiento.

Seis patrones y la firma de cada uno

: muchos intentos de inicio de sesión con pares usuario/contraseña filtrados, fallos (401) en volumen, muchas IPs y user agents, pocos intentos por cuenta.
DDoS L7: pico de solicitudes a pocas rutas costosas (búsqueda, reportes), muchas IPs, tasa por IP baja pero agregada altísima.
Forced browsing: barrido de rutas inexistentes o administrativas (/admin, /.git, /backup), explosión de 404 y 403 desde un origen.
Probing e : secuencia de identificadores en orden (/orders/1001, 1002, 1003...) con la misma sesión, buscando acceso a objetos de otros usuarios.
SSRF: parámetros de URL que apuntan a direcciones internas o de metadatos (169.254.169.254, localhost), en campos que la aplicación consulta desde el servidor.
Inyecciones (SQL, comandos, plantillas): caracteres y palabras clave de sintaxis en parámetros, cabeceras o cuerpo, a menudo como intentos de sondeo antes del ataque real.

Del patrón a la hipótesis de detección

Para cada patrón, la pregunta es "¿qué campo, en qué ventana y agrupado por qué lo delata?". El credential stuffing, por ejemplo, no se ve en la IP (la botnet distribuye), pero sí en la razón de fallos por ASN o por fingerprint, y en el número de cuentas distintas intentadas por origen.

hipótesis por patróntext

credential stuffing -> fallos de login / minuto por ASN, cuentas distintas por fingerprint
DDoS L7             -> reqs / minuto por path costoso, razón vs baseline de la hora
forced browsing     -> 404+403 por origen, paths distintos por ventana
IDOR                -> IDs secuenciales por sesión, accesos denegados a objetos ajenos
SSRF                -> parámetros con IP privada/metadata en campos de URL
inyección           -> tokens de sintaxis en parámetros, repetidos y variando

Los atacantes se adaptan

Cuando bloquea por IP, el ataque cambia de IP; cuando bloquea por user agent, lo rota. Las detecciones más duraderas se anclan en características difíciles de cambiar: fingerprints, comportamiento, la propia lógica del objetivo. Y todo cambio de patrón debe convertirse en una nueva detección o en un ajuste, registrado junto con el incidente que lo motivó.

Credential stuffingAtaque que prueba en masa pares usuario/contraseña filtrados de otros servicios. Firma: muchos fallos de inicio de sesión distribuidos en muchas IPs, con pocos intentos por cuenta.ver en el glosario →IDORreferencia directa insegura a objetos · BOLALa solicitud nombra un objeto (un id) y el servidor lo devuelve sin comprobar que quien llama puede verlo. Es la forma más común de control de acceso roto y, en las APIs, se llama broken object level authorization.ver en el glosario →

conexiones en el mapa

Telemetría de borde y de aplicaciónrevelaAtaques L7: qué buscar
Ataques L7: qué buscarse vuelve detecciónIngeniería de detección

actualizado el 14/10/2026 · fuentes para profundizar · reportar un error

en otros dominios

Inteligencia de amenazasresponselas técnicas observadas en el borde alimentan la inteligencia y viceversa
A05 Injectionowaspvisto desde afuera: las firmas en el borde

Desbloquea

pon a prueba lo que entendiste

Cargando preguntas…