In sintesi
- Un attacco DDoS (Distributed Denial of Service) cerca di rendere irraggiungibile un sito, un’app o un’intera rete sommergendoli di traffico o di richieste inutili.
- Di per sé non ruba dati: il danno è l’interruzione del servizio, con conseguenze su clienti, reputazione e ricavi.
- Si ferma distinguendo il traffico buono da quello cattivo, e farlo il più lontano possibile dal bersaglio è decisivo.
- Secondo un chiarimento dell’ACN riportato da Cybersecurity360, per i soggetti NIS2 conta l’impatto di un disservizio, non la sua causa.
In parole semplici
Immaginate una pizzeria di quartiere il sabato sera. All’improvviso arriva una folla di finti clienti: occupano tutti i tavoli senza ordinare, tengono il telefono sempre occupato con prenotazioni false e si accalcano davanti alla porta. I clienti veri restano fuori e se ne vanno. Nessuno ha toccato la cassa, ma la serata è persa.
Un attacco DDoS è esattamente questo, trasferito su Internet. La parola distribuito indica che i finti clienti non arrivano da un solo punto, ma da moltissimi dispositivi sparsi ovunque: computer, router domestici, telecamere connesse e altri oggetti compromessi, riuniti in una botnet e spesso all’insaputa dei loro proprietari. Proprio perché l’attacco arriva da tante direzioni insieme, non basta “chiudere la porta” a un singolo indirizzo.
Come funziona
Gli attacchi DDoS si dividono in tre grandi famiglie, che colpiscono punti diversi della catena.
- Volumetrici: puntano a riempire il “tubo”, cioè la banda di connessione. Una tecnica diffusa è l’amplificazione: l’attaccante invia piccole richieste a server esposti su Internet (per esempio DNS) falsificando il mittente, e questi rispondono con pacchetti molto più grandi diretti alla vittima.
- Di protocollo: esauriscono le risorse di firewall, bilanciatori di carico e server, per esempio aprendo una marea di connessioni che non vengono mai completate.
- Applicativi: imitano utenti reali e bersagliano le funzioni più “costose” di un servizio, come ricerche, login o carrelli. Sono i più subdoli, perché ogni singola richiesta sembra legittima.
Fermarli richiede più livelli di difesa che lavorano insieme:
- Architettura: ridondanza, nessun servizio esposto senza motivo, capacità distribuita su più punti della rete (per esempio con CDN e instradamento anycast) per diluire il carico.
- Rilevamento: conoscere il proprio traffico “normale” per accorgersi subito delle anomalie.
- Mitigazione a monte: l’operatore devia il traffico sospetto verso centri di filtraggio (scrubbing center) che scartano la parte malevola e restituiscono solo quella pulita. In casi estremi si può ricorrere al blackholing, che sacrifica temporaneamente l’indirizzo attaccato per salvare il resto della rete.
- Difese applicative: web application firewall, limiti al numero di richieste per utente, verifiche per distinguere persone e bot.
- Piano di risposta: chi chiamare, chi decide, come comunicare con clienti e utenti.
Perché se ne parla
Che cosa succede quando una rete riceve più dati di quanti riesca a gestirne lo ha mostrato, senza alcun attacco, il blocco dei voli negli Stati Uniti. Come riporta DatacenterDynamics, i decolli sono stati fermati su scala nazionale per un “guasto alle telecomunicazioni”, con router “sovraccaricati di dati” e la colpa attribuita all’introduzione di una nuova tecnologia. Secondo Cybersecurity360, l’episodio del 13 novembre mette in luce la fragilità delle infrastrutture critiche e i rischi delle reti legacy. Un DDoS cerca di provocare deliberatamente lo stesso effetto: la saturazione.
C’è poi un tema di regole. Sempre Cybersecurity360 riferisce che l’ACN, a proposito dei disservizi Microsoft, ha chiarito che per i soggetti NIS già obbligati la notifica scatta se si superano i livelli di servizio attesi: conta l’impatto, anche quando la causa è tecnica. Per chi rientra nella NIS2, quindi, un servizio fermo è prima di tutto un problema di continuità da gestire e, se serve, da notificare, qualunque sia l’origine.
Le domande più frequenti
Un DDoS può rubare i miei dati?
Di per sé no: il suo scopo è bloccare, non entrare. In alcuni casi però può servire da diversivo per distrarre i team di sicurezza mentre è in corso un altro tipo di attacco, quindi va sempre monitorato tutto il perimetro.
Sono troppo piccolo per essere un bersaglio?
No. Chiunque dipenda da un servizio online può essere colpito, e si può subire un disservizio anche di riflesso, se si condivide un’infrastruttura con il vero obiettivo dell’attacco.
Il firewall aziendale non basta?
Contro gli attacchi volumetrici, no. Se il “tubo” è già pieno prima di arrivare in azienda, il firewall non riceve nemmeno il traffico legittimo. Il filtraggio va fatto a monte, nella rete dell’operatore o di un servizio specializzato.
Cosa fare durante un attacco?
Avvisare subito il proprio operatore o fornitore di protezione, attivare il piano di risposta, informare utenti e clienti in modo trasparente e valutare con il referente legale gli eventuali obblighi di notifica.
Il punto di vista Nexim
Dal punto di vista di un operatore la regola è semplice: un attacco DDoS si ferma meglio dove il traffico entra, non dove arriva. Per questo la protezione funziona davvero quando è integrata nella connettività, nell’IP transit e nell’infrastruttura di data center, invece di essere aggiunta all’ultimo momento sul singolo server. Il consiglio pratico per aziende, PA e operatori è partire da tre domande: quali servizi sono esposti, quanto costa ogni ora di fermo, chi interviene e in quanto tempo. Chi vuole approfondire come si costruisce questa difesa a più livelli può consultare la pagina dedicata alla protezione DDoS e sicurezza di rete di Nexim.
Fonti
- DatacenterDynamics – US flights resume after “telecommunications outage” causes nationwide ground stop, new tech rollout blamed
- Cybersecurity360 – Il blocco dei voli USA rivela i rischi delle reti legacy
- Cybersecurity360 – Disservizi Microsoft, l’ACN chiarisce gli obblighi NIS2: conta l’impatto, non la causa