Attacchi DDoS - Cosa sono e come proteggersi

Nel luglio del 2021, il servizio di sicurezza IT Cloudflare ha resistito a un attacco DDoS da record. Gli hacker hanno bombardato l'azienda con oltre 17 milioni di richieste al secondo. Non è stato un caso isolato: nel solo 2020, ci sono stati circa 10 milioni di attacchi DDoS e il numero di incidenti è in aumento.

L'arbitrarietà di questi attacchi è ciò che li rende così pericolosi. Lo scopo principale degli attacchi DDoS non è rubare dati; piuttosto, l'obiettivo degli autori è interrompere il servizio e rendere inaccessibili i siti Web. Questo articolo illustra chi c'è dietro gli attacchi DDoS, come si comportano e cosa puoi fare per difenderti.

Un attacco DDoS (Distributed Denial of Service - Interruzione Distribuita del Servizio) è un attacco informatico volto a rendere non disponibile un servizio o un server. Migliaia di computer attaccano lo stesso obiettivo inviando messaggi da luoghi diversi contemporaneamente. Il server si arresta in modo anomalo a causa del volume delle richieste, rendendo il sito Web o l'applicazione inaccessibile agli utenti legittimi. I visitatori del sito interessato visualizzano spesso il messaggio di errore "Servizio HTTP 503 non disponibile" oppure il caricamento della pagina richiederà un tempo insolitamente lungo.

La rete di computer che perpetra l'attacco è solitamente costituita da un gruppo di dispositivi dirottati, noti come botnet o rete zombie. È probabile che i proprietari di questi computer abbiano scaricato malware per errore e potrebbero non essere consapevoli del fatto che i loro dispositivi siano coinvolti; la mente dell'attacco si trova spesso a migliaia di chilometri di distanza.

Negli ultimi dieci anni, i dispositivi dell'Internet of Things (IoT) con sicurezza debole, come telecamere di rete, sensori, smart TV e luci, sono stati sempre più sfruttati dagli hacker per attacchi DDoS. Tuttavia, al momento, i criminali informatici non hanno bisogno di distribuire malware per creare una botnet; possono semplicemente noleggiare botnet "DDoS as a service" a prezzi convenienti sul dark web.

Le botnet attaccano vari livelli di protocolli di rete nel tentativo di sfruttare le vulnerabilità di una rete e bloccarne il traffico. Questi attacchi di solito prendono di mira aziende, come piattaforme, servizi cloud o banche. I motivi possono essere diversi, quali ad esempio:

Gli esperti usano due parametri per categorizzare gli attacchi DDoS:

Quasi tutte le applicazioni Internet utilizzano l'architettura client-server. Un computer (il client) invia una richiesta a un altro computer (il server). Ciò accade, ad esempio, ogni volta che digiti un indirizzo web nel tuo browser.

I server in genere hanno una larghezza di banda di diversi gigabit al secondo (Gbps), consentendo loro di elaborare migliaia di richieste contemporaneamente. Tuttavia, sorgono problemi quando il volume di traffico supera quello che il server è in grado di gestire. Puoi immaginarla come una strada durante il traffico dell'ora di punta. Anche sulle autostrade più larghe, l'enorme volume di auto può causare congestione.

Indipendentemente dalla tecnica utilizzata, un attacco DDoS segue sempre gli stessi passaggi:

I protocolli Internet hanno vari livelli, ognuno dei quali regola un diverso aspetto del trasporto dei dati. Il modello OSI (visualizzato di seguito) illustra il processo assegnando una funzione specifica a ciascun livello. A seconda del tipo di attacco DDoS, possono essere interessati diversi livelli ed interfacce. Di conseguenza, gli esperti IT raggruppano gli attacchi DDoS nelle seguenti categorie:

Di seguito sono riportati esempi di tipi specifici di attacchi DDoS, insieme a descrizioni del loro funzionamento.

Lo User Datagram Protocol (Protocollo Datagramma Utente), o UDP, è un protocollo senza connessione del livello di trasporto che funziona senza un handshake a tre vie. Durante le inondazioni UDP, gli hacker invadono le porte di un server con pacchetti UDP di grandi dimensioni fino a quando la larghezza di banda del server non è completamente esaurita. I firewall spesso crollano perché viene creato un messaggio di stato per ogni richiesta. Gli indirizzi IP vengono spesso falsificati durante le inondazioni UDP.

I Domain Name Systems (Sistemi Nomi di Dominio), o server DNS, traducono gli URL in indirizzi IP utilizzando una serie di numeri, ad esempio 96.92.212.183. Quando un utente digita il sito web digitale.co, ad esempio, nel proprio browser, il server DNS risponde con l'indirizzo IP corrispondente. Durante gli attacchi DNS specchio, gli hacker falsificano l'indirizzo IP della loro vittima e utilizzano tecniche di amplificazione per inondare un server DNS di richieste. Il server DNS risponde alle richieste, inondando il bersaglio di informazioni e mandando in crash il sistema.

A differenza del protocollo UDP, il protocollo TCP stabilisce una connessione con un handshake. Il client invia un messaggio SYN (sincronizzato), il server risponde con una conferma SYN-ACK (sincronizzazione - riconoscimento) e dal client viene restituita una conferma ACK. Se la conferma ACK finale non viene ricevuta, la connessione non verrà stabilita. Troppe richieste aperte di questo tipo possono causare il collasso di un server.

Il protocollo del metodo di controllo Internet (ICMP) viene utilizzato per diagnosticare i problemi di comunicazione di rete all'interno del protocollo Internet versione 4 (IPv4). Questo protocollo utilizza, tra le altre cose, "ping" per scambiare messaggi di errore. Durante un attacco ping mortale, un server viene invaso da pacchetti enormi mascherati da numerosi pacchetti più piccoli. La somma dei piccoli pacchetti supera il limite di dimensione dei pacchetti IPv4 di 65.535 byte, quindi quando il server tenta di mettere insieme i piccoli pacchetti, si arresta in modo anomalo.

Anche gli attacchi Smurf (letteralmente Puffi) comportano l'invio da parte dei robot di un numero enorme di pacchetti ping, ma, a differenza degli attacchi mortali, i pacchetti non sono difettosi. Invece, le richieste di ping arrivano all'indirizzo di trasmissione della rete con l'indirizzo IP della vittima falsificato. Ogni computer della rete risponde alle richieste false, generando un picco di traffico sul server interessato. Il numero significativo di piccoli attacchi, in grado di esaurire la larghezza di banda, è ciò che dà il nome a questo tipo di attacco DDoS.

I browser Internet come Chrome o Mozilla operano nel livello applicativo del modello OSI. Inviano richieste GET o POST all'interno del protocollo HTTP per richiedere dati statici o dinamici (immagini o video) dai server. Durante un'inondazione HTTP, queste richieste del bot vengono indirizzate a un server, ostacolando la sua capacità di rispondere alle richieste degli utenti legittimi. Dal momento che sono difficili da differenziare dalle richieste genuine, identificarle e difendersi è difficile.

Slowloris influisce anch'esso sul protocollo HTTP a livello di applicazione. A differenza delle inondazioni HTTP, le richieste vengono inviate con intestazioni false. Le connessioni aperte paralizzano il server. Gli attacchi Slowloris in genere richiedono più tempo per essere eseguiti rispetto ad altri tipi di attacchi DDoS, tuttavia possono interrompere il traffico per un periodo di tempo prolungato.

L'aumento dell'attività online a causa della pandemia di Covid-19 ha portato ad un forte aumento degli attacchi DDoS. Secondo la società di sicurezza IT F5 Labs, solo tra gennaio e marzo 2020, il numero di attacchi DDoS è aumentato del 55%. Di seguito, abbiamo elencato alcuni famigerati attacchi DDoS che hanno fatto notizia a livello mondiale:

Poiché gli attacchi DDoS sono estremamente complessi, difendersi da essi richiede un approccio multilivello. Le aziende e le organizzazioni, in particolare, dovrebbero sviluppare una strategia di difesa sin dall'inizio per assicurarsi di essere preparate per lo scenario peggiore. Le strategie vincenti di solito includono l'adozione delle seguenti misure:

Gli attacchi DDoS continueranno ad essere una delle maggiori minacce informatiche anche nel prossimo futuro. Il fatto che le menti dietro questi attacchi utilizzino computer dirottati rende difficile prevenirli o proteggersi da essi. Pertanto, il miglior contrasto agli attacchi DDoS è la creazione di sistemi IT resilienti in grado di identificare e reindirizzare rapidamente il traffico dannoso.