Gli attacchi DDoS volumetrici hanno cambiato scala. Eventi oltre il Tbps non sono più eccezione statistica, ma una componente ricorrente del panorama di minaccia. Affrontarli richiede un ripensamento dell’architettura difensiva, che deve operare in modo distribuito, automatizzato e integrato con la rete.
Capacità di scrubbing oltre 1 Tbps
Il primo requisito è dimensionale. Un centro di scrubbing deve poter assorbire traffico volumetrico senza diventare esso stesso un collo di bottiglia. Nexim opera capacità di mitigazione superiori a 1 Tbps, distribuite su più punti di presenza, in modo da ripulire il traffico il più vicino possibile alla sorgente dell’attacco e restituire al cliente solo traffico legittimo, con latenza contenuta.
Threat intelligence integrata
La capacità da sola non basta: serve riconoscere rapidamente cosa filtrare. La piattaforma è alimentata da feed di threat intelligence aggiornati, che includono:
- elenchi di reflector e amplificatori noti (DNS, NTP, Memcached, CLDAP);
- indicatori di compromissione associati a botnet attive;
- firme comportamentali per attacchi L7 (HTTP flood, slow attack, abuso di API);
- pattern di traffico tipici di booter/stresser commerciali.
Questo permette di passare da regole reattive a politiche predittive, riducendo il tempo di rilevamento e il rumore sui falsi positivi.
BGP Flowspec per la mitigazione a monte
Il terzo elemento è la propagazione delle contromisure. BGP Flowspec (RFC 8955) consente di distribuire regole di filtraggio granulari, basate su combinazioni di prefisso sorgente/destinazione, protocollo, porta, lunghezza pacchetto e flag TCP, direttamente verso router upstream e peer.
In pratica significa contenere l’attacco prima che raggiunga il perimetro del cliente, scaricandone il volume sulla rete dei provider a monte invece di assorbirlo a valle. I tempi di attivazione si misurano in secondi, e le regole possono essere revocate con la stessa rapidità una volta cessato l’evento.
Una postura, non un prodotto
La protezione DDoS efficace non si improvvisa durante l’incidente. Richiede progettazione preventiva: dimensionamento della capacità, accordi con gli upstream, integrazione con i sistemi di monitoraggio del cliente e procedure operative testate. È un lavoro di rete prima ancora che di sicurezza applicativa.