Gli attacchi DDoS hanno cambiato scala. Quello che dieci anni fa era un evento straordinario oggi è traffico di fondo: reflection, amplification e botnet IoT generano picchi volumetrici che superano regolarmente il terabit al secondo. Proteggere un’infrastruttura enterprise, un datacenter in colocation o una piattaforma di streaming richiede un’architettura pensata per assorbire, analizzare e filtrare traffico su più livelli.
Scrubbing capacity oltre 1 Tbps
Il primo strato è dimensionale. La capacità di scrubbing deve essere distribuita su più punti di presenza geografici, con interconnessione diretta ai principali IX europei. Non basta eguagliare il picco atteso: serve un margine di ordini di grandezza per gestire attacchi coordinati e simultanei.
Il traffico viene deviato tramite annunci BGP verso i centri di scrubbing, ripulito attraverso filtri comportamentali e reimmesso verso l’origine tramite tunnel GRE o cross-connect dedicati.
Threat intelligence in tempo reale
Le firme statiche non sono più sufficienti. Un sistema efficace integra:
- Feed su botnet attive e comando & controllo
- Mappatura dei reflector aperti (DNS, NTP, Memcached, CLDAP, SSDP)
- Analisi comportamentale del traffico L3/L4 e L7
- Correlazione tra eventi su più clienti per identificare campagne coordinate
Questo permette di distinguere traffico legittimo da anomalie sottili, come attacchi low-and-slow o application-layer che imitano utenti reali.
BGP flowspec: mitigazione al bordo
La componente più recente e più efficace è BGP flowspec (RFC 8955). Consente di propagare regole di filtraggio granulari direttamente ai router di bordo dell’operatore: filtri per protocollo, porta sorgente e destinazione, lunghezza pacchetto, flag TCP.
Il vantaggio è duplice: il traffico malevolo viene scartato prima di consumare banda a valle, e il tempo di attivazione della mitigazione scende da minuti a secondi.
Un approccio integrato
Nessuno di questi tre elementi, preso singolarmente, è sufficiente. Lo scrubbing senza threat intel filtra in ritardo. La threat intel senza flowspec resta un’analisi senza azione. Flowspec senza capacità di scrubbing lascia scoperti gli attacchi volumetrici puri.
La combinazione dei tre trasforma la protezione DDoS da reazione a postura difensiva continua, coerente con quanto richiesto oggi da NIS2 e dai principali framework di resilienza operativa.