Mitigazione personalizzata degli attacchi DDoS con protezione del flusso programmabile

Informatec Digital » Risorse » Mitigazione personalizzata degli attacchi DDoS con protezione del flusso programmabile

Viviamo in un'epoca in cui la rete rappresenta il tessuto connettivo di quasi tutto ciò che facciamo. Quando un'azienda subisce un'interruzione di servizio a causa di un attacco denial-of-service, non è solo il sito web a bloccarsi: vengono paralizzati anche le vendite, i processi interni, il servizio clienti e, nei casi più gravi, i servizi essenziali. Per questo motivo, la mitigazione personalizzata degli attacchi DDoS con protezione programmabile del flusso è diventata una componente strategica di qualsiasi architettura moderna.

L'emergere di tecnologie come Programmable Flow Protection per Magic Transit di Cloudflare , l'utilizzo di logica C personalizzata implementata come eBPF, l'integrazione con cloud come AWS e Azure e il supporto di servizi di difesa specializzati hanno radicalmente cambiato il panorama. Ora è possibile modellare cosa costituisce traffico "buono" o "dannoso" a livello di pacchetto, personalizzare le misure di mitigazione per protocolli UDP molto specifici (come quelli utilizzati nei giochi online o nel VoIP) e combinare tutto ciò con soluzioni di business intelligence e intelligenza artificiale che apprendono da ogni attacco.

Che cos'è un attacco DDoS e perché è diventato un problema così grave?

Un attacco Distributed Denial-of-Service (DDoS) mira a sovraccaricare le risorse di un sistema (server, collegamenti, applicazioni o infrastrutture intermedie) generando un flusso massiccio di traffico proveniente simultaneamente da più fonti. A differenza di un classico attacco DoS, in cui l'attacco è innescato da una singola fonte, un attacco DDoS coinvolge migliaia o addirittura milioni di dispositivi compromessi, organizzati in una botnet.

Le motivazioni alla base degli attacchi DDoS sono molteplici: ricatti economici, sabotaggi tra concorrenti, attivismo, rappresaglie contro giornalisti o organi di stampa, o semplicemente test di forza da parte di nuove botnet in modalità "dimostrazione delle capacità". Il risultato, tuttavia, è sempre lo stesso: indisponibilità del servizio , grave degrado delle prestazioni e danni economici e reputazionali.

Negli ultimi anni si è registrato un costante aumento della frequenza e dell'intensità di questi attacchi. I report dei principali fornitori di soluzioni di sicurezza indicano una crescita continua degli attacchi ipervolumetrici (superiori a 1 Tbps o un miliardo di pacchetti al secondo), che spesso prendono di mira infrastrutture critiche come quelle dei servizi finanziari, delle utility e delle telecomunicazioni.

Tipologie di attacchi DDoS: dalla rete all'applicazione

Per comprendere il funzionamento di una mitigazione DDoS personalizzata, è utile esaminare le principali categorie di attacchi. In generale, possiamo raggrupparli in quattro famiglie principali, collegate a diversi livelli del modello OSI e alle diverse risorse che mirano a esaurire.

Gli attacchi al livello di rete (L3/L4) si concentrano sullo sfruttamento dei protocolli di rete e di trasporto (IP, TCP, UDP, ICMP) per esaurire le risorse limitate del server o dell'infrastruttura intermedia: CPU, memoria, tabelle del firewall, connessioni in sospeso o buffer di rete. Esempi classici includono i SYN flood (inondare il server con richieste di connessione TCP che non completano mai l'handshake), gli UDP flood verso porte casuali e gli attacchi ICMP.

Gli attacchi al livello applicativo (L7) prendono di mira una larghezza di banda inferiore rispetto alle risorse dell'applicazione web o dell'API stessa. Generano un volume enorme di richieste HTTP (GET/POST), query complesse ai motori di ricerca interni, chiamate ad API pesanti o interazioni che, pur apparendo legittime, costringono il backend, il database o i sistemi di generazione dei contenuti a lavorare al limite delle loro capacità.

Attacchi volumetrici: in questo caso, l'obiettivo è saturare il collegamento fino a renderlo inutilizzabile. Vengono inviate enormi quantità di traffico, spesso sfruttando tecniche di amplificazione e riflessione su servizi UDP mal configurati, come server DNS pubblici (DNS, NTP, Memcached, CLDAP, SNMP, SSDP, Chargen, SLP, ecc.), in modo che un piccolo pacchetto di richiesta generi una risposta molto più grande diretta alla vittima impersonata.

Gli attacchi multi-vettore sono attualmente i più complessi. Combinano diversi metodi (volumetrici, di protocollo e applicativi) e cambiano strategia in tempo reale non appena rilevano che una difesa sta avendo successo. Un singolo attacco può iniziare come un flood UDP, poi passare a un flood SYN e successivamente virare verso un attacco HTTP di livello 7, costringendo la vittima a implementare difese complete e coordinate.

La vera evoluzione degli attacchi DDoS: da Mirai agli hyperattacchi Tbps

La teoria è valida, ma la reale portata del problema emerge nei casi concreti. Nell'ultimo decennio, siamo passati da attacchi di centinaia di Gbps a eventi che superano facilmente diversi terabit al secondo (Tbps) , con velocità di trasmissione dei pacchetti che raggiungono miliardi al secondo.

Nel 2016, un attacco contro Dyn, un importante fornitore di servizi DNS, ha raggiunto circa 1,2 Tbps e ha temporaneamente mandato in tilt siti come Twitter, GitHub, PayPal e Netflix. La botnet Mirai, che ha reclutato oltre 600.000 dispositivi IoT (router, telecamere e DVR con credenziali predefinite), è stata utilizzata per generare un traffico massiccio verso i server DNS di Dyn, probabilmente tramite una combinazione di flooding UDP e tecniche di amplificazione.

Nello stesso anno, il blog di sicurezza KrebsOnSecurity subì un attacco di circa 623 Gbps , anch'esso basato su Mirai. Per quasi quattro giorni, pacchetti UDP di grandi dimensioni furono inviati principalmente a porte casuali, saturando i collegamenti e costringendo al reindirizzamento del traffico verso servizi di mitigazione specializzati come Akamai Prolexic, che applicava filtri basati su firme e comportamenti.

Nel 2018, GitHub è stato bersaglio di un attacco da 1,35 Tbps basato sull'amplificazione di Memcached. Gli aggressori hanno inviato piccole richieste UDP ai server di Memcached esposti sulla porta 11211, utilizzando un indirizzo IP di GitHub contraffatto. Ogni piccola richiesta ha innescato risposte da 50 a 100 volte più grandi, dirette ai sistemi di GitHub, che sono stati costretti a reindirizzare il traffico verso centri di elaborazione dati dove le risposte di Memcached sono state filtrate in base a specifici pattern.

Nel 2020, Amazon ha segnalato che AWS Shield aveva mitigato un attacco da 2,3 Tbps basato sulla riflessione CLDAP (UDP 389). Il vettore di attacco consisteva nel bombardare server LDAP stateless con query che generavano un elevato volume di risposte alla vittima. AWS ha distribuito il traffico sulla sua rete globale e ha applicato regole di filtraggio per quello specifico schema CLDAP.

Più recentemente, sono emerse botnet come Mēris , che sfruttano le vulnerabilità dei router MikroTik. Nel 2021 sono stati registrati picchi di 21,8 milioni di richieste al secondo (RPS), e nel 2022 questi hanno raggiunto i 46 milioni di RPS contro l'infrastruttura di Google, con volumi approssimativi di 1,3 Tbps. Le misure di mitigazione hanno incluso l'applicazione di patch in massa ai dispositivi, la chiusura di porte come la 5678 e l'applicazione di regole di filtraggio specifiche per la firma Mēris su reti come Cloudflare e Akamai.

Nell'aprile del 2025, Cloudflare ha segnalato un attacco di tipo iper-attacco di circa 6,5 ​​Tbps e diversi miliardi di pacchetti al secondo. Secondo la loro analisi, si trattava di una botnet non attribuita con caratteristiche simili a Mēris e Aisuru, che utilizzava principalmente attacchi UDP diretti da dispositivi IoT e server mal configurati, senza richiedere l'amplificazione tradizionale. Le difese si sono basate sulla rete Anycast globale di Cloudflare, sulla mitigazione XDP/eBPF ai margini della rete, sulla pulizia dinamica e sulla limitazione della velocità per IP e per regione.

Nel maggio 2025, KrebsOnSecurity tornò alla ribalta per aver resistito a un attacco di circa 6,3 Tbps lanciato dalla botnet Aisuru. In questo caso, furono generati circa 585 milioni di pacchetti UDP al secondo per circa 40-45 secondi. Google Project Shield, che proteggeva il sito, attivò immediatamente aggressive politiche di filtraggio per i pacchetti UDP indesiderati e deviò il traffico verso centri di pulizia distribuiti nella sua rete globale, in modo che l'impatto sul servizio fosse praticamente impercettibile.

Risorse e tecniche degli aggressori: botnet, amplificazione ed elusione

Per raggiungere queste cifre sbalorditive, gli aggressori impiegano una varietà di risorse, combinandole a seconda del loro obiettivo. Alla base di tutto ci sono le botnet massive : reti di dispositivi compromessi in tutto il mondo, reclutate sfruttando vulnerabilità note, password predefinite o servizi amministrativi esposti. Mirai, Mēris e Aisuru sono nomi di famiglia, ma ne esistono innumerevoli varianti, che prendono di mira produttori o servizi diversi.

La seconda vulnerabilità principale è rappresentata da server configurati in modo errato che fungono da riflettori. Qualsiasi servizio UDP non autenticato che risponda con più dati di quanti ne riceva è un potenziale candidato: DNS (porta 53), NTP (123), Memcached (11211), CLDAP (389), SNMP (161), SSDP, Chargen, SLP, TFTP, Portmap, servizi P2P o persino protocolli di videogiochi. L'attaccante invia piccole richieste falsificando l'indirizzo IP della vittima e i server amplificano e restituiscono la risposta al bersaglio reale.

Nel DNS, ad esempio, una query ANY a un resolver aperto può moltiplicare la dimensione della richiesta di circa 28 volte. In NTP, il vecchio comando MONLIST raggiungeva rapporti di amplificazione di 50-500x. Memcached è un caso estremo: una piccola richiesta può restituire centinaia di kilobyte, raggiungendo rapporti di amplificazione di decine di migliaia. CLDAP opera con fattori di 56-70x, mentre SLP è stato utilizzato con valori superiori a 2000x.

Inoltre, gli aggressori stanno affinando le loro tecniche di elusione. Lo spoofing IP rimane un metodo classico per nascondere la vera origine e sfruttare la riflessione. Altri metodi includono la rotazione costante dei vettori di attacco, la miscelazione del traffico crittografato per imporre carichi di elaborazione più elevati al difensore, l'utilizzo di tecniche "lente e graduali" (consumo graduale delle risorse senza picchi evidenti) o l'avvicinamento del traffico al livello applicativo, dove assomiglia molto di più al traffico legittimo.

Nella fase pre-attacco, vengono utilizzati strumenti di scansione di massa come masscan o zmap per individuare i servizi vulnerabili, insieme a exploit kit specificamente progettati per IoT o server. Durante l'attacco, vengono impiegati generatori di traffico come hping3, LOIC/HOIC o script C/Python ottimizzati, mentre per l'analisi post-attacco, gli aggressori stessi possono utilizzare Wireshark, tcpdump e piattaforme di monitoraggio.

Fasi di un attacco DDoS e necessità di una difesa adattiva

Sebbene spesso percepiti come caotiche esplosioni di traffico, gli attacchi DDoS più sofisticati si articolano in diverse fasi distinte . Innanzitutto, la fase di ricognizione, in cui l'attaccante studia la superficie esposta, identifica domini, indirizzi IP, servizi aperti, CDN o provider di mitigazione presenti e cerca vulnerabilità.

Successivamente si passa alla compromissione dei dispositivi, che prevede l'infezione dei computer che alimenteranno la botnet. Ciò può significare sfruttare le vulnerabilità di router, telecamere, sistemi di gestione remota o server, spesso approfittando di software obsoleti o credenziali predefinite. Una volta reclutati, i bot si connettono all'infrastruttura C2, che centralizza i comandi e gli aggiornamenti.

La fase esecutiva dell'attacco è solitamente programmata per coincidere con momenti critici per la vittima: campagne di marketing, lanci di prodotti, fine settimana con meno personale in servizio o date politicamente o mediaticamente sensibili. L'obiettivo è massimizzare l'impatto e la pressione . Negli attacchi di nuova generazione, è presente anche una componente di adattamento dinamico: la botnet monitora la risposta della vittima e modifica il proprio vettore di attacco se rileva una mitigazione efficace.

Sul fronte della difesa, ciò richiede la progettazione di strategie altrettanto adattive. Un firewall statico o una soglia di larghezza di banda non sono più sufficienti: sono necessari sistemi in grado di rilevare anomalie di traffico in tempo reale , correlare gli eventi, implementare nuove regole al volo e scalare le risorse (capacità di calcolo, archiviazione e rete) in base alle esigenze.

Un recente studio ha dimostrato che gli attacchi DDoS contro le infrastrutture critiche sono aumentati di oltre il 50% in quattro anni e che spesso vengono utilizzati come cortina fumogena per altre intrusioni, come la diffusione di ransomware, mentre il team di sicurezza è impegnato a "spegnere l'incendio" causato dal denial of service.

Misure di mitigazione tradizionali: centri di depurazione dei dati, CDN, firewall e WAF.

Le difese DDoS professionali si basano su una combinazione di tecnologie e fornitori. Il componente più caratteristico è rappresentato dai centri di filtraggio del traffico , grandi infrastrutture distribuite in grado di assorbire decine di Tbps e filtrare il traffico dannoso prima di restituire al client solo connessioni valide.

Aziende come Netscout/Arbor, Akamai/Prolexic, Cloudflare, Radware, Imperva e AWS Shield gestiscono reti globali con molteplici punti di presenza. Quando viene rilevato un attacco, il traffico destinato all'organizzazione vittima viene reindirizzato (tramite modifiche BGP o aggiornamenti DNS) verso questi centri, dove vengono applicati filtri basati su firme, comportamento, blacklist, analisi statistiche e regole personalizzate.

Parallelamente, molte organizzazioni stanno implementando appliance anti-DDoS on-premise nei propri data center o in quelli dei propri ISP. Dispositivi come Arbor TMS, Radware DefensePro, FortiDDoS o alcune soluzioni F5 sono responsabili del rilevamento e della mitigazione degli attacchi fino a un limite di capacità specifico. È prassi comune combinare queste appliance locali con una soluzione di filtraggio basata su cloud per gli attacchi che superano la loro capacità.

Le CDN e le architetture Anycast , come quelle di Cloudflare, Akamai, Fastly o Google Cloud CDN, aggiungono un ulteriore livello di protezione distribuendo geograficamente il carico. Pubblicando un servizio dietro una CDN, il traffico viene distribuito su più nodi e gli attacchi volumetrici vengono diluiti non concentrandoli in un unico punto. Inoltre, in genere integrano Web Application Firewall (WAF) e policy di limitazione della velocità a livello HTTP.

Infine, i firewall di rete (Cisco, Palo Alto, iptables su Linux, ecc.) e i WAF specializzati (ModSecurity, Cloudflare WAF, AWS WAF) consentono di filtrare il traffico in base a indirizzo IP, porta, flag e pattern applicativi . Sebbene da soli non siano sufficienti a fermare un attacco da Tbps a livello di backbone, sono essenziali per bloccare i vettori di attacco noti, limitare le connessioni sospette e proteggere i livelli 6 e 7 dello stack.

Protezione del flusso programmabile e mitigazione personalizzata con Magic Transit

In questo contesto di attacchi sempre più complessi e protocolli sempre più specifici, emergono soluzioni come Programmable Flow Protection per Magic Transit di Cloudflare , che segnano un salto qualitativo: consentono alle aziende di scrivere la propria logica di mitigazione e di implementarla direttamente sulla rete di un provider globale.

L'idea è semplice ma efficace: i clienti di Magic Transit possono caricare programmi di elaborazione di pacchetti con stato scritti in C. Cloudflare convalida, compila e trasforma questi programmi in eBPF, eseguendoli nello spazio utente all'interno della propria infrastruttura globale. Ciò consente loro di ispezionare il traffico UDP delle applicazioni in modo consapevole del protocollo: comprendere le intestazioni specifiche di un gioco online, di un sistema di trading ad alta frequenza, di servizi VoIP o di piattaforme di streaming e decidere, pacchetto per pacchetto, cosa consentire e cosa bloccare.

Questa logica personalizzata si integra con Flowtrackd, la piattaforma di mitigazione stateful di Cloudflare. La funzionalità supporta sia topologie simmetriche che asimmetriche, sebbene in questa fase di beta chiusa si concentri sull'analisi del traffico in entrata. Tutta la gestione avviene tramite l'API di Cloudflare, con endpoint per caricare programmi, creare regole associate, elencare le configurazioni o eliminarle in base alle esigenze.

Il punto fondamentale è che non ci affidiamo più esclusivamente a firme generiche e a euristiche dei fornitori. Un'azienda di videogiochi, ad esempio, può definire chiaramente il flusso legittimo del suo protocollo UDP proprietario (handshake, messaggi di posizione, keep-alive, ecc.) e quali schemi sono caratteristici di un attacco. Questa logica viene compilata e distribuita in tutti i punti di presenza di Cloudflare, avvicinando il processo decisionale al perimetro della rete.

Per ambienti con protocolli personalizzati o applicazioni con requisiti di latenza molto elevati, questa mitigazione degli attacchi DDoS con protezione del flusso programmabile rappresenta una svolta: aggiunge un livello di intelligenza specifica per il business alle difese standard. E se combinata con servizi cloud come AWS o Azure e con soluzioni software personalizzate (come quelle sviluppate da aziende specializzate in IA e analisi, come Q2BSTUDIO), consente un'automazione ancora maggiore del rilevamento delle regole e degli aggiornamenti in base alle minacce emergenti.

Perché i provider di servizi Internet e le organizzazioni necessitano di una mitigazione avanzata degli attacchi DDoS

I provider di servizi Internet (ISP) e le grandi organizzazioni sono in prima linea. Un attacco di dimensioni sufficientemente ampie può sopraffare non solo un singolo cliente, ma un'intera sezione della rete di un operatore, causando interruzioni a cascata che colpiscono migliaia di utenti. Pertanto, la mitigazione degli attacchi DDoS è diventata un requisito essenziale, non un optional.

Dal punto di vista aziendale, le conseguenze del mancato rispetto delle norme di sicurezza sono evidenti: interruzione del servizio, violazione degli accordi sul livello di servizio (SLA), penali contrattuali, perdita diretta di fatturato e abbandono dei clienti a favore di concorrenti percepiti come più affidabili. Se un'applicazione critica non è disponibile quando l'utente ne ha bisogno, quest'ultimo cercherà naturalmente delle alternative.

In settori come quello bancario, assicurativo, dei servizi di pubblica utilità e sanitario, l'impatto può estendersi oltre l'aspetto economico: interruzioni dei processi fisici , rischi operativi e disservizi ai servizi essenziali. Inoltre, si registra un costo reputazionale difficile da recuperare quando un marchio viene associato per ore a un "blocco del sistema" sui social media e sulla stampa.

A peggiorare ulteriormente la situazione, gli attacchi DDoS vengono spesso utilizzati come copertura per attacchi più dannosi. Mentre il team di sicurezza è concentrato sulla gestione del picco di traffico, gli aggressori possono tentare di spostarsi lateralmente all'interno della rete, diffondere ransomware o esfiltrare dati. In altre parole, gli attacchi DDoS fungono da esche e diversivi in ​​attacchi a più fasi.

Le moderne soluzioni di mitigazione, sia on-premise che in cloud, riducono significativamente i tempi di inattività, mantengono la continuità operativa e proteggono sia le risorse locali che quelle del cloud pubblico. La chiave sta nella loro capacità di scalare automaticamente per gestire picchi di traffico elevati e offrire chiare garanzie di capacità e tempi di risposta.

Tecniche di mitigazione specifiche: dalla limitazione della velocità al blackholing

Oltre ai principali blocchi tecnologici, esistono numerose tecniche specifiche applicate quotidianamente per contrastare vari tipi di attacchi. Una delle più basilari è il filtraggio perimetrale tramite firewall e liste di controllo degli accessi (ACL) su router e switch, che blocca i pacchetti in base all'indirizzo IP di origine, all'indirizzo IP di destinazione, alle porte, ai flag TCP o alle dimensioni.

Un altro componente classico è la limitazione della velocità , sia a livello 3/4 che in HTTP. Sui sistemi Linux, iptables offre moduli come hashlimit o SYNPROXY per controllare quante connessioni o pacchetti al secondo vengono accettati da un singolo indirizzo IP. A livello applicativo, proxy come Nginx o HAProxy possono impostare limiti alle richieste per client o per percorso.

Per gli attacchi di livello 7, l'implementazione di challenge o di un'autenticazione aggiuntiva risulta molto utile . CAPTCHA, challenge JavaScript e meccanismi simili consentono una migliore distinzione tra browser reali e bot automatizzati, riducendo il carico sull'applicazione. In TCP, tecniche come i SYN cookie aiutano il server a evitare di dover memorizzare lo stato per ogni tentativo di connessione fino al completamento dell'handshake.

Quando il volume di un attacco diventa ingestibile anche per l'infrastruttura di mitigazione, si può ricorrere al blackholing BGP : l'ISP pubblicizza la rotta verso la rete attaccata come un "buco nero", scartando tutto il traffico destinato a quel prefisso prima che entri nella rete dorsale. Si tratta di una soluzione estrema, perché rende il servizio non disponibile, ma impedisce all'attacco di colpire altre parti della rete.

I servizi di filtraggio del traffico nel cloud, come quelli offerti da Cloudflare, Akamai, AWS Shield, Google Project Shield, Radware e altri, consentono di instradare tutto il traffico verso i loro data center e di filtrarlo lì, applicando regole specifiche per vettori come l'amplificazione di Memcached, CLDAP, DNS, NTP, attacchi UDP flood non amplificati e così via. Ogni attacco bloccato alimenta modelli di machine learning e database di firme che vengono utilizzati in future attività di mitigazione.

Buone pratiche e lezioni apprese di fronte agli attuali attacchi DDoS

Dai principali incidenti degli ultimi anni si possono trarre diverse lezioni fondamentali. La prima è che la protezione dei dispositivi IoT è cruciale: gran parte della potenza di botnet come Mirai, Mēris o Aisuru deriva da router domestici, telecamere e altri dispositivi con firmware obsoleto e password predefinite di fabbrica.

Il secondo punto è che dobbiamo eliminare i vettori di amplificazione all'interno delle nostre reti: disabilitare i servizi UDP non necessari, filtrare il traffico in uscita di NTP, DNS o Memcached, applicare regole firewall che consentano solo query provenienti da intervalli autorizzati e rivedere periodicamente le porte esposte. Qualsiasi server configurato in modo errato può diventare un amplificatore per un attaccante.

È fondamentale anche l'individuazione precoce delle anomalie . Strumenti come NetFlow, sFlow, IDS/IPS (Snort, Suricata), piattaforme di analisi dei log o SIEM dovrebbero essere configurati per generare avvisi non appena si verificano picchi di traffico insoliti, improvvisi cambiamenti nei modelli di connessione o compaiono firme di attacco note. Prima si attiva la risposta, minore sarà il tempo a disposizione dell'attacco per intensificarsi.

Negli ambienti web, è quasi obbligatorio utilizzare WAF aggiornati, CAPTCHA quando si adattano all'esperienza utente e cache o CDN per alleggerire il carico. A livello di sistema, l'abilitazione dei cookie SYN, la regolazione delle soglie di connessione simultanea e la chiusura dei servizi non essenziali riducono la superficie di attacco.

Infine, ogni organizzazione dovrebbe disporre di un piano di emergenza DDoS documentato : un manuale operativo con passaggi chiari, responsabili designati, contatti tecnici presso i fornitori di servizi di mitigazione e gli ISP, e criteri predefiniti su quando attivare la rimozione dei dati, quando richiedere il blocco del traffico o quando degradare le funzioni non essenziali per proteggere il core business.

La tendenza indica attacchi sempre più rapidi, intensi e adattivi, ma anche difese più intelligenti e personalizzabili. Sfruttare le funzionalità di soluzioni come Programmable Flow Protection, in combinazione con il monitoraggio costante del traffico, le migliori pratiche di configurazione e architetture cloud ridondanti, consente alle aziende di continuare a operare normalmente anche nel bel mezzo di una tempesta di pacchetti, proteggendo non solo i propri dati, ma anche la reputazione e la fiducia dei clienti.