DDoS significa Distributed Denial of Service e si verifica quando un utente malintenzionato travolge un obiettivo, che in genere è un server, con un carico di traffico che il target non può gestire. DDoS è un tipo speciale di attacco DoS, Denial of Service ed è importante notare la differenza tra loro. Un Dos, infatti, coinvolge una singola macchina che tenta di inondare un target con richieste false, mentre un DDos coinvolge una botnet, quindi una rete di computer infetti in cui è installato un malware, che consente all’utente malintenzionato di controllarli tutti contro il suo target. È evidente che un DDoS è molto più complicato da combattere e può durare per giorni, anche settimane, costando all’azienda mirata un sacco di soldi e credibilità. L’efficacia di questo attacco è chiara se si pensa che una piccola botnet, sufficiente a distruggere una piccola azienda, possa essere acquistata per $ 150 su alcuni mercati darknet. Per avere un’idea di quanti attacchi DDoS sono perpetrati nelle varie regioni del mondo, dai un’occhiata alla mappa degli attacchi digitali.
Esiste una grande varietà di attacchi DDoS e alcuni di essi sono spiegati nelle seguenti righe.
Diversi tipi di attacchi DDoS
– Livello di applicazione DDoS
Un attacco “application layer” o “layer 7” consiste nell’inondare il livello applicazione di un server con un’enorme quantità di richieste che richiedono un grande carico di traffico e potenza di calcolo. In questa classe di attacchi sono inclusi attacchi di inondazioni HTTP e attacchi di query flood DNS.
– Alluvione HTTP
L’alluvione HTTP deve essere creata specificamente contro il bersaglio specifico ed è quindi più difficile da prevenire, non richiedendo pacchetti dannosi ma usando una botnet di zombi per abbattere il bersaglio. L’alluvione HTTP è un attacco volumetrico.
– Inondazione di query DNS
In questo tipo di attacco, il server DNS è il bersaglio. Il server DNS è responsabile della roadmap dei pacchetti di una determinata zona di una rete. Senza un server DNS che funzioni correttamente, non puoi trovare il server che stai cercando quando navighi su Internet. Un flood di query DNS è un attacco simmetrico lanciato da molti zombi in una botnet e appartiene alla classe degli attacchi UDP. Essendo UDP, una connessione completa non viene mai stabilita, rendendo più semplice lo spoofing.
– DDoS a livello di rete
Si tratta di grandi attacchi misurati in gigabit al secondo (Gbps) o pacchetti al secondo (PPS), che vanno da 20 a 200 Gbps nei casi peggiori. Lo scopo del network layer DDoS è quello di occludere la pipeline verso l’applicazione web che la ingloba con SYN o UDP. I tipi di attacchi DDoS a livello di rete sono illustrati nelle seguenti righe.
– SYN flood
Genera un flusso di richieste di connessione al server, rendendolo incapace di rispondere. Questo è un avvelenamento a tre vie della stretta di mano, che prende di mira ogni porta del server con pacchetti SYN. Il server attende i pacchetti SYN-ACK che non arrivano mai, lasciando aperte alcune connessioni semiprofizzate che la sommergono.
– Inondazione UDP
Il server è inondato di richieste UDP su ogni porta. Non essendo una destinazione effettiva per molti di loro, il server risponde con pacchetti “destinazione non raggiungibile”. L’utente malintenzionato può falsificare l’indirizzo IP dei pacchetti UDP assicurandosi che il server non risponda a lui. Proseguendo con l’attacco, il server diventa sopraffatto e non risponde ai clienti legittimi.
Che cos’è l’amplificazione
L’amplificazione è una tecnica utilizzata per amplificare la larghezza di banda di un attacco DDoS. Possiamo riassumere dicendo “piccola richiesta da parte dell’attaccante, enorme risposta dal server”. Spogliando l’indirizzo IP nella richiesta, l’attaccante può aumentare la sua efficacia di attacco di 70 volte. Il fattore di amplificazione può variare a seconda del tipo di server e va da un minimo di 3,8 per NetBios a un massimo di 556,9 per NTP.
Ad esempio, un comando chiamato monlist viene spesso utilizzato per gli attacchi NDP DDoS. Questo comando rimanda all’attaccante i dettagli delle ultime 600 persone che hanno richiesto il tempo. Mentre la dimensione della richiesta è piccola, quella della risposta è 556,9 volte la dimensione della prima. Spoofing l’indirizzo IP delle richieste con l’IP di una vittima, l’aggressore può facilmente inviare molti di loro con conseguente carico esagerato per la vittima. Questo diventa un attacco massiccio se l’attaccante usa una botnet.