Attacco DDoS: cos’è e come funziona
Che cos’è un attacco Distributed Denial of Service (DDoS)?
Il Distributed Denial of Service (DDoS) è una tipologia di attacco informatico che ha l’obiettivo di rendere indisponibile un servizio online. Questo avviene sovraccaricando i servizi di rete con un’enorme quantità di traffico malevolo proveniente da più fonti.
In altre parole, un attacco DDoS mira a bloccare il funzionamento di un sito web, server o rete inviando un volume eccessivo di richieste, tanto da saturare le risorse disponibili.
Come funziona un attacco DDos
Un attacco DDoS sfrutta una rete di dispositivi compromessi, noti come botnet, per generare traffico illegittimo verso l’obiettivo.
Questi dispositivi possono essere computer, smartphone, o persino dispositivi IoT (Internet of Things) infettati da malware che li rende controllabili da remoto.
Una volta che l’attaccante ha il controllo della botnet, può comandarla per inviare una quantità massiccia di richieste simultanee al bersaglio, sovraccaricandolo e causando la sospensione o il rallentamento dei servizi offerti.
Tipi di attacco DDoS
Gli attacchi DDoS possono essere classificati in diverse categorie in base al metodo utilizzato per sovraccaricare il sistema target:
Attacchi di Volume
Questi attacchi mirano a saturare la larghezza di banda della rete con un alto volume di traffico. Gli attacchi di volume includono metodi come il flooding di UDP (User Datagram Protocol) e il flooding ICMP (Internet Control Message Protocol).
Il flooding UDP è un tipo di attacco di volume DDoS che si sviluppa attraverso l’invio di ingenti quantità di traffico con indirizzi IP contraffatti su un sistema preso di mira, mentre il flooding ICMP i criminali sovraccaricano la larghezza di banda di un indirizzo IP o un router della rete presa di mira.
Quando il dispositivo tenta di rispondere, tutte le risorse (memoria, potenza di elaborazione, velocità dell’interfaccia) si esauriscono e non riescono più a gestire le richieste degli utenti legittimi.
Attacchi di Protocollo
Questi attacchi sfruttano le vulnerabilità dei protocolli di comunicazione per esaurire le risorse del server. Esempi di questo tipo di attacco includono il SYN flood, dove l’attaccante invia richieste di connessione SYN senza completare il processo di handshake TCP, lasciando così le risorse di sistema bloccate.
Attacchi Applicativi
Questi attacchi prendono di mira le applicazioni web e sono progettati per esaurire le risorse del server a livello applicativo. Un esempio comune è l’attacco HTTP flood, dove l’attaccante invia un numero elevato di richieste HTTP legittime ma sovraccaricanti.
Gli obiettivi del DDoS
Gli attacchi DDoS possono avere vari obiettivi, tra cui:
Interruzione del servizio
L’obiettivo primario di un attacco DDoS è interrompere la disponibilità di un servizio, rendendolo inaccessibile agli utenti legittimi. Questo può causare perdite economiche significative, soprattutto per le aziende che operano principalmente online.
Ricatto ed estorsione
Alcuni attacchi DDoS sono motivati dal desiderio di estorcere denaro. Gli attaccanti potrebbero chiedere un riscatto alle vittime in cambio della cessazione dell’attacco.
Concorrenza sleale
In alcuni casi, gli attacchi DDoS sono utilizzati da concorrenti per danneggiare la reputazione o le operazioni di una rivale azienda.
Vendetta o attivismo
Altri attacchi DDoS possono essere motivati da vendette personali o da attivismo, dove gli attaccanti cercano di promuovere una causa politica o sociale.
Come rilevare e rispondere a un DDoS
Rilevamento
Rilevare un attacco DDoS non sempre è semplice, ma alcuni segnali possono includere:
- Rallentamento improvviso dei servizi online
- Aumento anomalo del traffico di rete
- Indisponibilità di un servizio senza apparente motivo
Risposta
Per rispondere a un attacco DDoS, le aziende possono adottare diverse strategie:
- Implementazione di filtri di traffico: per bloccare il traffico malevolo prima che raggiunga i server.
- Utilizzo di CDN (Content Delivery Network): distribuiscono il traffico su più server, riducendo l’impatto dell’attacco.
- Soluzioni di mitigazione DDoS: sono fornite da provider specializzati che monitorano e gestiscono il traffico per prevenire interruzioni del servizio.
Distributed Denial of service vs Denial of Service
È importante distinguere tra un Distributed Denial of Service (DDoS) e un Denial of Service (DoS). Sebbene entrambi mirino a rendere un servizio indisponibile, esistono differenze significative:
Denial of Service (DoS)
Un attacco DoS è generalmente eseguito da una singola macchina o sorgente, e mira a sovraccaricare il sistema target con richieste o dati dannosi. Gli attacchi DoS sono meno sofisticati e più facili da mitigare rispetto ai DDoS.
Distributed Denial of Service (DDoS)
Gli attacchi DDoS, invece, utilizzano molteplici sorgenti distribuite, rendendoli più difficili da bloccare e gestire. Poiché il traffico proviene da diverse località, è più complicato distinguere tra traffico legittimo e malevolo.
Difenditi dai DDos con SGBox
La Piattaforma SGBox protegge la tua organizzazione dagli attacchi DDoS grazie alla combinazione sinergica tra le funzionalità avanzate di SIEM (Security Information & Event Management) e SOAR (Security Orchestration, Automation & Response).
La capacità di raccolta, analisi e gestione delle informazioni di sicurezza ti permette di rilevare tempestivamente una potenziale minaccia ed attivare contromisure per minimizzare i danni.