Una botnet DDoS è un gruppo o una rete di computer o dispositivi Internet of Things (IoT) compromessi utilizzati da malintenzionati per lanciare attacchi DDoS. Questi attacchi mirano a sovraccaricare il bersaglio con traffico, interrompendone la normale funzionalità e rendendolo non disponibile per gli utenti legittimi.
Botnet vs. botnet DDoS
Una botnet è un gruppo di computer o dispositivi Internet of Things (IoT) compromessi che sono sotto il controllo di un hacker (noto anche come “botmaster” o “bot herder”). Consentono a un botmaster di lanciare attacco su larga scala tramite le risorse di elaborazione aggregate rese accessibili dalla botnet.
Una botnet DDoS è semplicemente una botnet usata specificamente per condurre attacco DDoS.
Che cos'è un attacco DDoS?
Un attacco DDoS è una forma di attacco informatico in cui un hacker utilizza numerosi computer compromessi (una botnet DDoS) per produrre un attacco volumetrico, con l'obiettivo di sovraccaricare un sistema di destinazione. Questo tipo di attacco può rendere il target (un servizio o un server) inaccessibile agli utenti legittimi. Puoi considerare un attacco DDoS come un'ondata di traffico illegittimo proveniente da varie fonti che di fatto rende incapace il sistema di destinazione.
Come vengono create le botnet?
Per creare una botnet, i botmaster infettano innanzitutto una rete di dispositivo che utilizzeranno per eseguire attacco. Per infettare i dispositivo, gli hacker entrano tramite exploit del software, exploit del firmware o download di malware da un link o file compromesso. Una volta che un dispositivo è infettato, il botmaster può usare le risorse computazionali combinate per eseguire i propri attacchi, spesso senza che il proprietario del dispositivo ne sia a conoscenza. Sebbene non esista un numero prestabilito di dispositivi infettati necessario per creare una botnet, più estesa è la rete di dispositivi infettati, più significativo può essere l'impatto di un attacco. Una volta infettati, esistono due modelli per controllare i dispositivo.
Come vengono controllate le botnet?
Modello client-server
Il controllo dei bot richiede un'infrastruttura che consenta la comunicazione tra il server (il botmaster) e i relativi client (il computer o i dispositivo infetti). Il modello client-server è stato il primo a consolidarsi e funziona creando un server centralizzato (server di comando & controllo o C&C in breve) per consegnare istruzioni. In altre parole, nel modello client-server, i client si basano esclusivamente sulle istruzioni fornite dal server C&C del botmaster. La dipendenza crea il principale svantaggio del modello perché, se il server C&C viene individuato e disabilitato, l'intera botnet diventa inutilizzabile.
P2P e comando e controllo decentralizzati
I modelli peer-to-peer (P2P) e C&C decentralizzati sono emersi per aggirare lo svantaggio centralizzato del modello client-server. In questo modello, qualsiasi client può operare come server. Invece di ricevere istruzioni da un'unica fonte, qualsiasi client nella botnet può propagarle. Sebbene questo modello possa rallentare la distribuzione delle istruzioni, rende quasi impossibile smantellare questa botnet.
Che tipo di attacchi consentono le botnet?
Le botnet possono eseguire qualsiasi attacco che un computer può eseguire, ma la differenza sta nella scalabilità dell'attacco. Gli attacchi più potenti in termini di volume, inclusi DDoS, acquisizione dell'account e spam, sono quelli in cui le botnet colpiscono più frequentemente. Alcuni attacco botnet popolari includono gli attacco DDoS del 2016 della botnet Mirai che hanno messo fuori uso siti web popolari come Twitter, Netflix e Reddit, e l' uso della botnet 3ve di quasi 2 milioni di PC per commit frodi sui clic per un valore di quasi 30 milioni di dollari.
Come puoi proteggere le applicazioni dagli attacchi botnet DDoS?
Proteggere le applicazioni dalle botnet DDoS equivale a proteggere le applicazioni dagli attacchi DDoS. Le migliori pratiche includono:
Comprendi i modelli di traffico: La prima linea di difesa consiste nel creare un profilo del traffico. Questo profilo include l’aspetto del traffico “buono” e definisce le aspettative per i volumi di traffico previsti nella rete. Monitorare il traffico tramite questo profilo ti consente di configurare regole per accettare tutto il traffico che la tua infrastruttura è in grado di gestire senza influire sui tuoi utenti finali.
Usa la limitazione della velocità: la limitazione della velocità fornisce una base di riferimento e puoi quindi implementare metodi di rilevamento avanzati per ricevere traffico che è stato convalidato analizzando variabili aggiuntive. Basta un piccolo incidente di sicurezza per causare danni irreparabili alla rete e ai server e far passare i dipendenti attraverso i cinque stadi emotivi di un attacco DDoS. Quindi fai la dovuta diligenza fin dall'inizio.
Riduci al minimo l’esposizione: uno dei modi più semplici per mitigare gli attacchi DDoS è ridurre la superficie di attacco, limitando in ultima analisi le opzioni per gli hacker e consentendoti di progettare contromisure e protezioni in un unico posto. Assicurati di non esporre le applicazioni e gli host a porte, protocolli e altre applicazioni da cui non ti aspetti comunicazioni. Nella maggior parte dei casi, puoi ottenere questo risultato posizionando le risorse della tua infrastruttura dietro un proxy Rete di distribuzione dei contenuti (CDN), che limita il traffico di rete diretto a determinate parti della tua infrastruttura. In altri casi, puoi usare un Firewall o le Lista di controllo degli accessi (ACLS) per controllare il traffico che raggiunge applicazioni specifiche.
Distribuisci un Firewall basato su applicazione: Se la tua applicazione ha accesso a internet, subisce attacchi più volte al giorno. In media, un’applicazione con connettività Internet subisce un attacco ogni 39 secondi. Una buona pratica consiste nell'usare un Firewall per applicazioni web (WAF) contro gli attacchi. Un buon punto di partenza è mitigare attivamente gli attacchi di tipo OWASP Top 10, quindi dovresti essere in grado di creare un profilo di traffico personalizzato contro ulteriori richieste non valide. Ad esempio, queste richieste potrebbero mascherarsi da traffico legittimo proveniente da IP dannosi noti o da un'area geografica del mondo in cui non operi. Un web application firewall è utile anche per mitigare gli attacco, poiché puoi sfruttare il supporto di esperti per studiare l'euristica del traffico e creare una protezione personalizzata per la tua applicazione.
Scalabilità per progettazione: Sebbene non sia la soluzione migliore se considerata isolatamente, aumentare la capacità della larghezza di banda (transito) o del server (computazionale) per assorbire e mitigare gli attacco può essere un’opzione. Quando progetti e sviluppi le applicazioni, assicurati di disporre di una connettività Internet ridondante che ti consenta di gestire i picchi di traffico. Una pratica comune consiste nell’utilizzare il bilanciamento del carico per monitorare continuamente e spostare i carichi tra le risorse disponibili, in modo da evitare di sovraccaricare un singolo punto. Inoltre, puoi creare le tue applicazioni web pensando a una Rete di distribuzione dei contenuti, fornendo un ulteriore livello di infrastruttura di rete per distribuire contenuti spesso più vicini agli utenti finali. La maggior parte degli attacchi DDoS è di tipo volumetrico e consuma enormi quantità di risorse, e la tua applicazione deve aumentare o ridurre rapidamente la capacità di calcolo. La natura distribuita di una Rete di distribuzione dei contenuti essenzialmente disperde l'attacco al punto da renderlo facilmente assorbibile. La Rete di distribuzione dei contenuti sblocca anche metodi aggiuntivi per contrastare gli attacchi più sofisticati. Lo sviluppo di un profilo di attacco consente alle Rete di distribuzione dei contenuti di rimuovere o rallentare il traffico dannoso.
Puoi leggere di più su come mitigare un attacco DDoS con le nostre linee guida sulle best practice DDoS .
Come Fastly può aiutarti
Mitigazione automatica degli attacchi: La piattaforma rileva e neutralizza gli attacchi DDoS senza intervento manuale, garantendo una disponibilità costante del servizio.
Enorme capacità globale: con oltre 350 Tbps di capacità di rete, Fastly può resistere anche agli attacco volumetrici più grandi, mantenendo la resilienza dell’infrastruttura durante eventi estremi.
Monitoraggio dinamico del traffico: La valutazione continua dei modelli di traffico aiuta a rilevare le anomalie e ad affrontare le minacce in modo efficace prima che interrompano le Operazioni.
Tempo di risposta rapido: la piattaforma DDoS di Fastly blocca gli attacchi in pochi secondi, riducendo al minimo le interruzioni per gli utenti finali.
Tecniche di identificazione adattiva: Utilizzando funzionalità innovative del nostro Adaptive Threat Engine, Fastly identifica e blocca gli attacco sofisticati e in continua evoluzione che aggirano le difese convenzionali.
Supporto versatile dell'architettura: La piattaforma DDoS Protection si distribuisce rapidamente in diverse infrastrutture, adattandosi ai cambiamenti on-demand.
Esperienza di piattaforma integrata: Fastly offre una soluzione standalone che si integra con altri servizio edge cloud di Fastly secondo necessità.
Operazioni convenienti: Fastly addebita i costi in base al traffico legittimo, garantendo che non ti gravino spese derivanti dai picchi di attacco.
Protezione resiliente di app e API: Fastly protegge applicazioni e API dal degrado delle prestazioni e dalle interruzioni, garantendo una distribuzione affidabile del servizio anche durante gli attacchi.
Distribuzione semplice: La soluzione si attiva con un solo clic, fornendo protezione immediata per aziende di qualsiasi dimensione.
Scopri di più su come la DDoS Protection di Fastly può aiutarti a proteggere la tua infrastruttura digitale e a mantenere il servizio senza interruzioni richiedendo una demo.