La protezione DDoS a livello di applicazione è un insieme di misure di sicurezza progettate per rilevare e mitigare gli attacchi DDoS rivolti a siti web, API e altri servizi di applicazione al livello 7 del modello OSI.
A differenza degli attacchi che mirano principalmente a sovraccaricare la larghezza di banda della rete, gli attacchi DDoS a livello di applicazione prendono di mira le funzioni di cui un’applicazione ha bisogno per servire gli utenti legittimi. Gli hacker possono inondare le pagine di accesso, le funzioni di ricerca, le API, i processi di checkout o altri endpoint ad alta intensità di risorse con richieste che possono sembrare traffico normale.
Una protezione efficace richiede quindi più del semplice assorbimento di grandi quantità di larghezza di banda. Le organizzazioni devono distinguere gli utenti legittimi dal traffico dannoso, rilevare comportamenti anomali, controllare le richieste abusive e impedire che gli attacchi esauriscano le risorse dell'applicazione e dell'origine.
Come funziona un attacco DDoS a livello di applicazione?
Un attacco DDoS a livello di applicazione è un attacco distribuito che tenta di rendere un’applicazione non disponibile sovraccaricando le sue risorse a livello di applicazione. Invece di inviare solo enormi quantità di traffico di rete grezzo, gli hacker possono generare richieste che richiedono all’applicazione di eseguire un lavoro significativo. Gli esempi includono la richiesta ripetuta di pagine web, l’interrogazione di API, l’avvio di ricerche, i tentativi di accesso o l’attivazione di operazioni computazionalmente costose.
Una richiesta relativamente piccola può talvolta causare un carico di lavoro considerevolmente maggiore a valle. Potrebbe attivare la logica dell’applicazione, query del database, chiamate API o altri processi backend. Questa asimmetria può rendere gli attacchi a livello di applicazione particolarmente dirompenti.
Gli hacker in genere generano richieste da molti client distribuiti, che possono includere dispositivi compromessi che formano una botnet. Il traffico è diretto agli endpoint dell'applicazione con l'obiettivo di consumare risorse finite come:
Capacità del server applicazioni
Connessioni al database
CPU e memoria
Capacità API
Pool di connessioni
Larghezza di banda del backend
Servizi di terze parti
Infrastruttura di origine
Un semplice esempio è un flood HTTP; un hacker invia grandi quantità di richieste HTTP a un sito web o a un’API finché le richieste legittime non possono più essere elaborate in modo efficiente. Attacchi più sofisticati possono prendere deliberatamente di mira endpoint costosi. Ad esempio, un hacker potrebbe attivare ripetutamente un’operazione di ricerca che richiede più query al database invece di richiedere un file statico leggero.
In che modo gli attacchi DDoS a livello di applicazione sono diversi dagli attacchi a livello di rete?
La differenza principale è cosa l’hacker tenta di esaurire. Gli attacchi a livello di rete e di trasporto in genere prendono di mira l’infrastruttura, come la larghezza di banda, i protocolli o la capacità di connessione. Gli attacchi a livello di applicazione prendono di mira l’applicazione stessa e le risorse necessarie per elaborare richieste dall’aspetto legittimo.
Caratteristica | DDoS a livello di rete/trasporto | DDoS a livello di applicazione |
Livelli OSI comuni | Livelli 3–4 | |
Obiettivo principale | Infrastruttura di rete e di trasporto | Siti web, API e funzioni dell’applicazione |
Esempio | Flood UDP, flood SYN | Flood di richieste HTTP |
Obiettivo tipico | Esaurire la larghezza di banda o le risorse di connessione | Esaurire le risorse dell’applicazione o del backend |
Caratteristiche del traffico | Spesso ad alto volume | Può assomigliare a traffico di applicazione legittimo |
Difese chiave | Mitigazione DDoS di rete, filtro, assorbimento del traffico | Rilevamento comportamentale, web application firewall, limitazione della velocità, gestione dei bot, mitigazione consapevole dell’applicazione |
Le organizzazioni possono trovarsi ad affrontare entrambi i tipi contemporaneamente, quindi una strategia DDoS completa dovrebbe tenere conto degli attacchi su più livelli.
Perché è necessaria la protezione DDoS a livello di applicazione?
Gli attacchi a livello di applicazione presentano una sfida particolare perché le richieste dannose possono sembrare legittime. Una richiesta di “/search”, “/accesso” o “/api/prodotti”, ad esempio, non è intrinsecamente dannosa. Determinare se migliaia di tali richieste rappresentino una reale attività dei clienti o un attacco coordinato richiede contesto.
Di seguito sono riportati i motivi per cui una soluzione e una strategia dedicate per la protezione DDoS a livello di applicazione sono così importanti:
Gli attacchi all’applicazione possono aggirare le difese di rete Basic
Un firewall di rete tradizionale può rilevare connessioni HTTPS valide anziché traffico di rete palesemente malformato. Sono necessari controlli consapevoli dell’applicazione per capire cosa fanno queste connessioni.
Piccole richieste possono consumare risorse backend significative
Gli hacker possono prendere deliberatamente di mira endpoint costosi da elaborare. Una richiesta potrebbe attivare query del database, operazioni di autenticazione, chiamate API o logica dell'applicazione a elevata intensità di calcolo.
Le botnet distribuiscono il traffico di attacco
Le botnet possono distribuire le richieste tra un gran numero di indirizzi IP e dispositivi. Questo può rendere meno efficaci il semplice blocco degli IP e le soglie per IP.
Gli attacchi possono influire sul ricavo e sulla customer experience
Se i clienti non riescono ad accedere a una pagina di pagamento, a un’API, a un servizio di streaming, a un’applicazione SaaS o a un altro servizio critico, i problemi di disponibilità possono rapidamente trasformarsi in problemi aziendali.
Il traffico di attacco può aumentare i costi dell'infrastruttura
Anche quando un attacco non causa un'interruzione del servizio, l'elaborazione di richieste dannose può consumare risorse di calcolo cloud, risorse del database, larghezza di banda e capacità delle API di terze parti. La protezione a livello di applicazione mira a bloccare o controllare tali richieste prima che consumino costose risorse backend.
Quali sono i tipi comuni di attacco DDoS a livello di applicazione?
Flood HTTP
Gli attacchi HTTP flood generano grandi quantità di richieste HTTP GET, POST o di altro tipo contro un sito web o un’applicazione. Le versioni più sofisticate possono variare URL, intestazioni, cookie, modelli di richiesta e caratteristiche del client per rendere il traffico più difficile da distinguere dall’attività legittima.
Flood API
Gli hacker possono colpire direttamente gli endpoint API con grandi quantità di richieste. Questo può essere particolarmente dannoso quando le Operazioni API attivano query del database, calcoli o chiamate a servizi downstream.
Flood di accesso e autenticazione
Gli endpoint di autenticazione possono essere costosi perché possono comportare operazioni sul database, hashing delle password, chiamate al provider di identità, controlli antifrode o altre elaborazioni. Gli hacker possono richiamare ripetutamente queste funzioni per consumare risorse.
Attacchi di esaurimento delle risorse
Invece di limitarsi a massimizzare il volume delle richieste, gli hacker possono individuare funzioni dell’applicazione che richiedono un’elaborazione sproporzionata. La ricerca, i report, l’esportazione dei dati, il filtraggio complesso, l’elaborazione dei file o altre Operazioni onerose possono diventare bersagli.
Attacchi lenti e a basso volume
Non tutti gli attacchi DDoS a livello di applicazione dipendono da tassi di richiesta estremamente elevati. Alcuni attacchi consumano deliberatamente lentamente le risorse dell’applicazione o del server, rendendoli potenzialmente più difficili da identificare usando semplici soglie di volume del traffico.
Quali sono le migliori pratiche per la protezione DDoS a livello di applicazione?
Una protezione efficace è stratificata. Le organizzazioni dovrebbero combinare architettura dell’applicazione, controlli del traffico, monitoraggio e tecnologie di sicurezza specializzate.
1. Stabilisci le baseline del traffico normali
Comprendere i normali volumi e comportamenti delle richieste rende più facile identificare attività insolite. Monitora il traffico per endpoint, area geografica, stato della risposta, user agent, caratteristiche del client e altre dimensioni pertinenti.
2. Proteggi l’origine
Gli hacker non dovrebbero essere in grado di aggirare i controlli di sicurezza edge e attaccare direttamente l’origine. Limita l’accesso all’origine, ove possibile, in modo che il traffico legittimo dell’applicazione raggiunga l’infrastruttura backend attraverso livelli approvati di distribuzione e sicurezza.
3. Memorizza nella cache i contenuti appropriati
La cache può ridurre la quantità di lavoro eseguita dalle origini dell’applicazione. Se una Rete di distribuzione dei contenuti può servire una richiesta dalla cache, la richiesta non deve attivare la stessa elaborazione backend. Aumentare l’efficienza della cache può quindi migliorare sia le prestazioni sia la resilienza.
4. Usa la limitazione della velocità intelligente
I rate limit possono impedire a singoli client o gruppi di client di effettuare un numero eccessivo di richieste. Evita di applicare una soglia universale a ogni endpoint. Una homepage, un'API di accesso, un endpoint di ricerca e il download di file di grandi dimensioni possono avere modelli di traffico normali molto diversi.
5. Proteggi gli endpoint costosi
Identifica quali richiesta consumano più risorse backend. La ricerca, l'autenticazione, la generazione di report, le query API e altre Operazioni costose possono richiedere controllo più rigorosi rispetto alle risorse in cache poco costose.
6. Usa la gestione dei bot
Le botnet sono spesso responsabili degli attacchi alle applicazioni distribuite. I sistemi di gestione dei bot possono usare segnali comportamentali e del client per distinguere il traffico automatizzato dagli utenti legittimi e applicare risposte appropriate.
7. Distribuire un firewall per applicazioni web
Un web application firewall può identificare e bloccare richieste di applicazione dannose, integrando la protezione DDoS. Ciò è particolarmente utile quando gli attacchi combinano l’inondazione di richieste con tentativi di sfruttare vulnerabilità dell’applicazione.
8. Costruisci la resilienza dell’applicazione
L'architettura dell'applicazione conta ancora. Timeout, circuit breaker, accodamento, limiti delle risorse, caching, protezioni del database e degrado controllato possono ridurre l'impatto quando traffico insolito raggiunge i sistemi backend.
9. Monitora in tempo reale
Gli attacchi a livello di applicazione possono evolversi rapidamente. La visibilità in tempo reale sulla sicurezza e sul traffico aiuta i team a identificare gli endpoint presi di mira, comprendere il comportamento della mitigazione e adattare le protezioni durante un incidente.
Quali tipi di protezione DDoS a livello di applicazione sono disponibili?
Nessun singolo controllo affronta ogni attacco di livello 7. Le tecnologie di protezione più comuni includono:
Rete di distribuzione dei contenuti e caching edge
Le Reti di distribuzione dei contenuti possono gestire richieste memorizzabili nella cache senza coinvolgere l'origine, riducendo le risorse disponibili che gli hacker possono esaurire. Le reti edge possono anche fornire una posizione per identificare e mitigare il traffico dannoso prima che raggiunga l'infrastruttura dell'applicazione.
Firewall per applicazioni web
Un web application firewall esamina le richiesta HTTP e applica regole di sicurezza basate su informazioni a livello di applicazione. I web application firewall sono associati principalmente alla protezione delle applicazione da vulnerabilità e payload dannosi, ma possono anche contribuire a una difesa DDoS a più livelli.
Limitazione della velocità
Limitazione della velocità controlla con quale frequenza è possibile effettuare richieste. È possibile applicare regole a URL, API, client o altre caratteristiche della richiesta specifici per proteggere funzioni sensibili o che richiedono un uso intensivo di risorse.
Gestione dei bot
La gestione dei bot tenta di distinguere gli utenti legittimi e l'automazione approvata dai bot dannosi. Poiché molti attacchi DDoS a livello di applicazione hanno origine da botnet, il rilevamento dei bot può essere particolarmente utile quando le richieste di attacco appaiono altrimenti valide.
Rilevamento comportamentale e delle anomalie
La protezione comportamentale cerca deviazioni dal traffico previsto dell’applicazione anziché basarsi esclusivamente su firme di attacco note. Questo può aiutare a identificare attacchi e modelli di traffico mai visti prima che diventano sospetti solo se esaminati nel loro insieme.
Sfide dei clienti
Quando appropriato, ai client sospetti può essere richiesto di completare verifiche del browser o computazionali prima di poter accedere alle risorse protette. Le verifiche devono essere applicate con attenzione perché attriti non necessari possono influire sugli utenti legittimi e sull'accessibilità.
Protezione DDoS di rete
Le difese a livello di applicazione non dovrebbero sostituire la protezione a livello di rete. Gli hacker possono combinare tecniche di livello 7 con attacchi volumetrici o di protocollo, quindi le organizzazioni dovrebbero prendere in considerazione la protezione nei livelli 3, 4 e 7.
Come possono le organizzazioni rilevare un attacco DDoS a livello di applicazione?
Le organizzazioni dovrebbero tenere d’occhio i segnali di avvertimento noti degli attacchi DDoS. Tra questi:
Aumenti improvvisi delle richieste HTTP o API
Traffico imprevisto verso endpoint specifici
Maggiore latenza dell’applicazione
Aumento degli errori 4xx o 5xx
Saturazione del database o del backend
Traffico geografico insolito
Un gran numero di nuovi client o indirizzi IP
Modelli di richiesta anomali
Rapporto di cache hit in calo
Improvvisi aumenti del traffico di origine
Maggiore utilizzo dell’infrastruttura senza un corrispondente aumento dell’attività aziendale legittima
La chiave è il contesto. Un improvviso aumento del traffico potrebbe rappresentare un attacco, ma potrebbe anche essere il lancio di successo di un prodotto o un evento di cronaca dell’ultima ora. I controlli di sicurezza devono distinguere i picchi di traffico legittimi da quelli dannosi nel modo più accurato possibile.
Che cosa offre Fastly per la protezione DDoS a livello di applicazione?
Fastly fornisce molteplici tecnologie complementari per proteggere le applicazioni dagli attacchi DDoS e da altre minacce di livello 7.
DDoS Protection
Protezione DDoS di Fastly è progettata per rilevare e mitigare gli attacchi ai bordi della rete prima che il traffico dannoso possa sopraffare l'infrastruttura dell'applicazione. Le funzionalità DDoS di Fastly operano sull'intera rete edge globale, consentendo di gestire il traffico di attacco lontano dalle origini protette.
Per le minacce a livello di applicazione, questo approccio è particolarmente prezioso perché la mitigazione può avvenire prima che le richieste dannose consumino server di applicazioni, database e altre risorse backend.
WAF Next-Gen di Fastly
WAF Next-Gen di Fastly offre protezione per applicazioni e API contro richieste dannose. Integra la protezione DDoS identificando attacchi alle applicazioni come SQL injection, cross-site scripting, command injection e altro traffico dannoso.
Il Next-Gen WAF di Fastly utilizza la tecnologia SmartParse per analizzare le richieste e identificare intenti dannosi, puntando al contempo a ridurre i falsi positivi comunemente associati alle distribuzioni di web application firewall tradizionali basate su numerose regole.
Gestione dei bot di Fastly
Fastly gestione dei bot può aiutare a identificare e controllare il traffico automatizzato che prende di mira siti web e applicazioni. Questo è importante per gli attacchi DDoS di livello 7 perché gli hacker usano spesso botnet per distribuire richieste dannose tra molti client.
Le funzionalità di gestione dei bot possono aiutare le organizzazioni a distinguere il traffico automatizzato dagli utenti legittimi e ad applicare controlli in base alla natura di tale traffico.
Limitazione della velocità
Fastly offre funzionalità di limitazione della velocità che le organizzazioni possono usare per proteggere gli endpoint sensibili e controllare tassi eccessivi di richieste. Invece di trattare ogni funzione dell'applicazione in modo identico, i team possono progettare criteri in base alle risorse che devono proteggere.
Caching della Rete di distribuzione dei contenuti e Origin Shield
La Rete di distribuzione dei contenuti di Fastly può anche contribuire alla resilienza dell'applicazione. Memorizzare nella cache le risposte idonee ai bordi della rete riduce il numero di richieste che devono raggiungere l'origine di un'applicazione. Origin Shield fornisce un ulteriore livello di caching che può ridurre ulteriormente le richieste duplicate che raggiungono l'infrastruttura backend.
Queste funzionalità non sostituiscono la mitigazione DDoS, ma possono ridurre l’esposizione dell’origine e migliorare la capacità di un’applicazione di resistere ai picchi di traffico.
Visibilità in tempo reale
Fastly offre funzionalità di logging in tempo reale e osservabilità che possono aiutare i team di sicurezza e Operazioni a comprendere il traffico e il comportamento dell’applicazione durante un incidente.
Una rapida visibilità è particolarmente preziosa durante gli attacchi di livello 7 perché i team potrebbero dover determinare quali endpoint sono presi di mira e in che modo le richieste dannose differiscono dal traffico legittimo.
Come può Fastly aiutare a proteggere le applicazioni dagli attacchi DDoS di livello 7?
La protezione DDoS a livello di applicazione funziona al meglio quando più controlli si rafforzano a vicenda. Fastly riunisce DDoS Protection, Next-Gen WAF, gestione dei bot, limitazione della velocità, Rete di distribuzione dei contenuti caching, Origin Shield e visibilità in tempo reale nella sua piattaforma edge cloud.
Questo approccio a più livelli può aiutare le organizzazioni:
Rileva e mitiga il traffico dannoso ai bordi della rete
Riduci il traffico di attacco che raggiunge l’infrastruttura di origine
Proteggi siti web e API dalle minacce a livello di applicazione
Identifica e controlla i client automatizzati dannosi
Applica rate limit agli endpoint sensibili o costosi
Assorbi i picchi di traffico legittimo in modo più efficace
Riduci le richieste di origine tramite il caching
Mantieni la visibilità durante gli incidenti di sicurezza
Ancora più importante, le organizzazioni non dovrebbero considerare la protezione DDoS a livello di applicazione semplicemente come una questione di assorbire il maggior volume di traffico possibile. Gli attacchi di livello 7 prendono di mira il comportamento e le risorse dell’applicazione. Una protezione efficace deve quindi comprendere il traffico dell’applicazione abbastanza bene da identificare le attività dannose continuando al contempo a servire gli utenti legittimi.
La combinazione di mitigazione DDoS basata sull’edge con sicurezza consapevole dell’applicazione, gestione dei bot, caching e visibilità in tempo reale può offrire una difesa più solida contro gli attacchi progettati per rendere indisponibili le moderne applicazioni web e le API.