Cos’è un attacco DDoS, quali sono gli obiettivi e come possono difendersi le aziende

Un attacco DDoS (Distributed Denial of Service) è un tipo di attacco informatico perpetrato con il preciso scopo di interrompere il funzionamento di un sito Web o di un server, sovraccaricando il sistema con una quantità abnorme di traffico, spesso proveniente da più fonti. L’obiettivo di questi attacchi è quello di esaurire le risorse del server o della rete, provocando rallentamenti o rendendo del tutto inaccessibile il servizio. Gli attacchi DDoS sono in continua crescita e colpiscono praticamente tutti i settori, dai giochi all’e-commerce, passando per punti decisamente più nevralgici dei servizi online divenuti essenziali al giorno d'oggi, come quelli bancari, dei trasporti e della salute, impattando in modo significativo sulla sicurezza, sulle vendite e sulla reputazione delle aziende. Dal momento che fronteggiare questi attacchi non è per nulla semplice, l'adozione di strategie preventive da parte di aziende e Pubbliche Amministrazioni che gestiscono siti Web (soprattutto quelli che hanno una certa rilevanza) è essenziale.

Come avviene un accatto DDoS e quali sono gli obiettivi

Un attacco DDoS ha come obiettivo quello di rendere non disponibile per gli utenti un sito web, un server o una rete. Si basa su una rete di dispositivi compromessi o, come si dice in gergo, di una botnet, formata da un esercito di computer e dispositivi infetti da malware e, quindi, controllati a distanza da un soggetto (o da un gruppo di soggetti criminali) che li usano per i propri scopi. Nel caso di un attacco DDoS, i migliaia di dispositivi infettati dai pirati informatici inviano richieste al sito o al server, con il risultato che il traffico legittimo degli utenti “reali” viene bloccato. Questo processo può mettere offline un intero sito Web o, nella migliore delle ipotesi, rallentare pesantemente il suo corretto funzionamento. Le botnet sono una delle risorse più potenti utilizzate per eseguire questi attacchi, in quanto consentono agli aggressori di sfruttare la potenza di numerosi dispositivi senza che gli utenti ne siano effettivamente consapevoli.

Gli attacchi DDoS possono essere classificati in tre principali categorie: volumetrici, al protocollo e a livello di risorsa. Analizziamoli un po' più da vicino.

1. Attacchi DDoS volumetrici: sono quelli più comuni e consistono nel generare un volume enorme di traffico che sembra legittimo. Questo tipo di attacco può essere realizzato, ad esempio, tramite l’amplificazione DNS, che sfrutta server DNS aperti per inviare risposte massicce al bersaglio.
2. Attacchi DDoS al protocollo: questi mirano a sfruttare le debolezze nei protocolli di rete, come il TCP, causando un esaurimento delle risorse del server. Un esempio tipico è l’attacco SYN, che utilizza tutte le risorse server disponibili.
3. Attacchi DDoS a livello di risorsa: sono mirati a danneggiare applicazioni specifiche, spesso tramite tecniche come l’injection SQL o lo scripting intersito, e colpiscono le comunicazioni tra host e server.

Nel perpetrare un attacco DDoS, i criminali informatici potrebbero usare una specifica strategie tra quelle appena elencate o anche mixarle fra di loro, iniziando magari con una tipologia di attacco e proseguendo poi con un'altra, a seconda degli scopi che intendono raggiungere con la loro azione criminale.

Quanto dura un attacco DDoS

Uno degli aspetti più interessanti riguarda la durata di un attacco DDoS. Questa può essere molto variabile e andare da alcune ore ad alcuni giorni. A questo riguardo, Microsoft ad esempio afferma:

Un attacco DDoS può durare da un paio d'ore a un paio di giorni. Un attacco potrebbe durare quattro ore, mentre un altro potrebbe durare una settimana (o di più). Gli attacchi DDoS possono anche verificarsi una sola volta o più volte in un certo periodo di tempo e consistere in più di un tipo di cyberattacco.

Come capire se è in atto un attacco DDoS e come contrastarlo

Visto il disagio che può causare un attacco DDoS, capire se è in atto un evento di questo tipo è importante, anche se non è per nulla semplice riuscire a farlo con una tempestività utile a evitarne gli effetti più dirompenti. Ci sono, comunque, alcuni segnali che potrebbero fungere da possibili “campanelli d'allarme”. Tra i più tipici citiamo un aumento improvviso e inspiegabile del traffico Web (specialmente se questo proviene dallo stesso indirizzo IP), rallentamenti nelle prestazioni di rete e, naturalmente, l'eventuale inaccessibilità del sito Web. Più sarà tempestiva la rilevazione di un'eventuale attacco DDoS in atto, più sarà semplice contrastare l'azione dei criminali.

Ma a proposito di contrastare, cosa si può fare concretamente per evitare un attacco DDoS e contrastarlo qualora dovesse interessare i propri sistemi? Partiamo dal presupposto che la protezione contro questi attacchi inizia con l’identificazione delle vulnerabilità nel sistema, l’aggiornamento regolare delle difese e la preparazione di un piano di risposta. Un approccio efficace prevede la combinazione di tecnologie di difesa, tra cui il monitoraggio della rete e l’implementazione di soluzioni di protezione basate sul cloud. La creazione di una rete resiliente e scalabile può aiutare a contrastare gli attacchi più complessi, come quelli volumetrici o applicativi. Altra cosa utilissima è la collaborazione con esperti esterni di sicurezza informatica che aiutino a identificare e mitigare le minacce: non è economicissima come soluzione, ma sicuramente è necessaria.

E in caso di attacco? Qui la differenza la fa disporre di un team di sicurezza proattivo, che sia in grado di reagire rapidamente, seguendo procedure predefinite per isolare l’attacco e proteggere i dati sensibili. La protezione dalle minacce DDoS andrebbe in realtà estesa all'intera struttura aziendale (e non circoscritta al solo team di sicurezza IT), educando il personale sugli indicatori di attacco e sui comportamenti da evitare. Oltre a tutto ciò, ovviamente, è fondamentale effettuare test periodici sulla sicurezza e realizzare esercitazioni di emergenza per verificare la reattività del team in situazioni critiche, seguendo un approccio preventivo che è, per certi versi, assimilabile a quello delle simulazioni su come comportarsi in caso di calamità naturali (in questo caso, la calamità è digitale).

non perderti questo articolo

Cos’è una botnet e come difendersi dalla “rete zombie” infetta da malware