--- id: CP-231 slug: bgp-rpki-seguridad-rutas-internet lang: es title: "BGP y RPKI: proteger las rutas de Internet" description: BGP indica a las redes por dónde enviar el tráfico. Sus fallos (secuestros, fugas) y la defensa RPKI, explicados para los empleados. canonical_url: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ markdown_url: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «BGP y RPKI: proteger las rutas de Internet», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-059 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ fr: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ en: https://startbrain.io/cyberpedia/en/articles/bgp-rpki-internet-routing-security/ de: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ it: https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/ sources: - "n": 1 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/189/final published: "2019-12-17" accessed: "2026-11-03" - "n": 2 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation" publisher: NIST url: https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation published: "2019-12-17" accessed: "2026-11-03" - "n": 3 title: Border Gateway Protocol Security publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/54/final published: "2007-07-17" accessed: "2026-11-03" - "n": 4 title: Identifying and protecting against the largest DDoS attacks publisher: Google url: https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks published: "2020-10-17" accessed: "2026-11-03" --- # BGP y RPKI: proteger las rutas de Internet Cuando un empleado abre un sitio web o envía un mensaje, los datos atraviesan varias redes de las que su empresa no conoce ni el número ni a los operadores. El protocolo BGP (Border Gateway Protocol) sirve para elegir la ruta entre esas redes. La agencia estadounidense NIST lo describe como el protocolo de control que distribuye y calcula las rutas entre las decenas de miles de sistemas autónomos que forman Internet [1]. Esta ficha explica qué supone este protocolo para un empleado, qué pueden provocar las anomalías de enrutamiento y qué protección (RPKI) recomienda el NIST. También indica lo que la fuente del NIST no dice, para no prometer más de lo que está establecido. ## En 30 segundos - Dónde ocurre: entre las redes, fuera de la vista del empleado y de su empresa. El NIST habla de anomalías del plano de control del enrutamiento, como el secuestro de prefijos BGP (prefix hijacking) y las fugas de rutas [2]. - Qué provoca: denegaciones de servicio, desvíos de tráfico no deseados y una degradación del rendimiento [2]. - La defensa de los operadores: RPKI, la validación de origen BGP y el filtrado de prefijos [1]. - El reflejo: preguntar al proveedor de acceso o de alojamiento cómo protege sus rutas, y no confiar solo en la red para la confidencialidad. ## Preguntas directas ### ¿Para qué sirve BGP? BGP distribuye y calcula las rutas entre los sistemas autónomos que componen Internet [1]. El empleado nunca interviene en este mecanismo: depende de las decisiones de su proveedor de acceso y de las redes que se atraviesan. ### ¿Cuál es el problema? El NIST constata que en los últimos años numerosas anomalías del plano de control del enrutamiento, como el secuestro de prefijos BGP y las fugas de rutas, han causado denegaciones de servicio, desvíos de tráfico no deseados y una degradación del rendimiento [2]. ### ¿Qué significa RPKI? RPKI significa Resource Public Key Infrastructure. El NIST la sitúa, junto con la validación de origen BGP (BGP-OV) y el filtrado de prefijos, entre las tecnologías recomendadas para proteger el tráfico de control del enrutamiento entre dominios [1]. Las fuentes citadas aquí no detallan su funcionamiento interno, así que esta ficha no lo describe. ### ¿Puede un empleado protegerse de un secuestro de ruta? No directamente. Estas protecciones se despliegan en los operadores. En cambio, el empleado y su responsable pueden hacer preguntas a sus proveedores, como se explica más abajo. ### ¿RPKI lo resuelve todo? Las fuentes citadas aquí no lo dicen. El NIST presenta RPKI como una tecnología recomendada entre otras, y añade medidas contra la suplantación de direcciones IP y los ataques de denegación de servicio [1]. Una publicación anterior del NIST sobre BGP ya advertía de que sus recomendaciones no constituían una defensa completa contra todas las amenazas [3]. ## Cómo funciona El NIST publica en diciembre de 2019 la guía SP 800-189, dedicada al intercambio de tráfico resiliente entre dominios (RITE). Ofrece indicaciones iniciales para proteger el tráfico de control del enrutamiento, impedir la suplantación de direcciones IP y detectar y mitigar ciertas denegaciones de servicio [2]. Sustituye a la publicación SP 800-54, aparecida en julio de 2007 y retirada el 17 de diciembre de 2019 [3]. Las recomendaciones de 2019 incluyen numerosas medidas sobre BGP. Para el enrutamiento, citan RPKI, la validación de origen BGP y el filtrado de prefijos [1]. Contra los ataques de denegación de servicio, apuntan en primer lugar a la suplantación de direcciones IP, con la validación de dirección de origen (SAV) mediante listas de control de acceso y uRPF (unicast Reverse Path Forwarding). También citan el filtrado por agujero negro activado de forma remota (RTBH), Flowspec y la limitación de la tasa de respuestas (RRL) [1]. El texto de 2007 ya explicaba qué es BGP y su importancia para Internet, y proponía buenas prácticas aplicables a casi todos los routers BGP disponibles entonces. Señalaba que los protocolos mejorados propuestos exigían en general cambios sustanciales del protocolo y podían no funcionar con las implementaciones existentes [3]. ## Lo que usted hace Las fuentes no se dirigen a los empleados: lo que sigue aplica sus conclusiones a la vida diaria, sin pretender que ellas lo prescriban. - Responsable de informática o de compras: preguntar al proveedor de acceso o de alojamiento si aplica la validación de origen BGP, RPKI y el filtrado de prefijos, que el NIST recomienda a los operadores [1]. - Responsable de informática: pedir también al proveedor que compruebe que las direcciones de origen de los paquetes que emite son legítimas, lo que corresponde a la validación de dirección de origen recomendada por el NIST [1]. - Empresa víctima de una actividad delictiva: comunicarla, pedir a sus proveedores de red que rastreen el origen del tráfico suplantado y compartir la información con la comunidad, aconseja Google [4]. - Empleado: tratar la red como un terreno que no se controla. Los casos de más abajo muestran que el tráfico transita por redes que nadie controla de extremo a extremo, de ahí el interés de no confiarle por sí sola la confidencialidad de los intercambios. ## Las trampas La primera es creer que la red de la empresa es un circuito cerrado. El tráfico pasa por redes de terceros, fuera del control de la empresa. La segunda trampa es suponer que una protección de enrutamiento basta. El NIST la incluye en un conjunto de medidas en el que figuran también la prevención de la suplantación de direcciones y el filtrado contra la denegación de servicio [1]. La tercera es confundir los distintos incidentes de red. Un ataque de denegación de servicio inunda a su objetivo con tráfico inútil; según Google, no expone los datos de los usuarios ni conduce a un compromiso, pero puede provocar una caída y una pérdida de confianza si no se mitiga con rapidez [4]. ## Casos reales ### Marzo de 2014: YouTube inundado por navegadores Según Google, en marzo de 2014, un JavaScript malicioso inyectado en miles de sitios web mediante un ataque de intermediario en la red llevó a cientos de miles de navegadores a inundar YouTube de solicitudes, hasta un pico de 2,7 millones de solicitudes por segundo [4]. No es un secuestro BGP, y el texto de Google no lo presenta como tal. Muestra que el tráfico puede modificarse por el camino y volverse contra un servicio, lo que justifica la prudencia del empleado ante la red. ### Septiembre de 2017: una denegación de servicio de 2,5 Tbps Google afirma haber absorbido en septiembre de 2017 un ataque de 2,5 Tbps, culminación de una campaña de seis meses. El atacante había utilizado varias redes para suplantar 167 millones de paquetes por segundo dirigidos a 180 000 servidores CLDAP, DNS y SNMP expuestos, que después devolvían grandes respuestas hacia Google. El ataque no tuvo ningún impacto [4]. Google avisó a sus proveedores de red de miles de servidores vulnerables y trabajó con ellos para encontrar el origen de los paquetes suplantados, a fin de que se filtraran [4]. El caso ilustra la suplantación de direcciones IP que las recomendaciones del NIST buscan prevenir [1]. Los secuestros de tráfico de Google en 2018 y el incidente de YouTube y Pakistan Telecom de 2008 no figuran en ninguna de las fuentes citadas aquí y, por tanto, no se describen. ## Fuentes 1. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation», 17 de diciembre de 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consultado el 3 de noviembre de 2026) 2. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation», 17 de diciembre de 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consultado el 3 de noviembre de 2026) 3. NIST, «Border Gateway Protocol Security», 17 de julio de 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consultado el 3 de noviembre de 2026) 4. Google, «Identifying and protecting against the largest DDoS attacks», 17 de octubre de 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.