Attacco DDoS

Perche e Importante

Gli attacchi Distributed Denial of Service rappresentano una delle forme di attacco informatico piu accessibili e dirompenti. Inondando i target con traffico travolgente, gli attaccanti possono mettere offline siti web, interrompere operazioni aziendali e causare danni finanziari significativi - spesso senza competenze tecniche sofisticate.

L'impatto finanziario degli attacchi DDoS va oltre la perdita diretta di ricavi. Le organizzazioni affrontano danni reputazionali, abbandono dei clienti e costi associati a mitigazione e recovery. Per le aziende dipendenti dai servizi online, anche brevi interruzioni si traducono in perdite sostanziali.

Gli attacchi DDoS si sono evoluti da semplici fastidi ad armi strategiche. Gli stati-nazione li usano per interrompere l'infrastruttura degli avversari, gli estorsori chiedono riscatti per fermare attacchi in corso e i concorrenti possono usarli per vantaggio commerciale. L'industria DDoS-for-hire rende il lancio di attacchi banalmente facile ed economico.

Per i professionisti della sicurezza, comprendere gli attacchi DDoS e essenziale per progettare architetture resilienti e piani di incident response. Gli attacchi testano non solo le difese tecniche ma la preparazione organizzativa e la comunicazione durante le crisi.

Come Funzionano gli Attacchi DDoS

Gli attacchi DDoS sfruttano fonti di attacco distribuite per generare volumi di traffico che travolgono la capacita del target:

Infrastruttura di Attacco

• Botnet: Reti di dispositivi compromessi (computer, dispositivi IoT, server) controllati dagli attaccanti
• Amplificazione: Protocolli che generano risposte grandi da richieste piccole
• Riflessione: Server di terze parti partecipano inconsapevolmente agli attacchi
• DDoS-for-hire: Servizi criminali che offrono attacchi a costo minimo

Obiettivi dell'Attacco

1. Esaurire la banda: Saturare le connessioni di rete
2. Travolgere i server: Consumare CPU, memoria o limiti di connessione
3. Sfruttare la logica applicativa: Innescare operazioni costose
4. Distrarre i difensori: Coprire altre attivita malevole

Tipi di Attacchi DDoS

Attacchi Volumetrici

Inondano il target con volumi di traffico massicci, misurati in bit al secondo (bps).

Tecniche comuni:

• UDP Flood: Invia grandi numeri di pacchetti UDP a porte casuali
• ICMP Flood: Travolge con richieste ping
• DNS Amplification: Piccole query generano risposte grandi riflesse al target
• NTP Amplification: Sfrutta il comando monlist NTP per amplificazione 556x

Attacchi a Protocollo

Sfruttano debolezze nei protocolli di rete, misurati in pacchetti al secondo (pps).

Tecniche comuni:

• SYN Flood: Esaurisce le risorse del server con connessioni half-open
• Ping of Death: Pacchetti ping malformati fanno crashare i sistemi
• Attacco Smurf: Amplificazione broadcast ICMP
• Attacchi Pacchetti Frammentati: Sfruttano vulnerabilita di riassemblaggio

Attacchi Application Layer

Prendono di mira applicazioni specifiche, misurati in richieste al secondo (rps). Spesso i piu difficili da rilevare perche il traffico appare legittimo.

Tecniche comuni:

• HTTP Flood: Richieste apparentemente legittime travolgono i web server
• Slowloris: Mantiene connessioni aperte con richieste parziali
• Low and Slow: Consuma risorse con traffico minimo
• DNS Query Flood: Travolge l'infrastruttura DNS

Rilevamento e Indicatori

Indicatori di Traffico

• Picco improvviso in banda o richieste
• Traffico da regioni geografiche insolite
• Alto volume da singoli range IP
• Distribuzione anomala dei protocolli
• Richieste che prendono di mira endpoint specifici

Indicatori di Sistema

• Tempi di risposta del server aumentati
• Timeout di connessione
• Indisponibilita del servizio
• Esaurimento risorse (CPU, memoria, connessioni)

Strategie di Mitigazione

Protezione a Livello di Rete

• Over-provisioning: Mantenere capacita di banda superiore alle necessita normali
• Anycast routing: Distribuire traffico tra data center multipli
• Black hole routing: Instradare traffico di attacco a destinazione null (scarta anche traffico legittimo)
• Rate limiting: Restringere richieste per IP sorgente

Servizi di Protezione DDoS

• Scrubbing cloud-based: Traffico instradato attraverso la rete del provider per filtraggio
• Content Delivery Network (CDN): Assorbono e distribuiscono traffico
• Web Application Firewall (WAF): Filtrano attacchi application-layer
• Soluzioni ibride: Detection on-premise con mitigazione cloud-based

Difese a Livello Applicativo

• Sfide CAPTCHA: Distinguono umani da bot
• Rate limiting per utente/sessione: Limita frequenza richieste
• Caching: Riduce elaborazione server per richieste ripetute
• Load balancing: Distribuisce traffico tra server multipli
• Filtro geografico: Blocca traffico da regioni irrilevanti

Incident Response

Connessione alla Carriera

La difesa DDoS coinvolge network engineering, security operations e incident response. I professionisti che comprendono sia le tecniche di attacco che le strategie di mitigazione sono essenziali per mantenere la disponibilita dei servizi in ambienti ostili.