Comprendere gli attacchi DDoS su AWS

Un attacco di Distributed Denial of Service (DDoS) inonda un obiettivo con traffico proveniente simultaneamente da molte origini, con l'obiettivo di esaurirne la capacità e impedire agli utenti legittimi di connettersi. Poiché il traffico proviene da migliaia di host distribuiti, non è sufficiente bloccare un singolo IP: è necessario assorbire o filtrare l'ondata.

Gli attacchi volumetrici mirano a saturare la larghezza di banda della rete con una quantità enorme di traffico, misurata in gigabit o terabit al secondo. Tra gli esempi rientrano gli UDP flood e gli attacchi di reflection o amplification, che rimbalzano il traffico su server aperti (DNS, NTP) per moltiplicarlo. Operano al livello 3.

Gli attacchi ai protocolli (livello 4) esauriscono le risorse che gestiscono lo stato delle connessioni invece della larghezza di banda. Un esempio classico è il SYN flood, che invia una raffica di handshake TCP semiaperti consumando la tabella delle connessioni dell'obiettivo, finché non è più possibile stabilire nuove sessioni.

Gli attacchi a livello applicativo (livello 7) inviano molte richieste apparentemente valide, ad esempio una raffica di richieste HTTP GET a una pagina costosa da elaborare, per esaurire CPU, memoria o connessioni al database. Usano molta meno larghezza di banda e si confondono con il traffico reale, risultando più difficili da rilevare rispetto alle ondate volumetriche.

AWS assorbe gli attacchi DDoS al proprio edge globale. Servizi come CloudFront, Route 53 e Global Accelerator operano in molte edge location con un'enorme capacità aggregata, così le ondate vengono diluite prima di raggiungere l'origine. Progettare l'architettura all'edge è già di per sé una difesa DDoS.

AWS Shield Standard è abilitato per tutti i clienti senza costi aggiuntivi e difende automaticamente dagli attacchi più comuni a livello di rete e trasporto. Non è necessario configurarlo: protegge ogni risorsa AWS, soprattutto quelle dietro i servizi edge, dalle tipiche ondate di livello 3 e 4.

Shield Standard si concentra sui livelli di rete e trasporto. Le ondate a livello applicativo vengono gestite con le regole WAF basate sulla frequenza e Shield Advanced. Per questo la difesa DDoS combina Shield per il volume con WAF per il filtraggio a livello di richiesta: un abbinamento verificato frequentemente nell'esame.

Oltre al downtime, un DDoS può aumentare i costi di auto scaling e larghezza di banda, poiché l'infrastruttura tenta di gestire l'ondata. Questo impatto finanziario, talvolta definito negazione economica della sostenibilità, è uno dei motivi per cui Shield Advanced offre crediti di protezione dai costi per lo scaling causato dagli attacchi.

Tra i segnali di un DDoS rientrano picchi improvvisi di traffico, latenza elevata e aumento dei tassi di errore. Le metriche di CloudWatch sul numero di richieste e la console Shield evidenziano le anomalie. Shield Advanced aggiunge visibilità sugli attacchi quasi in tempo reale e notifiche, così Lei sa che è in corso un attacco e non soltanto che l'applicazione è lenta.

La migliore postura contro i DDoS deve essere progettata nell'architettura, non aggiunta in un secondo momento. Portare i workload davanti a CloudFront e Route 53, usare l'auto scaling e ridurre al minimo la superficie esposta consente ad AWS di assorbire le ondate all'edge. Shield e WAF gestiscono poi ciò che rimane. La resilienza nasce dall'architettura insieme a questi servizi.

Ora confronterà Shield Standard e Shield Advanced, scoprirà cosa aggiungono il DDoS Response Team e la protezione dai costi e studierà come progettare un'architettura resiliente. Comprendere i tipi di attacco presentati qui consente di scegliere la difesa corretta per ogni livello.

Classifichi il tipo di attacco.

Un attacco DDoS inonda un obiettivo da molte origini. Gli attacchi volumetrici (livello 3) saturano la larghezza di banda tramite UDP flood e amplification; gli attacchi ai protocolli (livello 4), come i SYN flood, esauriscono lo stato delle connessioni; gli attacchi a livello applicativo (livello 7) inviano richieste dall'aspetto valido per consumare risorse di calcolo. I servizi edge di AWS diluiscono le ondate, Shield Standard difende automaticamente i livelli 3 e 4 e le regole WAF basate sulla frequenza gestiscono il livello 7.