Un attacco denial of service (Denial of Service) è un attacco informatico volto a compromettere la disponibilità di un sistema di destinazione. Un hacker usa una singola origine per inondare un sistema di destinazione di richieste, sovraccaricando il sistema (un servizio, un server o una rete) e rendendolo incapace di elaborare le richieste, con il risultato di un Denial of Service per gli utenti legittimi.
Un attacco DDoS è un tipo di attacco Denial of Service. Prevede che gli hacker utilizzino più fonti compromesse per produrre un attacco volumetrico. Queste fonti distribuite potrebbero includere una botnet - una rete di computer infettati da software dannoso controllati come gruppo.
Qual è la differenza tra un attacco Denial of Service e un attacco DDoS?
Un attacco DDoS è un tipo di attacco Denial of Service. La differenza principale è che un attacco Denial of Service proviene da una singola fonte/indirizzo IP, mentre un attacco DDoS, come suggerisce il nome, è distribuito: proviene da numerose fonti/indirizzi IP.
Un attacco DDoS, utilizzando numerosi dispositivo compromessi, può intensificare l'attacco e rendere più difficile per il bersaglio riprendersi e difendersi dall'attacco.
Quali sono i diversi tipi di attacco DDoS?
Puoi raggruppare gli attacchi DDoS in base al livello Open Systems Interconnection (OSI) preso di mira. Più comunemente, gli attacchi si verificano ai livelli di rete (livello 3 del modello OSI), di trasporto (livello 4 del modello OSI) e di applicazione (livello 7 del modello OSI).
Attacco DDoS di livello ¾
Gli attacchi DDoS di livello ¾ si verificano a livello di infrastruttura di un sistema di destinazione. Il livello 3 è il livello di rete responsabile di decidere attraverso quale percorso fisico i dati devono spostarsi all'interno della rete. Il livello 4 fornisce il trasferimento dei dati tra host e garantisce l'integrità dei dati e la completezza del trasferimento, che viene eseguito dal Transport Control Protocol (TCP).
Gli attacchi DDoS ai livelli 3 + 4 vengono effettuati inviando enormi volumi di traffico al sistema nel tentativo di sovraccaricare la capacità disponibile della rete.
Gli attacchi comuni ai livelli 3 + 4 includono: UDP Flood, attacchi SYN Flood e attacchi Internet Control Message Protocol (ICPM).
Attacchi di livello 7
Gli attacchi DDoS di livello 7 prendono di mira il livello di applicazione - sebbene non siano comuni quanto gli attacchi di livello 3/4, gli attacchi di livello 7 sono più sofisticati e quindi richiedono più risorse per essere mitigati.
Gli attacchi DDoS di livello 7 prendono di mira parti di importanza critica di un'applicazione con l'obiettivo di influire negativamente sulle sue prestazioni. Un esempio comune di attacco DDoS di livello 7 consiste nell'inondare di richieste la pagina di accesso di un'applicazione o nel prendere di mira un'API esposta con una richiesta di ricerca costosa. Rimediare a questi attacco può essere molto costoso per un’azienda.
Quale vantaggio offre un attacco DDoS agli hacker?
La natura di un attacco DDoS (essendo distribuito) aiuta un malintenzionato a raggiungere i suoi scopi nefasti, rendendolo una scelta popolare per mettere efficacemente fuori uso un sistema di destinazione:
Un attacco DDoS ha spesso più successo perché:
Per la sua natura distribuita, un attacco DDoS può essere difficile da individuare: poiché gli sforzi provengono da vari sistemi di attacco, le organizzazioni possono impiegare tempo e risorse per identificare l'origine di un attacco e fermarlo.
Con più sistemi di attacco in gioco, la scalabilità e l'impatto di un attacco possono essere maggiori.
Una volta identificata la fonte (o le fonti) di un attacco, possono volerci tempo e impegno per bloccare la fonte o le fonti dell'attacco, il che significa più tempo perché l'attacco continui.
Nascosto dietro diverse fonti e posizioni di attacco, può essere molto difficile identificare il responsabile o i responsabili dell'attacco, rendendo più facile per i malintenzionati nascondersi.
Quali sono le diverse categorie di attacchi Denial of Service?
Attacchi volumetrici
L'obiettivo generale degli attacchi volumetrici è sovraccaricare la larghezza di banda e le risorse del sistema di destinazione tramite un afflusso di traffico nel sistema. Quando questi attacchi volumetrici vengono eseguiti tramite più sistemi di attacco, si tratta di un attacco volumetrico distribuito: un attacco DDoS volumetrico.
Esempi di attacchi volumetrici includono gli attacchi SYN Flood, gli attacchi ICMP flood, gli attacchi UDP flood, gli attacchi HTTP flood, gli attacchi di amplificazione DNS.
Attacchi al livello di applicazione
L'obiettivo degli attacchi a livello di applicazione è prendere di mira elementi specifici dei sistemi di un obiettivo: potrebbero essere applicazione o servizio specifici in esecuzione sui server dell'obiettivo. Questi attacchi sfruttano le vulnerabilità all'interno dei sistemi target e si basano sull'incapacità del target di mitigare in modo rapido ed efficace le attività dannose. Anche in questo caso, quando vengono eseguiti da più sistemi di attacco, sono classificati come un attacco DDoS a livello di applicazione.
Esempi di attacchi al livello di applicazione includono un attacco DDoS di livello 7, attacchi di protocollo e flood di continuazione HTTP/2 o flood crittografati HTTP/S.
Come puoi proteggerti dagli attacchi Denial of Service e DDoS?
Ci sono diverse misure che dovresti adottare per garantire che i tuoi sistemi e le tue applicazioni siano protetti dagli attacchi Denial of Service e DDoS. Puoi leggere qui per un approfondimento su come difenderti dagli attacchi DDoS.
Comprendi i tuoi modelli di traffico
Le organizzazioni dovrebbero definire un ‘profilo di traffico’ che stabilisca quale sia il comportamento del traffico ‘normale’ e ‘buono’ nella loro rete. Con questa definizione di «normale», le organizzazioni possono quindi stabilire regole sul traffico per accettarlo in base a ciò che è buono/normale e bloccarlo in base a ciò che esula dall'attività di traffico prevista.
La limitazione della velocità di Fastly fornisce una baseline, consentendoti di implementare poi metodi di rilevamento avanzati per ricevere traffico che è stato convalidato analizzando variabili aggiuntive.
Limita l’esposizione della tua organizzazione
Un modo semplice per limitare gli attacchi DDoS è ridurre la superficie di attacco disponibile, rendendo così difficile per gli hacker trovare un bersaglio facile. Le aree di indagine dovrebbero includere la limitazione dell'esposizione a host, porte e protocolli, e a qualsiasi applicazione da cui non ti aspetti comunicazioni. Puoi ottenere questo risultato posizionando le risorse della tua infrastruttura dietro un proxy Rete di distribuzione dei contenuti (Rete di distribuzione dei contenuti): usando la Rete di distribuzione dei contenuti, puoi limitare facilmente dove il traffico di rete può viaggiare all'interno della tua infrastruttura. L'uso di un Firewall o di Lista di controllo degli accessi (ACLS) può aiutare a controllare il traffico affinché non raggiunga applicazioni specifiche.
Usa un Firewall basato su applicazione
Un web application firewall (WAF) come quello di Fastly può aiutarti a proteggerti facilmente dagli attacchi OWASP Top 10. Questo ti consente quindi di concentrarti sul tuo profilo di traffico personalizzato (menzionato sopra). Utilizzando il tuo profilo di traffico personalizzato, puoi proteggerti da ulteriori richieste non valide che prendono di mira i tuoi sistemi. Un web application firewall è utile anche per mitigare gli attacchi, poiché ti consente di sfruttare supporto esperto per studiare il tuo traffico e creare una protezione personalizzata per le tue applicazioni.
Aumenta la scalabilità, by design
In aggiunta alle iniziative sopra indicate, puoi aumentare la tua capacità di larghezza di banda e/o la capacità dei server per aiutare ad assorbire e mitigare eventuali attacco, aumentando essenzialmente la capacità del sistema di essere bombardato di richiesta e rimanere comunque operativo. Una pratica comune consiste nell’utilizzare il bilanciamento del carico per monitorare continuamente e spostare i carichi tra le risorse disponibili, in modo da evitare di sovraccaricare un singolo punto.
Strumenti come Fastly DDoS Protection si distribuiscono rapidamente e proteggono immediatamente dagli attacchi DDoS alle applicazioni. Grazie all'enorme larghezza di banda della nostra rete e alle tecniche adattive, DDoS Protection garantisce performance e disponibilità senza alcuna configurazione