Denial of Service e DDoS

Un attacco di negazione del servizio (DoS) tenta di rendere indisponibile agli utenti legittimi un sistema o una risorsa di rete, sovraccaricandoli con traffico o sfruttando vulnerabilità che causano l'arresto del servizio.

Un attacco DoS proviene da un'unica fonte. Un attacco DDoS (DoS distribuito) usa migliaia o milioni di dispositivi compromessi (botnet) oppure tecniche di amplificazione per generare traffico d'attacco. Un DDoS è molto più difficile da bloccare perché la fonte è distribuita a livello globale.

Gli attacchi volumetrici saturano la larghezza di banda della vittima con traffico grezzo:

• UDP flood — pacchetti UDP contraffatti saturano la larghezza di banda
• ICMP flood — i pacchetti ping sovraccaricano la vittima
• Amplificazione DNS — piccole query DNS restituiscono risposte di grandi dimensioni alla vittima

Si misurano in Gbps — alcuni attacchi superano 1 Tbps.

Gli attacchi ai protocolli sfruttano le debolezze dei protocolli di rete:

• SYN flood — invia migliaia di pacchetti TCP SYN, esaurendo le tabelle delle connessioni del server
• Ping of Death — invia pacchetti ICMP sovradimensionati che causano l'arresto dei sistemi vulnerabili
• Attacco Smurf — pacchetti ICMP contraffatti vengono inviati al broadcast della rete e tutti gli host rispondono alla vittima

Gli attacchi a livello applicativo (livello 7) prendono di mira funzioni specifiche delle applicazioni con richieste dall'aspetto legittimo:

• HTTP flood — invia milioni di richieste GET/POST
• Slowloris — invia lentamente intestazioni HTTP parziali, occupando tutte le connessioni del server
• Esaurimento SSL — sfrutta il costo in termini di CPU dell'handshake TLS

L'amplificazione sfrutta protocolli che restituiscono molti più dati di quelli richiesti:

• Amplificazione DNS: fattore di amplificazione 60x
• Amplificazione NTP: fattore di amplificazione 556x
• Amplificazione Memcached: fattore di amplificazione 51.000x (nel 2018: attacco da 1,7 Tbps)

Gli attaccanti contraffanno l'IP della vittima come indirizzo sorgente — i riflettori inviano risposte enormi alla vittima.

I centri di scrubbing sono infrastrutture specializzate che assorbono e filtrano il traffico DDoS prima che raggiunga la vittima. I principali provider (Cloudflare, Akamai, AWS Shield) dispongono di una capacità di scrubbing complessiva di centinaia di Tbps.

Difese a livello applicativo:

• Limitazione della frequenza per IP/utente
• Richieste CAPTCHA per pattern di traffico sospetti
• Limitazione delle connessioni
• Blocco basato sulla reputazione IP (IP di botnet noti)

Anycast distribuisce il traffico d'attacco su più data center in tutto il mondo. Invece di concentrare tutto il traffico su un'unica vittima, il carico viene distribuito. Cloudflare e altre CDN usano anycast per gestire attacchi volumetrici di grandi dimensioni.

Il DDoS viene comunemente usato come strumento di guerra informatica. Incidenti importanti:

• 2007, Estonia — i siti governativi e bancari furono resi irraggiungibili durante una crisi politica
• 2022, Ucraina — i siti del governo ucraino furono presi di mira durante l'invasione russa
• Hacktivisti che usano il DDoS per esprimere posizioni politiche

Le organizzazioni possono testare la resilienza con strumenti autorizzati per il load testing:

• siege — load testing HTTP
• ab (Apache Bench) — semplice benchmarking HTTP
• Servizi commerciali di stress testing (con autorizzazione)

Non testate mai sistemi che non possedete o per i quali non disponete di un'autorizzazione scritta.

Quale tipo di attacco invia intestazioni HTTP incomplete molto lentamente per occupare tutte le connessioni disponibili del server?

Gli attacchi DoS/DDoS negano il servizio sovraccaricando le vittime con traffico o sfruttando le debolezze dei protocolli. I tipi di attacco includono quelli volumetrici (UDP/DNS flood), quelli ai protocolli (SYN flood) e quelli a livello applicativo (Slowloris, HTTP flood). Le difese includono centri di scrubbing, anycast, limitazione della frequenza e CAPTCHA. Gli attacchi di amplificazione moltiplicano la potenza d'attacco sfruttando i riflettori.