⚠️ ATTACCHI DDoS: quali danni possono fare e come evitarli

Immaginate di lavorare nel reparto marketing di una grande azienda. Avete da poco lanciato una campagna per vendere un prodotto di punta nel vostro e-commerce. Avete fatto una pubblicità pazzesca, tanto che le persone non vedono l'ora che si aprano le vendite per poter acquistare il vostro prodotto. Appena arriva l'orario previsto per l'apertura delle vendite però, iniziano ad arrivare delle mail da parte degli utenti che si lamentano che il sito è in down e non riescono ad acquistare nulla. Andate dal tecnico informatico dell'azienda pensando che si tratti di un semplice sovraccarico, magari dovuto alle centinaia di persone che stanno cercando di acquistare, ma vi rendete conto che c'è qualcosa di strano. Le richieste che stanno arrivando al sito non sembrano normali. Non sono centinaia, ma decine di migliaia, tutte insieme, tutte identiche, e non provengono da clienti reali, ma da indirizzi IP sparsi in tutto il mondo. Il server non ce la fa a gestirle e va giù. Più e più volte. Siete appena stati vittime di un attacco DDoS. Ciao a tutti e benvenuti in questo nuovo video. Si sta parlando sempre più spesso degli attacchi DDoS che vengono usati molto anche in Italia contro i siti web di grandi aziende o enti. Apparentemente però non sono così preoccupanti. Quello che fanno è solo rendere inutilizzabile un sito web per qualche ora, giusto? Sbagliato. Ma partiamo dall'inizio. Cos'è un attacco DDoS? DDoS è l'acronimo di Distributed Denial of Service, che in italiano possiamo tradurre come attacco distribuito di negazione del servizio. Un nome molto tecnico che nasconde però un concetto piuttosto semplice. Pensate a un negozio fisico. Normalmente i clienti entrano, acquistano e se ne vanno, lasciando spazio agli altri. Ora immaginate che migliaia di persone che non hanno alcuna intenzione di comprare entrino contemporaneamente nel negozio occupando ogni centimetro quadrato dello spazio disponibile. I veri clienti non riescono più a entrare e il negozio è di fatto paralizzato. Ecco, un attacco di DDoS funziona esattamente così ma nel mondo digitale. L'aggressore inonda un sito web, un server o un'intera rete con un traffico talmente massiccio da sovraccaricarne le risorse, rendendo il servizio inaccessibile a tutti gli utenti legittimi. È per questo che si parla di denial of service, cioè di negazione del servizio, proprio perché si rende indisponibile l'utilizzo da parte degli utenti normali. Ma che cosa rende distribuito questo tipo di attacco? A differenza dei primi e più semplici attacchi DDoS, appunto denial of service, che provenivano da una singola fonte, Gli attacchi DDoS, Distributed Denial of Service, sfruttano migliaia, a volte centinaia di migliaia, di dispositivi infetti sparsi in tutto il mondo. In pratica, prima si diffondono dei malware per infettare decine e decine di computer, poi i computer infetti, che vengono chiamati botnet, agiscono su comando dell'attaccante per inviare le richieste ai sistemi vittima e sovraccaricarli, quindi per mandarli in crash. Questo esercito di macchine zombie agisce come un'orda coordinata che attacca simultaneamente da tantissimi tantissime direzioni, rendendo quasi impossibile bloccare tutte le fonti dell'aggressione. Il primo attacco di DDoS conosciuto, che fece capire proprio anche la portata del fenomeno, è del febbraio del 2000. Un quindicenne canadese— sono sempre dei quindicenni— noto con lo pseudonimo di Mafia Boy lanciò una serie di attacchi contro i più grandi siti web commerciali dell'epoca: Yahoo, eBay, Amazon, la CNN, Dell. Erano i giganti del web dei primi anni 2000 e rimasero offline per delle ore. La novità era appunto l'utilizzo di tanti computer infetti che rendeva questo attacco distribuito, mentre fino ad allora si era parlato solo di attacchi DOS, quindi attacchi provenienti da una sola macchina. Il caso fece così tanto scalpore che persino il presidente americano Bill Clinton si interessò alla questione creando una task force dedicata. Il ragazzo venne presto individuato e condannato a 8 mesi di carcere. Da allora gli attacchi di DOS sono diventati sempre più potenti e molto diffusi, evolvendosi di pari passo con la tecnologia. Anche se sembrano uguali dall'esterno, perché c'è quasi sempre di fatto un sito che crolla sotto il peso di troppe richieste, esistono in realtà diverse tipologie di attacco di DDoS, ognuna con le proprie caratteristiche tecniche. Abbiamo innanzitutto l'UDP flood, che sfrutta appunto il protocollo UDP. UDP sta per User Datagram Protocol ed è un protocollo usato su internet per inviare dei dati in modo rapido ma senza particolari controlli. Nella pratica funziona così: l'attaccante bombarda un server con tantissimi messaggi, inviati appunto tramite questo protocollo UDP, inviati a caso sulle porte del server. Il server ogni volta prova a capire se qualcuno stia davvero cercando di comunicare su quelle porte e quando non trova nulla risponde con un messaggio di errore. Ma se i messaggi sono troppi il server s'ingolfa, consuma tutte le sue energie per rispondere e alla fine smette di funzionare. Usando una metafora per far capire meglio, è come se una persona entrasse in un ufficio postale per inviare migliaia di lettere indirizzate a destinatari palesemente inesistenti e per ogni lettera gli impiegati dovessero dire "Guardi che l'indirizzo è sbagliato" e cercare di capire il problema. Nel giro di 3 secondi l'ufficio sarebbe paralizzato. L'UDP FLOOD funziona così, ma le richieste provengono da tantissimi computer diversi, quindi è ancora peggio. Oltretutto è un attacco molto difficile da filtrare perché, come vi dicevo, il protocollo UDP non prevede particolari controlli, quindi è più difficile capire se il traffico è buono o cattivo. Un altro tipo comune di attacco DDoS è il SYN flood, che sfrutta il protocollo invece TCP. Il protocollo TCP funziona creando una connessione fra un dispositivo e un server, che funziona in questo modo: il dispositivo invia una richiesta di connessione chiamata appunto SYN, il server risponde con una richiesta di conferma chiamata SYN-ACK e aspetta la risposta del dispositivo. Il dispositivo invia la conferma chiamata ACK e si stabilisce la connessione. Nell'attacco SYN-FLOOD l'attaccante invia una valanga di richieste SYN, il server risponde a ognuna con un messaggio SYN-ACK e resta in attesa della conferma finale, appunto dell'ACK, ma l'attaccante non invia mai quella conferma, quindi il server tiene aperte tutte queste connessioni incomplete, consuma memoria e risorse e alla fine, se le richieste sono tante, il server si blocca e non riesce più a gestire nuove richieste di connessione reali. C'è poi un terzo tipo di attacco di DDoS che si chiama attacco di amplificazione. L'attaccante in questo invia piccole richieste a server vulnerabili utilizzando l'indirizzo IP della vittima come mittente. Questi server quindi ricevono delle richieste che apparentemente provengono da quella che poi in realtà è una vittima e rispondono con pacchetti molto più grandi indirizzati alla vittima amplificando l'effetto dell'attacco. In pratica non è l'attaccante a fare il lavoro sporco, a lui basta inviare una richiesta, anche minima, fingendo di essere la vittima e sollecitando una risposta molto pesante. Una volta che la vittima, che può essere un server, un e-commerce, un sito, un ente e così via, riceve tutte quelle risposte così pesanti, va in down. Ultimo ma non ultimo, visto che forse è il tipo di attacco DDoS più conosciuto, è l'HTTP flood. L'attaccante invia al server tantissime richieste HTTP, cioè le stesse richieste che farebbe un normale utente quando apre una pagina web. Come aprire una pagina del sito, inviare dei moduli, cercare dei contenuti, ricaricare la homepage e così via. Ogni richiesta è perfettamente valida, quindi il server la elabora. Il problema è che ne arrivano troppe tutte insieme e il server, a forza di dover gestire tutte queste richieste, si sovraccarica e rallenta fino a bloccarsi. Quale che sia la tipologia, il risultato finale è lo stesso: il servizio bersaglio diventa irraggiungibile per gli utenti legittimi. Vittimi. E qui potremmo chiederci: ma qual è lo scopo dietro questo tipo di attacco? Cioè, perché dovrei voler buttare giù un sito? Gli scopi possono essere diversi. Ci sono script kiddies, cioè hacker un po' improvvisati, diciamo così, che lo fanno per il gusto di farlo, di vedere che riescono a farlo, di vedere che un sito non è più raggiungibile. Essendo uno degli attacchi più innocui, anche più difficili da tracciare, spesso è un punto di partenza per chi decide di hackerare per gioco. Ci sono poi attivisti, o meglio activist, cioè hacker attivisti, che buttano giù i siti di aziende o enti che vogliono boicottare, quindi lo fanno per mandare un messaggio o infangarne un po' la reputazione. E poi ci sono attaccanti che invece vogliono fare veramente dei danni, e allora bloccano il sito o per estorcere denaro, quindi ad esempio dicendo pagaci un tot in Bitcoin se vuoi rivedere online il sito, oppure lo fanno per distrarre la vittima e intanto compiere dei furti di dati alle sue spalle. Perché tutti i tecnici della vittima sono impegnati a bloccare l'attacco di DDoS e loro magari intanto alle spalle riescono invece ad accedere al server e a fare quello che devono fare. Un'altra grande motivazione dietro questo genere di attacchi è di matrice politica. Bene o male in Italia abbiamo sentito tutti parlare del gruppo di hacker NoName057 oppure di Killnet che dopo lo scoppio della guerra in Ucraina hanno iniziato a buttare giù i siti di istituzioni, media, aziende e infrastrutture digitali di tutti i paesi che sostengono l'Ucraina, in particolare quelli della NATO e dell'UE. Ne parlerò fra poco, anche perché questi gruppi sono usciti allo scoperto nel 2022, ma in realtà è nel 2007 che si verificò quello che molti considerano il primo caso di cyber guerra su scala nazionale, quando l'Estonia subì una massiccia campagna di attacchi DDoS che durò ben 22 giorni. Anche qui i bersagli furono siti governativi, banche, media e infrastrutture critiche. L'ondata di attacchi coincise con delle tensioni politiche fra l'Estonia e la Russia per la rimozione di un monumento sovietico a Tallinn, e si ritiene sia stata orchestrata da attivisti nazionalisti russi, forse con il tacito appoggio statale. I siti dei ministeri, del Parlamento, delle principali banche e dei quotidiani subirono interruzioni a intermittenza per circa 3 settimane. L'evento fu così significativo che portò alla creazione da parte della NATO di un centro cooperativo di difesa cibernetica con sede a Tallinn. Per la prima volta un attacco informatico era riuscito a destabilizzare un intero paese. Molto spesso inoltre gli attacchi DDoS non puntano a una sola vittima, ma cercano di buttare giù quanti più siti possibile in una volta. E lo fanno o colpendo un server condiviso fra più aziende, o colpendo un servizio singolo che è alla base di più aziende. Un esempio è l'attacco del 2013 a Spamhaus, organizzazione che gestisce importanti blacklist anti-spam che fu bersaglio di quello che all'epoca fu descritto come il più grande attacco di DDoS mai visto su internet, anche se in realtà ci volle ben poco per superare poi questo record. L'attacco iniziò dopo che Spamhaus bloccò i server di Cyberbunker, che era un controverso provider olandese. Gli attaccanti utilizzarono una tecnica di amplificazione DNS, saturando così non solo la rete di Spamhaus, ma arrivando a congestionare importanti nodi di scambio internet in tutta Europa. Il caso forse peggiore però di questo fenomeno si verificò nel 2016 quando venne colpita una società fornitrice di servizi DNS per tantissime grandi aziende, mettendole tutte in ginocchio. Ma di questo parliamo nel video di domani. Anche in Italia ci sono stati comunque numerosi casi emblematici, come quello del 2012 quando l'ala italiana del gruppo hacker Anonymous, che bene o male conosciamo tutti, rivendicò un attacco di DDoS contro il sito ufficiale del Vaticano. La pagina web del Vaticano risultò irraggiungibile per gran parte della giornata. In un comunicato Anonymous Italia dichiarò di aver assediato il sito come protesta contro la corruzione e gli scandali della Chiesa Cattolica. L'attacco, parte di una serie di azioni chiamate Operation Italy, non mirava a rubare dei dati ma solo a rendere il sito inaccessibile come forma di protesta. Questo caso è significativo perché mostra l'uso di DDoS come strumento di dissenso politico o sociale senza che vengano però causati ulteriori danni. Nel contesto della guerra in Ucraina poi, come accennavo prima, l'Italia è finita prima nel mirino di Killnet e poi in quello di Noname057, entrambi gruppi di hacker filorussi che hanno colpito con attacchi DDoS vari portali istituzionali italiani, come quelli del Senato, del Ministero della Difesa, dell'Istituto Superiore della Sanità, dell'ACI, di banche, di aeroporti e così via, causando interruzioni e rallentamenti per alcune ore. La motivazione era ancora una volta geopolitica: si voleva punire l'Italia per il sostegno all'Ucraina, nell'ambito di una campagna più ampia contro vari paesi europei. Fortunatamente le autorità italiane, specie la CN e il CSIRT, erano preparate e hanno risposto abbastanza rapidamente aumentando le difese e avvisando gli operatori delle infrastrutture critiche di implementare contromisure, quindi sono riusciti a limitare gli effetti degli attacchi.. La cosa forse più inquietante comunque è che oggi, a differenza degli attacchi che ho citato finora, sta cambiando proprio la materia prima utilizzata per questi attacchi. Se inizialmente gli aggressori si limitavano a compromettere dei computer tradizionali per creare le loro botnet, oggi sfruttano l'enorme diffusione di dispositivi connessi a internet, quindi i famosi IoT, Internet of Things, che possono essere dei router, delle telecamere di sicurezza domestiche, degli assistenti vocali e persino dei frigoriferi, delle lampadine smart. L'IoT ha creato un esercito potenziale di dispositivi facilmente hackerabili, anche perché spesso vengono lasciate le password default e non vengono scaricati gli aggiornamenti di sicurezza. Un'evoluzione recente particolarmente preoccupante è l'uso dell'intelligenza artificiale, sia per organizzare attacchi più sofisticati sia per eludere le difese. Gli algoritmi di machine learning sono già in grado di analizzare il traffico legittimo per generare degli attacchi che mimano meglio il comportamento umano, rendendo più difficile distinguere il traffico malevolo da quello normale, legittimo. Tra questo e l'Internet of Things, va da sé che i botnet di domani potrebbero arrivare a controllare milioni di dispositivi, dagli smartphone alle auto, generando volumi di traffico finora inimmaginabili. Come sempre, il lato positivo è che anche le tecnologie di difesa stanno evolvendo. L'intelligenza artificiale viene impiegata ad esempio per rilevare delle anomalie nel traffico di rete in tempo reale, i servizi cloud offrono delle capacità di assorbimento di DDoS quasi illimitate e le architetture di rete diventano sempre più resilienti e distribuite. E qui sorge una domanda: se lavoriamo per un'azienda o un ente, come possiamo difenderci dagli attacchi di DDoS? La prima cosa che si può fare è basare i propri sistemi su un'architettura di rete distribuita, quindi disporre i propri servizi su più server o data center, in modo da disperdere l'impatto di un eventuale attacco di DDoS. Oggi tantissimi data center offrono sistemi come il bilanciamento del carico, che fanno sì che un traffico anomalo venga distribuito su più server, evitando quindi di sovraccaricare i singoli nodi. Sono diventati anche più bravi a filtrare il traffico malevolo, ad esempio troppe richieste da un singolo indirizzo IP oppure richieste provenienti da parti del mondo che normalmente non inviano richieste a quel server. Altre tecniche includono il rilevamento dei bot tramite analisi comportamentali oppure sfide, no, come il classico CAPTCHA che serve a verificare se chi manda la richiesta è un essere umano oppure no. Va detto che in realtà i botnet stanno diventando molto bravi ad aggirare questo tipo di sfide, quindi dovranno sicuramente essere migliorate se vogliamo che continuino ad avere un'utilità. Visto comunque che queste soluzioni sono complesse, molte organizzazioni fanno prima e si affidano a dei provider che offrono protezione DDoS proprio come servizio. Aziende come ad esempio Cloudflare o Akamai forniscono dei servizi che combinano tutte queste tecniche. Per le organizzazioni più piccole mi sento comunque di dare dei consigli pratici sia per evitare degli attacchi DDoS sia per evitare che si infettino i computer e che quindi possano diventare parte della botnet che e poi compirà degli attacchi di DDoS. Implementate innanzitutto un firewall e configuratelo correttamente per bloccare il traffico sospetto. Mantenete aggiornati tutti i sistemi perché spesso gli aggiornamenti contengono, come dico poi spesso, delle patch per delle vulnerabilità che potrebbero essere sfruttate in un attacco. Valutate l'utilizzo di servizi cloud che offrono una protezione di DDoS integrata, come ad esempio Google Cloud Armor, ma ce ne sono veramente tanti altri. Preparate un piano di risposta agli incidenti in modo da sapere che cosa fare durante un attacco e ridurre quindi anche i tempi di ripristino. Poi comunque, se riuscite, monitorate regolarmente il traffico di rete per individuare delle anomalie che potrebbero indicare che c'è un attacco imminente oppure già in corso. Una volta fatte queste cose, il rischio che si verifichi un attacco di DDoS sarà già ridotto parecchio e tra l'altro anche se si verificasse avreste modo di ridurre comunque l'impatto e anche quindi i danni dell'attacco. Bene, spero che questo video vi sia piaciuto. Domani parleremo del caso più eclatante di DDoS, che nel 2016 ha messo in ginocchio tantissime aziende. Ne approfitto per dirvi, se non l'avete già fatto, di iscrivervi alla mia newsletter Non tutti i malware vengono per nuocere, che partirà a brevissimo. Vi lascio il link in descrizione. Noi ci vediamo nel video di domani.