Attacchi di rete comuni: DoS, spoofing e MITM

Un attacco Denial-of-Service (DoS) mira a rendere indisponibile un sistema, un servizio o una rete agli utenti legittimi, sovraccaricandolo con traffico o sfruttando una vulnerabilità che ne provoca l'arresto anomalo. Gli attacchi DoS prendono di mira il pilastro della Disponibilità della triade CIA. Un attacco DoS proveniente da un'unica fonte è relativamente facile da bloccare limitando la frequenza degli accessi dall'indirizzo IP di origine; tuttavia, molti attacchi moderni utilizzano simultaneamente più fonti, rendendo la mitigazione molto più difficile.

Un attacco DDoS utilizza migliaia o milioni di dispositivi compromessi (una botnet) per inondare un obiettivo da numerosi indirizzi di origine diversi e simultaneamente. Questo rende impraticabile il blocco basato sull'indirizzo IP di origine. Gli attacchi DDoS sono classificati come volumetrici (saturano la larghezza di banda, ad esempio con un UDP flood), di protocollo (esauriscono le risorse che mantengono lo stato, ad esempio con un SYN flood) o di livello applicativo (esauriscono la capacità del server con richieste HTTP dall'aspetto legittimo, ad esempio Slowloris). I servizi di mitigazione come Cloudflare, Akamai e AWS Shield assorbono gli attacchi volumetrici prima che raggiungano l'origine.

Gli attacchi di amplificazione sfruttano protocolli che producono risposte molto più grandi della richiesta iniziale. L'amplificazione DNS utilizza una piccola query UDP per generare una risposta fino a 70 volte più grande, indirizzata interamente alla vittima. L'amplificazione NTP monlist può raggiungere un fattore di amplificazione pari a 4.000. L'aggressore falsifica l'IP della vittima come indirizzo di origine, affinché migliaia di reflector inviino le loro risposte di grandi dimensioni alla vittima: per questo l'attacco viene chiamato anche attacco di riflessione. Le contromisure includono BCP38 (convalida dell'indirizzo di origine a livello ISP) e la disabilitazione dei servizi di amplificazione.

Lo IP spoofing consiste nel creare pacchetti con un indirizzo IP di origine contraffatto. Lo spoofing viene utilizzato negli attacchi DoS/DDoS di riflessione, per aggirare le liste di controllo degli accessi basate sull'IP e per nascondere la posizione reale dell'aggressore. Per inviare pacchetti contraffatti sono necessari privilegi sui raw socket. Le contromisure includono l'ingress filtering (BCP38), che impone agli ISP e ai router di eliminare i pacchetti ricevuti su un'interfaccia con un IP di origine che non potrebbe legittimamente provenire da quella rete. Anche i firewall stateful sono utili, perché rifiutano i pacchetti in ingresso non sollecitati che non corrispondono a sessioni già stabilite.

L'ARP spoofing (chiamato anche ARP poisoning) consiste nell'inviare risposte ARP non sollecitate che associano l'indirizzo MAC dell'aggressore a un indirizzo IP legittimo. Gli host che ricevono il falso aggiornamento ARP aggiornano la propria cache ARP e inviano invece all'indirizzo MAC dell'aggressore il traffico destinato a quell'indirizzo IP. Questo consente di eseguire attacchi man-in-the-middle sui segmenti locali. Strumenti come Arpspoof, Ettercap e Bettercap automatizzano questo attacco. Le contromisure includono Dynamic ARP Inspection (DAI) sugli switch gestiti, che convalida i pacchetti ARP confrontandoli con una tabella di associazioni attendibile ottenuta tramite DHCP snooping.

Un attacco man-in-the-middle (MitM) si verifica quando un aggressore inoltra segretamente e può modificare le comunicazioni tra due parti, ciascuna delle quali ritiene di comunicare direttamente con l'altra. Un attacco MitM può essere realizzato tramite ARP spoofing, DNS spoofing, access point Wi-Fi contraffatti o dirottamento delle route BGP. Una volta posizionato nel mezzo, l'aggressore può intercettare le comunicazioni, iniettare contenuti, rimuovere la cifratura (SSL stripping) o riprodurre credenziali. La difesa fondamentale consiste nell'autenticazione reciproca e nella cifratura: TLS con certificati validi impedisce la maggior parte degli attacchi MitM, perché il client può verificare l'identità del server.

Il DNS cache poisoning inserisce record DNS dannosi nella cache di un resolver, facendo sì che nomi di dominio legittimi vengano risolti in indirizzi IP controllati dall'aggressore. Il classico attacco Kaminsky (2008) sfruttava ID di transazione prevedibili per avvelenare i resolver su larga scala. Quando il resolver di un utente è stato avvelenato, l'utente viene reindirizzato a siti contraffatti che possono sottrarre credenziali o distribuire malware. DNSSEC (DNS Security Extensions) firma digitalmente i record DNS, consentendo ai resolver di verificarne l'autenticità, mentre DNS over HTTPS (DoH) impedisce l'intercettazione delle query lungo il percorso.

Un aggressore on-path (in-path) occupa una posizione nella rete che gli consente di vedere e modificare il traffico in transito: si trova fisicamente o logicamente tra i due endpoint che comunicano. L'ARP spoofing crea una posizione on-path su un segmento locale. Un aggressore off-path non può vedere il traffico, ma può tentare attacchi alla cieca, ad esempio iniettando pacchetti TCP RST contraffatti per interrompere le connessioni utilizzando numeri di sequenza ipotizzati. TLS mitiga entrambi gli scenari perché, anche se il traffico viene intercettato, non può essere decifrato o contraffatto senza la chiave privata.

Il BGP (Border Gateway Protocol) hijacking si verifica quando un Autonomous System dannoso o configurato in modo errato annuncia prefissi IP più specifici per attirare il traffico destinato a un'altra organizzazione. Questo può reindirizzare il traffico proveniente da tutta Internet attraverso la rete dell'aggressore. Il BGP hijacking è stato utilizzato per intercettare transazioni in criptovaluta, sottrarre messaggi di posta elettronica e reindirizzare il traffico bancario. Le contromisure includono RPKI (Resource Public Key Infrastructure), che convalida crittograficamente le autorizzazioni sull'origine delle route, e il monitoraggio degli annunci BGP per rilevare modifiche impreviste.

Un SYN flood sfrutta l'handshake TCP a tre vie inviando numerosi pacchetti SYN con IP di origine contraffatti, costringendo il server ad allocare stato per connessioni semiaperte (in attesa di ACK che non arriveranno mai). La tabella delle connessioni del server si riempie e il server non può accettare nuove connessioni legittime. Le contromisure includono i SYN cookie (il server codifica lo stato nel numero di sequenza del SYN-ACK e alloca le risorse solo dopo aver ricevuto l'ACK), la riduzione del timeout dei SYN e la limitazione della frequenza dei pacchetti SYN per indirizzo di origine.

Rilevare attacchi DoS, spoofing e MitM richiede visibilità in più punti della rete. I dati NetFlow/IPFIX evidenziano improvvisi picchi di traffico provenienti da numerose sorgenti. Le regole di correlazione SIEM possono generare avvisi in caso di attività ARP anomala (un MAC che dichiara di essere associato a molti IP) o di risposte DNS con TTL sospettosamente brevi. Le firme IDS/IPS rilevano SYN flood e strumenti per l'ARP spoofing. Tra le azioni di risposta rientrano la limitazione della velocità sui router perimetrali, l'attivazione dei servizi di scrubbing DDoS, l'isolamento dei segmenti interessati e la riattivazione della dynamic ARP inspection o lo svuotamento delle cache avvelenate.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che gli attacchi DDoS utilizzano botnet per sovraccaricare gli obiettivi da numerose sorgenti e si classificano in attacchi volumetrici, di protocollo o a livello applicativo; l'ARP spoofing avvelena le cache della rete locale per consentire attacchi MitM e viene mitigato tramite Dynamic ARP Inspection; infine, i SYN flood esauriscono lo stato delle connessioni del server e vengono contrastati con SYN cookie e limitazione della velocità. Prossimamente analizzeremo i protocolli di sicurezza Wi-Fi, da WEP a WPA3.