Un attacco DDoS è uno dei motivi più comuni per cui un sito va offline senza preavviso. Ogni server ha un limite al numero di richieste che può gestire in una volta. Un attacco DDoS supera quel limite inviando un numero enorme di richieste da migliaia di dispositivi diversi, tutti nello stesso momento, finché il server esaurisce la capacità e i visitatori reali non riescono più a passare.
A differenza della maggior parte degli altri attacchi web, un attacco DDoS non cerca di entrare in un sito né di rubargli qualcosa. Cerca di abbatterlo. Capire come funziona spiega perché proteggersi sia molto diverso dalle altre misure di sicurezza.
DDoS sta per Distributed Denial of Service. "Denial of Service" significa che l'obiettivo è rendere il sito inutilizzabile. "Distributed" significa che l'attacco arriva da migliaia di posti diversi allo stesso tempo, non da una sola fonte. È questa dispersione a renderlo difficile da fermare. Non puoi bloccare un solo indirizzo IP e chiudere la questione. Per il quadro completo di che tipo di minacce affrontano i siti e perché la protezione conta per ogni sito, leggi l'articolo su perché la sicurezza del sito è importante.
Come funziona un attacco DDoS
L'aggressore non invia da solo tutto quel traffico. Usa una grande rete di dispositivi che sono stati presi di nascosto da software dannoso: computer di casa, router, telecamere e qualsiasi altra cosa collegata a internet. I proprietari dei dispositivi di solito non sanno che sta succedendo qualcosa.
Il meccanismo dell'attacco
- L'aggressore ordina a tutti questi dispositivi di inviare richieste al sito bersaglio nello stesso momento
- Poiché le richieste arrivano da migliaia di posizioni diverse, il server vede un picco enorme di quello che sembra traffico vero
- Il server prova a gestire il carico ed esaurisce la capacità prima di riuscire a stare al passo
- Le richieste dei visitatori reali si perdono nell'inondazione e non ricevono mai una risposta
- Il sito sembra offline per tutta la durata dell'attacco
Perché è difficile da fermare
La parte distribuita di un attacco DDoS è ciò che lo distingue da una semplice inondazione da una sola fonte. Se tutto il traffico arrivasse da un solo dispositivo, bloccarlo farebbe finire l'attacco. Quando i dispositivi sono migliaia, ognuno dei quali invia singolarmente poco traffico, bloccarne uno solo non cambia quasi nulla. Il volume totale è ciò che causa il problema, e per fermarlo serve filtrare a un livello superiore al singolo sito.
Cosa fa un attacco DDoS a un sito
Il sito va giù
Quando il server è sopraffatto, smette di rispondere. Chiunque provi a caricare una pagina qualsiasi riceve un messaggio di errore o un timeout della connessione. Il sito non è rotto e non è stato cancellato nulla. Semplicemente non riesce a rispondere alle richieste perché sta gestendo un volume impossibile di richieste false.
Per il proprietario del sito, questo si traduce in avvisi che scattano in tutti gli strumenti di monitoraggio, messaggi del servizio clienti che arrivano e una dashboard irraggiungibile perché il server non risponde a nulla.
I visitatori reali non riescono a passare
Il server non distingue un visitatore reale da una delle richieste dell'attacco. Prova a gestirle tutte e finisce per non gestirne efficacemente nessuna. Una persona che vuole davvero leggere una pagina, fare un ordine o mettersi in contatto viene bloccata tanto quanto l'ondata di richieste false. Il sito resta al buio per tutti finché l'attacco non finisce o non viene filtrato.
Quanto durano gli attacchi
Alcuni attacchi finiscono in pochi minuti. Altri vanno avanti per ore e, nei casi più gravi, per giorni. È l'aggressore a decidere quando smettere. Più dura, più costa al proprietario del sito in traffico perso, ordini mancati e danni alle prestazioni di ricerca causati da un lungo periodo offline.
Perché i siti vengono presi di mira dagli attacchi DDoS
Attacchi mirati
Alcuni attacchi DDoS sono diretti contro un sito specifico. Un concorrente che prova a mettere offline un rivale in un periodo di molto traffico. Qualcuno con un risentimento verso un'azienda o una figura pubblica. Un'azione coordinata contro un'organizzazione molto in vista. Questi attacchi sono deliberati e scelti.
Attacchi automatici casuali
Una larga parte degli attacchi DDoS non ha nulla a che fare con il sito specifico colpito. Strumenti automatici provano i siti e attaccano quelli che si possono sopraffare. Il sito non deve essere un bersaglio scelto. Gli basta essere trovabile e girare su un server che non riesce ad assorbire il carico generato dallo strumento.
Richieste di riscatto
In alcuni casi gli aggressori contattano un'azienda prima di iniziare un attacco e chiedono un pagamento per non farlo. Se il pagamento non arriva, l'attacco parte. Questo tipo di attacco, a volte chiamato DDoS con riscatto, è una minaccia reale per le attività di e-commerce e i servizi online in cui il tempo offline ha un costo economico chiaro e immediato.
Come si proteggono i siti dagli attacchi DDoS
Filtraggio del traffico a livello di rete
La protezione DDoS più efficace avviene a livello di rete, prima che il traffico dell'attacco arrivi al server del singolo sito. I provider di hosting e le reti di distribuzione dei contenuti controllano gli schemi di traffico insoliti, individuano quando un sito è sotto attacco e iniziano a filtrare l'ondata in arrivo prima che metta fuori uso il server.
Funziona perché agisce al di sopra del singolo sito. Un server che sarebbe sopraffatto se gestisse direttamente tutto quel traffico vede invece il volume intercettato e scartato a livello di rete, prima che arrivi.
Limitazione della frequenza
La limitazione della frequenza, o rate limiting, mette un tetto al numero di richieste che una singola fonte può inviare in un breve intervallo. Un visitatore reale che carica una pagina invia poche richieste. Uno strumento di attacco può inviarne migliaia dalla stessa fonte in un secondo. Il rate limiting individua e rallenta o blocca le fonti che si comportano in un modo in cui nessun visitatore reale si comporterebbe mai.
Il rate limiting da solo non è una difesa completa contro i grandi attacchi distribuiti, perché questi disperdono le richieste su così tante fonti che nessuna raggiunge il limite. Ma riduce il carico degli attacchi più grandi e gestisce del tutto i tentativi di inondazione su scala minore.
Distribuzione del traffico su più server
Le reti di distribuzione dei contenuti spargono i contenuti del sito su molti server in luoghi diversi. Quando un attacco colpisce un sito, il traffico viene distribuito su tutti quei server invece di colpirne uno solo. Un volume di attacco che metterebbe giù un solo server deve essere abbastanza grande da sopraffarne molti insieme per avere lo stesso effetto.
Un web application firewall che lavora insieme a una CDN aggiunge un altro livello, e filtra le richieste dannose prima che arrivino ai server. Per saperne di più su come funziona, leggi l'articolo su cos'è un web application firewall e come protegge il tuo sito.
Cosa fare durante un attacco DDoS
- Contatta subito il tuo provider di hosting. Ha strumenti a livello di rete che possono individuare e filtrare il traffico dell'attacco molto più in fretta di qualsiasi cosa si possa fare dalla dashboard del sito
- Annota quando è iniziato l'attacco e cosa stai osservando. Questo aiuta il team di hosting a capire con cosa ha a che fare e da dove arriva il traffico
- Non fare grandi modifiche alla configurazione del sito mentre l'attacco è in corso. Aspetta che la situazione si sia stabilizzata prima di cambiare qualsiasi cosa
- Verifica che le copie di backup del sito siano intatte. Un attacco DDoS non modifica né cancella i contenuti, ma sapere che i backup sono al sicuro è utile
Per come impostare i backup in modo che siano pronti quando servono, leggi l'articolo su come fare il backup del tuo sito. Per la guida completa alla protezione del sito da tutti i tipi di attacco più comuni, leggi l'articolo su come proteggere il tuo sito dagli hacker.
Come WEMASY gestisce la protezione DDoS
L'hosting di WEMASY include protezione DDoS e filtraggio del traffico a livello di rete. Gli attacchi vengono individuati e filtrati prima che raggiungano i singoli siti sulla piattaforma. Questa protezione è integrata in ogni piano e non richiede alcuna impostazione o configurazione da parte dei proprietari dei siti.
I siti su WEMASY non devono acquistare servizi di protezione DDoS separati. Il filtraggio a livello di rete gestisce le inondazioni di traffico ad alto volume che metterebbero offline un sito su un hosting non protetto, ed è attivo per impostazione predefinita su ogni sito della piattaforma.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Cos'è un attacco DDoS?
Un attacco DDoS, abbreviazione di Distributed Denial of Service, è un attacco che inonda il server di un sito con così tante richieste in una volta che esaurisce la capacità e smette di rispondere ai visitatori reali. Le richieste arrivano da migliaia di dispositivi diversi contemporaneamente, e per questo sono difficili da bloccare alla fonte. Il sito va offline o diventa molto lento per tutta la durata dell'attacco. A differenza dell'hackeraggio, un attacco DDoS non cerca di accedere al sito né di rubargli qualcosa. L'obiettivo è semplicemente abbatterlo. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
In cosa un attacco DDoS è diverso dall'hackeraggio?
L'hackeraggio consiste nel trovare un modo per superare la sicurezza di un sito e accedere a qualcosa al suo interno, modificarlo o rubarlo. Un attacco DDoS non fa nulla di tutto questo. Inonda il server di traffico finché il sito non riesce più a rispondere a nessuno. Contenuti, file e dati del sito non vengono toccati. I visitatori reali semplicemente non riescono a raggiungere il sito mentre l'attacco è in corso. Sono entrambe minacce, ma funzionano in modi del tutto diversi e richiedono tipi diversi di protezione.
Un piccolo sito può essere preso di mira da un attacco DDoS?
Sì. Una larga parte degli attacchi DDoS è automatica e non sceglie in modo specifico i bersagli. Gli strumenti cercano siti che si possono sopraffare e colpiscono quello che trovano. Un piccolo sito con una capacità del server limitata può in realtà essere messo offline più facilmente di un grande sito con più risorse per assorbire il traffico. La dimensione non protegge. Contano le difese presenti a livello di hosting e di rete.
Quanto dura un attacco DDoS?
Dipende dall'aggressore. Alcuni attacchi durano pochi minuti. Altri durano ore o addirittura giorni. L'attacco continua finché l'aggressore sceglie di tenerlo in piedi. Con una protezione a livello di rete, il traffico dell'attacco può essere filtrato prima che arrivi al sito, e questo significa che il sito resta online anche mentre l'attacco è in corso. Senza quella protezione, il sito è offline per tutta la durata.
Cosa devo fare se il mio sito viene colpito da un attacco DDoS?
Contatta subito il tuo provider di hosting. Ha strumenti a livello di rete che possono individuare e filtrare il traffico dell'attacco molto più in fretta di qualsiasi cosa disponibile dalla dashboard del sito. Annota quando è iniziato l'attacco e cosa vedi. Evita di fare grandi modifiche di configurazione mentre l'attacco è in corso. Quando la situazione si è stabilizzata, verifica se il tuo piano di hosting include la protezione DDoS e se vale la pena adottare altre misure.
La protezione DDoS è inclusa nel mio hosting?
Dipende dal provider e dal piano. Alcuni provider di hosting includono la protezione DDoS a livello di rete in tutti i piani come funzione standard. Altri la offrono come componente aggiuntivo o solo nei piani più alti. Controlla la documentazione del tuo hosting o contatta il provider per confermare cosa è incluso. Anche le reti di distribuzione dei contenuti offrono protezione DDoS per come sono fatte, perché distribuire il traffico su molti server riduce l'effetto di qualsiasi attacco su una sola posizione.