Gli attacchi DDoS hanno superato da tempo la soglia dei 500 Gbps di picco, con eventi documentati oltre i 3 Tbps. La difesa non può più basarsi solo sul dimensionamento della banda: serve un’architettura multi-layer che combini capacità volumetrica, intelligence e filtraggio distribuito.
Scrubbing center oltre 1 Tbps
La capacità aggregata di scrubbing di Nexim Italia supera 1 Tbps, distribuita su più punti di presenza. Il traffico sospetto viene deviato tramite annunci BGP verso i nodi di pulizia, ispezionato e reinstradato pulito verso la destinazione. La distribuzione geografica riduce l’impatto sulla latenza e garantisce ridondanza in caso di attacchi multi-vettore simultanei.
Threat intelligence integrata
Le regole di mitigazione sono alimentate da feed di threat intelligence continuamente aggiornati, che includono:
- reputation di ASN e prefissi ricorrenti in attività malevole;
- signature di botnet note e reflector abusati (DNS, NTP, memcached, CLDAP);
- pattern comportamentali su traffico application-layer (HTTP/HTTPS flood, slowloris, credential stuffing).
La correlazione tra i feed consente di anticipare la classificazione del traffico e di ridurre i falsi positivi sui servizi legittimi.
BGP flowspec: filtraggio alla sorgente
Per gli attacchi volumetrici più aggressivi, BGP flowspec (RFC 8955) permette di propagare regole di filtraggio granulari verso gli upstream provider. In pratica, il traffico malevolo viene scartato il più vicino possibile alla sorgente, prima di saturare i link di transito. Le regole possono agire su combinazioni di IP sorgente/destinazione, protocollo, porta, lunghezza pacchetto e flag TCP.
Tempi di mitigazione e monitoraggio
La combinazione dei tre livelli consente tempi di intervento nell’ordine dei secondi dall’individuazione dell’anomalia. Le soglie sono personalizzabili per profilo di servizio — gaming, e-commerce, broadcast live, wholesale — e il monitoraggio è presidiato dal NOC 24/7, con alerting integrabile nei sistemi del cliente via API, SNMP o webhook.
Quando valutare una protezione dedicata
Un servizio DDoS protection dedicato diventa necessario quando l’indisponibilità genera perdite economiche o reputazionali significative: piattaforme transazionali, servizi finanziari, media, gaming online e infrastrutture critiche. Per questi scenari il dimensionamento della protezione va calibrato sui vettori specifici del settore e sui tempi di RTO tollerabili.