I diversi tipi di attacco DDoS

Con l’aumento del volume, della sofisticazione e della frequenza degli attacchi DDoS, è fondamentale sapere come individuarli, mitigarli e, ancora meglio, prevenirli. Comprendere i diversi tipi di attacco DDoS è un ottimo punto di partenza. 

Che cos'è un attacco DDoS? 

Un attacco DDoS è un attacco dannoso volto a sovraccaricare un sistema di destinazione (rete, server, servizio) con un flusso di traffico. Questo tipo di attacco può rendere il bersaglio (un servizio o un server) inaccessibile agli utenti legittimi. Il flusso di traffico illegittimo proveniente da varie fonti mira a mettere fuori uso il sistema di destinazione.

Quali sono le conseguenze degli attacchi DDoS? 

Le conseguenze degli attacchi DDoS vanno ben oltre una semplice interruzione temporanea. Ecco come questi attacco possono influire sulla tua attività. Possono:

Comporta perdite finanziarie: Ogni minuto di tempo di inattività significa mancati guadagni da parte dei clienti che non possono acquistare prodotti o accedere ai servizi sul tuo sito. Attacchi prolungati o ripetuti comportano costi enormi che danneggiano il risultato finale.

Ostacola le normali operazioni aziendali: Ritardi operativi, ordini annullati e progetti bloccati danneggiano la produttività e la soddisfazione. Quando determinati servizio non sono disponibili durante un attacco, diventa difficile gestire la tua attività.

Causa danni alla reputazione: oggi i clienti si aspettano esperienze digitali coerenti e affidabili dalle aziende. Un attacco DDoS che prolunga il tempo di inattività del sito web si riflette negativamente sul tuo marchio agli occhi di questi clienti. Potrebbe far perdere loro fiducia nella tua azienda e spingerli a passare alla concorrenza. 

Aumento dei rischi per la sicurezza: Quando gli attacco sopraffanno la sicurezza esistente, espongono vulnerabilità che gli hacker possono sfruttare ulteriormente. Questo aumenta i rischi di furto di dati o di infiltrazione nella rete anche dopo la fine dell'attacco DDoS. I dati sensibili dei clienti possono essere rubati a causa dei gap di sicurezza che gli attacchi aiutano a scoprire, aggravando il danno.

Causa distrazioni operative. Gli afflussi di traffico costringono i team a impiegare larghezza di banda operativa e risorse. I malintenzionati possono quindi “intrufolarsi”, mentre i difensori sono distratti. 

Quali sono i diversi tipi di attacco DDoS? 

Puoi raggruppare gli attacchi DDoS in base al livello di Open Systems Interconnection (OSI) preso di mira.  Gli attacchi più comuni si verificano a livello di rete (livello 3 del modello OSI), di trasporto (livello 4 del modello OSI) e di applicazione (livello 7 del modello OSI).  

Attacchi DDoS di livello 3 e 4

I livelli 3 e 4 sono il livello di infrastruttura. I vettori di attacco DDoS comuni a questi livelli includono SYN flood, UDP flood e attacchi Internet Control Message Protocol (ICMP). 

Il livello 3 è il livello di rete responsabile di decidere attraverso quale percorso fisico i dati devono spostarsi nella rete. Il livello 4 fornisce il trasferimento dei dati tra host e garantisce l'integrità e la completezza del trasferimento eseguito dal Transport Control Protocol (TCP). 

Gli attacchi che prendono di mira questi due livelli generano un volume di traffico massiccio e mirano a sovraccaricare la capacità disponibile della rete o il gruppo di host. La buona notizia è che questi tipi di attacco hanno firme chiare e sono più facili da rilevare e mitigare.

Per aiutarti a vedere la differenza tra gli attacchi a questi livelli, puoi usare il grafico seguente: 

Qual è la differenza tra gli attacchi DDoS di livello 3 e 4?

Sebbene gli attacchi al livello 3 e al livello 4 del modello OSI siano entrambi attacchi DDoS volumetrici, adottano strategie leggermente diverse. Gli attacchi di livello 3 mirano a sovraccaricare tutta la larghezza di banda e la capacità di routing in un sistema/rete. Gli attacchi di livello 4 funzionano esaurendo le risorse del server tramite l'exploit di protocolli di trasporto come TCP o UDP. 

Attacchi DDoS di livello 7

Un attacco DDoS a livello di applicazione è un tentativo malevolo di sovraccaricare le applicazioni web sfruttando il livello 7 del modello OSI. Prende di mira vulnerabilità specifiche delle applicazioni per interrompere la disponibilità del servizio.

A differenza degli attacchi a livello di rete che inondano l'infrastruttura, gli incidenti a livello di applicazione sovraccaricano processi specifici dell'applicazione, consumando una notevole potenza di calcolo. Imitando il traffico e i modelli degli utenti legittimi, questi attacchi possono massimizzare l'impatto richiedendo al contempo una larghezza di banda dell'hacker molto ridotta. Questi attacchi richiedono la maggiore potenza di calcolo tra tutti gli attacchi DDoS perché sono richieste completamente formate. È il più costoso, ma può essere il più difficile da rilevare perché imita il traffico legittimo.

Qual è la differenza tra gli attacchi volumetrici, di protocollo e a livello di applicazione?

Un altro modo per classificare gli attacchi DDoS è in base alle loro caratteristiche o ai loro metodi generali, piuttosto che al livello del modello OSI in cui si verificano. Tre tipi comuni includono attacco volumetrico, attacchi al protocollo e attacchi al livello di applicazione: 

1. Attacchi volumetrici

Questo metodo mira a consumare le risorse di larghezza di banda di una rete per causare interruzioni. Gli hacker generano volumi elevati di traffico indesiderato per inondare i collegamenti ed esaurire la capacità della larghezza di banda. Esempi comuni di questo approccio includono gli attacchi UDP flood, che bombardano i sistemi presi di mira con pacchetti UDP, e gli attacchi ICMP flood, che fanno lo stesso utilizzando richieste ping ICMP. 

2. Attacco di protocollo

Gli attacchi ai protocolli tentano di exploit debolezze in protocolli di rete specifici, invece di basarsi semplicemente sulla quantità di traffico. Un esempio è un flood SYN, in cui gli hacker inviano più richiesta SYN per aprire connessioni ma non completano mai il processo di handshake. Ciò fa sì che le connessioni semiaperte si accumulino, intaccando le risorse disponibili. Un altro esempio è l'attacco Ping of Death, che invia pacchetti ICMP frammentati o di dimensioni eccessive per mandare in crash i sistemi.

3. Attacchi a livello di applicazione

A livello di applicazione, gli attacchi prendono di mira particolari servizi e vulnerabilità del software. Gli esempi includono flood HTTP e attacco Slowloris. Gli attacchi flood HTTP bombardano porte o URL specifici con un numero eccessivo di richieste. Gli attacchi Slowloris impegnano le risorse aprendo molte connessioni e mantenendole aperte il più a lungo possibile, ma inviando dati minimi.

Cosa puoi fare per proteggerti/proteggere la tua organizzazione dagli attacchi DDoS? 

1. Trova una buona soluzione DDoS! 

2. Comprendi i modelli di traffico: La prima linea di difesa consiste nel creare un profilo del traffico. Questo profilo include l’aspetto del traffico “buono” e definisce le aspettative per i volumi di traffico previsti nella rete.  Monitorare il traffico tramite questo profilo ti consente di configurare regole per accettare tutto il traffico che la tua infrastruttura è in grado di gestire senza influire sui tuoi utenti finali. 

3.  Usa la limitazione della velocità: La limitazione della velocità fornisce una base di riferimento e puoi quindi implementare metodi di rilevamento avanzati per ricevere traffico che è stato convalidato analizzando variabili aggiuntive. Basta un piccolo incidente di sicurezza per causare danni irreparabili alla tua rete e ai tuoi server e far passare i tuoi dipendenti attraverso i cinque stadi emotivi di un attacco DDoS. Quindi fai la tua due diligence fin dall'inizio.

4. Riduci al minimo l’esposizione: uno dei modi più semplici per mitigare gli attacchi DDoS è ridurre la superficie di attacco, limitando in ultima analisi le opzioni per gli hacker e consentendoti di progettare contromisure e protezioni in un unico posto. Assicurati di non esporre le applicazioni e gli host a porte, protocolli e altre applicazioni da cui non ti aspetti comunicazioni. Nella maggior parte dei casi, puoi ottenere questo risultato posizionando le risorse della tua infrastruttura dietro un proxy Rete di distribuzione dei contenuti (CDN), che limita il traffico di rete diretto a determinate parti della tua infrastruttura. In altri casi, puoi usare un Firewall o le Lista di controllo degli accessi (ACLS) per controllare il traffico che raggiunge applicazioni specifiche. 

5. Distribuisci un Firewall basato su applicazione: Se la tua applicazione ha accesso a internet, subisce attacchi più volte al giorno. In media, un’applicazione con connettività Internet subisce un attacco ogni 39 secondi. Una buona pratica consiste nell'usare un Firewall per applicazioni web (WAF) contro gli attacchi. I WAF possono fornire una visibilità critica che consente la limitazione della velocità: in questo modo, il numero di richieste che un ‘utente’ o client può effettuare entro un determinato periodo di tempo è limitato. Questo aiuta a fermare sul nascere attacchi abusivi (come un DDoS). 

6. Scalabilità per progettazione: Sebbene non sia la soluzione migliore se considerata isolatamente, aumentare la capacità della larghezza di banda (transito) o la capacità del server (computazionale) per assorbire e mitigare gli attacco può essere un’opzione. Quando progetti e sviluppi le applicazioni, assicurati di disporre di una connettività a internet ridondante che ti consenta di gestire i picchi di traffico. Una pratica comune consiste nell’utilizzare il bilanciamento del carico per monitorare continuamente e spostare i carichi tra le risorse disponibili, in modo da evitare di sovraccaricare un singolo punto. Inoltre, puoi creare le tue applicazioni web tenendo conto di una Rete di distribuzione dei contenuti, fornendo un ulteriore livello di infrastruttura di rete per distribuire contenuti spesso più vicini ai tuoi utenti finali. La maggior parte degli attacchi DDoS è di tipo volumetrico e consuma enormi quantità di risorse, e la tua applicazione deve aumentare o ridurre rapidamente la capacità di calcolo. La natura distribuita di una Rete di distribuzione dei contenuti essenzialmente disperde l'attacco fino al punto in cui viene assorbito facilmente. La Rete di distribuzione dei contenuti consente inoltre di utilizzare metodi aggiuntivi per contrastare gli attacchi più sofisticati. Lo sviluppo di un profilo di attacco consente alla Rete di distribuzione dei contenuti di rimuovere o rallentare il traffico dannoso. Infine, quando si utilizza una Rete di distribuzione dei contenuti, la cache può assorbire gran parte dell'impatto di alcuni attacco, poiché distribuisce il contenuto senza che debba tornare all'origine: un ulteriore livello di sicurezza.  

Quali sono i diversi tipi di soluzioni di mitigazione DDoS?

La capacità di 1) identificare tempestivamente gli attacchi DDoS, 2) sapere come prevenirli e 3) disporre di soluzioni per mitigarli dovrebbe far parte di qualsiasi buon programma di sicurezza. Il grafico seguente fornisce una panoramica completa dei tipi di attacco, delle caratteristiche chiave e di come prevenirli.

Come Fastly può aiutarti 

Fastly DDoS Protection si distribuisce rapidamente e protegge immediatamente qualsiasi applicazione da attacchi dirompenti e distribuiti. Sfruttando l'ampia larghezza di banda della nostra rete e tecniche adattive, mantiene automaticamente le prestazioni e la disponibilità senza alcuna configurazione richiesta. Fastly DDoS Protection è la soluzione ideale per i team che cercano di migliorare la resilienza, creare coerenza nella spesa cloud o passare a un provider di soluzioni che opera più come un partner che come un semplice fornitore.

Fastly DDoS Protection lavora con i moderni flussi di lavoro di distribuzione del software, non contro di essi, proteggendo automaticamente app e API dalle interruzioni. Indipendentemente dall'architettura, puoi distribuire la DDoS Protection di Fastly per ottenere difese rapide e scalabili senza alcuna messa a punto iniziale o necessaria, anche quando apporti modifiche on-demand. Ciò facilita un migliore lavoro interfunzionale tra i team, poiché la sicurezza non influisce sulla capacità di DevOp di inviare il codice in produzione senza problemi.