Attacchi DoS e DDoS: Architettura delle Botnet, Tecniche di Amplificazione e Mitigazione del Traffico Anomalo

Mentre la maggior parte degli attacchi informatici punta a rubare credenziali segrete, spiare conversazioni riservate o alterare i saldi bancari (colpendo la confidenzialità o l’integrità dei dati), esiste una famiglia di aggressioni che persegue un obiettivo completamente diverso: distruggere il terzo pilastro della sicurezza informatica, la Disponibilità (Availability). Stiamo parlando degli attacchi DoS (Denial of Service – Negazione del Servizio) e della loro micidiale evoluzione planetaria, i DDoS (Distributed Denial of Service).

L’obiettivo di un attacco DDoS non è violare le difese per entrare all’interno del server; il suo scopo è paralizzarlo dall’esterno, soffocando la sua connessione Internet con un’alluvione mostruosa di richieste fittizie, esaurendo la memoria RAM o saturando il 100% della CPU, fino a far crollare il servizio nell’inaccessibilità totale.

In questa guida didattica analizzeremo come funziona l’architettura di una Botnet zombie (composta spesso da lampadine smart, telecamere e router compromessi), capiremo la differenza tra attacchi volumetrici, di protocollo (SYN Flood) e applicativi (Slowloris), e scopriremo come i grandi colossi del cloud riescono a mitigare attacchi da svariati Terabit al secondo tramite le reti Anycast e i centri di scrubbing.

L’Analogia del Bar Caffetteria e della Folla di Diecimila Persone

Per comprendere la logica di fondo di un attacco DDoS senza perdersi nei dettagli del networking, immaginiamo un piccolo bar molto frequentato in centro città:

DoS vs DDoS: La Nascita delle Botnet Zombie

La differenza tra le due sigle risiede nella prima lettera, la D di "Distributed" (Distribuito):

• DoS (Denial of Service): L’attacco proviene da un’unica macchina o da un unico indirizzo IP verso il server bersaglio. È una minaccia obsoleta: qualsiasi server moderno dispone di una banda superiore a quella di un singolo computer domestico, e un firewall può bloccare quell’unico IP molesto in pochi decimi di secondo.
• DDoS (Distributed Denial of Service): L’attacco viene sferrato simultaneamente da decine di migliaia o milioni di dispositivi differenti sparsi in tutti i continenti della Terra.

flowchart TD

Master["🦹 BOTMASTER (L'Hacker al Vertice)"] -->|"Invia comandi d'attacco cifrati"| C2["🌐 SERVER COMMAND & CONTROL (C2)"]
subgraph ZOMBIES["🤖 RETE PLANETARIA DI DISPOSITIVI ZOMBIE COMPROMESSI"]
    Z1["💻 PC Windows Infetto (Zombie 1)"]
    Z2["📹 Telecamera IoT Hackerata (Zombie 2)"]
    Z3["📺 Smart TV & Router Casalinghi (Zombie 3)"]
    Z4["💾 Server Cloud Privati Violati (Zombie 4)"]
end

C2 -->|"Distribuisce ordini di attacco all'unisono"| Z1 & Z2 & Z3 & Z4

Z1 & Z2 & Z3 & Z4 ==>|"TEMPESTA DI TERABIT AL SECONDO"| Target["🎯 SERVER BERSAGLIO DELLA VITTIMA
(Saturazione Totale di Banda e CPU -> Crash!)"]

Che Cos’è una Botnet e Come Nasce?

Una Botnet (fusione delle parole Robot e Network) è una rete clandestina di computer, smartphone, server e apparati connessi a Internet infettati precedentemente da un malware (un trojan o un worm) che ne ha ceduto il controllo a un’entità remota, il Botmaster.

I proprietari di questi dispositivi non hanno la minima idea di essere complici di un crimine informatico: il loro computer funziona normalmente, la Smart TV in salotto riproduce i film, la telecamera di sicurezza in giardino registra i video. Tuttavia, quando il Botmaster invia il comando "Colpisci l’IP 195.20.1.4!", tutti i milioni di dispositivi infetti (chiamati Zombie o Bot) iniziano all’unisono a bombardare il bersaglio designsato.

Il Caso Storico di Mirai: L’Invasione dell’Internet of Things (IoT)

Nel 2016, un gruppo di studenti universitari creò il malware Mirai. Mirai non cercava sofisticate falle nei supercomputer: scansionava la rete globale cercando dispositivi dell’Internet delle Cose (telecamere di sorveglianza economiche, videoregistratori DVR, baby monitor) protetti dalle password predefinite di fabbrica mai cambiate dagli utenti (come admin:admin o root:123456).
Mirai arruolò oltre 600.000 dispositivi IoT nel mondo. Con quella botnet gigantesca, gli aggressori attaccarono Dyn (uno dei più grandi fornitori di DNS del pianeta): scatenarono un bombardamento da oltre 1 Terabit al secondo che mandò offline per mezza giornata colossi come Twitter, Netflix, Spotify, PlayStation Network e Reddit in tutto il Nord America e in Europa.

Le Tre Grandi Famiglie di Attacchi DDoS

Gli attacchi DDoS non funzionano tutti allo stesso modo. In base allo strato della pila OSI che colpiscono, si dividono in tre categorie operative:

1. Attacchi Volumetrici: La Furbizia dell’Amplificazione e Riflessione

Come fa un hacker a generare attacchi mostruosi da 2 o 3 Terabit al secondo senza possedere una connessione ultra-potente da milioni di euro? Sfrutta l’Amplificazione e Riflessione UDP.

Nel protocollo UDP, a differenza di TCP, non esiste una connessione preventiva (handshake): un computer può spedire un pacchetto scrivendo un mittente falsificato (IP Spoofing) senza che nessuno controlli.

2. Attacchi ai Protocolli: Il TCP SYN Flood

Il SYN Flood sfrutta una vulnerabilità intrinseca nella logica con cui il protocollo TCP instaura qualsiasi connessione affidabile sul pianeta: il celebre Three-Way Handshake (Stretta di Mano a Tre Vie).

Normalmente, quando un client si collega a un server:

1. Il Client invia un pacchetto SYN ("Posso connettermi?").
2. Il Server risponde con un pacchetto SYN-ACK ("Sì, ecco i miei parametri"), alloca un pezzo di memoria RAM per quella sessione e attende.
3. Il Client risponde con ACK ("Ricevuto, iniziamo a trasmettere!"). La connessione è aperta.

sequenceDiagram

autonumber

actor Bot as 🦹 Client Malevolo (IP Spoofato)

participant Server as 🖥️ Server Web Vittima

actor Legittimo as 👤 Utente Legittimo
Bot->>Server: 1. SYN 1 (Richiesta con IP fasullo)
Server-->>Server: 2. Alloca memoria RAM nella Backlog Queue (Stato SYN-RECEIVED)
Server-->>Bot: 3. Risponde con SYN-ACK (inviato all'IP inesistente)
Note over Bot,Server: Il Bot NON invia MAI l'ACK finale!
Bot->>Server: 4. Raffica continua: SYN 2, SYN 3, ..., SYN 100.000
Server-->>Server: 5. 🚨 Coda delle Connessioni SATURA al 100%! Memoria esaurita
Legittimo->>Server: 6. Tentativo di connessione legittima (SYN)
Server--xLegittimo: 7. Errore: Connessione Rifiutata (Timeout)

La Soluzione Ingegneristica: I SYN Cookies (RFC 4987)

Per sventare il SYN Flood, l’ingegnere Daniel J. Bernstein ha inventato i SYN Cookies: quando il server riceve un SYN, non alloca alcuna memoria RAM. Calcola invece una sequenza crittografica matematica basata sull’IP del client e sul tempo, e la inserisce come numero di sequenza nel pacchetto SYN-ACK. Se il client risponde legittimamente con l’ultimo ACK, il server ricontrolla la firma matematica e solo in quel secondo crea la sessione. Se era un attacco, il server non ha sprecato nemmeno un singolo byte di memoria!

3. Attacchi Applicativi: Il Capolavoro di Efficienza di Slowloris

Se gli attacchi volumetrici sono come un maglio d’acciaio che sfonda il portone, gli attacchi applicativi a Livello 7 sono come un veleno invisibile che consuma il server dall’interno.

L’esempio più leggendario è Slowloris (dal nome del primate loris lento). A differenza degli altri attacchi, non richiede una botnet da centomila dispositivi: un singolo computer portatile con una modesta connessione ADSL casalinga può mandare offline un server web colossale!

Come fa? Sfrutta il modo in cui i server web tradizionali (come Apache HTTP Server) gestiscono i client: ogni connessione aperta occupa un thread o un processo in memoria.

1. Slowloris si connette al server e invia un’intestazione HTTP incompleta: GET / HTTP/1.1\r\nHost: target.com\r\n.
2. Il server web rimane in attesa dei parametri successivi prima di rispondere.
3. Slowloris attende 29 secondi e poi invia una singola riga inutile: X-Custom-Header: a\r\n.
4. Il timer di timeout del server si azzera e ricomincia ad aspettare!
5. Slowloris apre migliaia di connessioni incomplete contemporanee con pochissimi kilobyte di banda: in meno di un minuto, il server web ha tutti i suoi thread occupati a non fare nulla e non può più accettare visite da nessun utente al mondo.

Come Ci Si Difende: Le Reti Anycast e i Centri di Scrubbing

Perché un normale firewall hardware installato nella sala server dell’azienda è totalmente inutile contro un attacco DDoS da 500 Gbps? Perché se la fibra ottica che entra nel tuo edificio ha una capacità massima di 1 Gbps, 500 Gbps di traffico intasano la linea all’origine presso la centrale telefonica dell’operatore: nessun pacchetto, buono o cattivo, riuscirà mai a raggiungere il tuo firewall!

La difesa moderna richiede colossi infrastrutturali globali di mitigazione (come Cloudflare, AWS Shield, Akamai o Google Cloud Armor):

flowchart TD

Attack["👾 BOTNET MONDIALE: ATTACCO DA 2 TERABIT AL SECONDO"] --> Anycast["🌐 INFRASTRUTTURA CLOUD ANYCAST (BGP Routing Mondiale)"]
subgraph SCRUBBING["CENTRI DI LAVAGGIO DEL TRAFFICO (SCRUBBING CENTERS)"]
    Node1["🇬🇧 Nodo Londra: Assorbe 600 Gbps (Filtro ASIC/FPGA)"]
    Node2["🇩🇪 Nodo Francoforte: Assorbe 800 Gbps (Filtro ASIC/FPGA)"]
    Node3["🇯🇵 Nodo Tokyo: Assorbe 600 Gbps (Filtro ASIC/FPGA)"]
end

Anycast --> Node1 & Node2 & Node3

Node1 & Node2 & Node3 -->|"Solo traffico pulito legittimo (20 Mbps)"| Origin["🏢 VERO SERVER ORIGINE AZIENDALE
(Operativo al 100% senza rallentamenti)"]

1. Routing BGP Anycast: Lo stesso indirizzo IP pubblico del sito web viene annunciato contemporaneamente da centinaia di datacenter sparsi per il globo. L’attacco planetario viene frammentato geograficamente: i bot cinesi vengono assorbiti dal datacenter di Hong Kong, i bot europei da quello di Francoforte.
2. Scrubbing Centers (Centri di Lavaggio): Hardware speciali dedicati (come chip FPGA e ASIC ad altissima velocità) analizzano il traffico alla velocità della luce, separano i pacchetti malevoli (che vengono gettati nel cestino, dropped) e instradano verso il server reale dell’azienda solo ed esclusivamente il traffico pulito degli utenti legittimi.

Domande Frequenti (FAQ)

1. Chi c’è dietro agli attacchi DDoS e perché vengono effettuati?

Le motivazioni sono molteplici:

• Estorsione Economica (Ransom DDoS): I criminali minacciano di mandare offline l’e-commerce dell’azienda durante il Black Friday se non viene pagato un riscatto in criptovalute.
• Hacktivismo e Guerra Cibernetica: Gruppi politici o paramilitari (come Killnet o Anonymous) colpiscono portali governativi, banche o ministeri di nazioni rivali per paralizzare i servizi pubblici.
• Concorrenza Sleale o Ritorsione tra Giocatori: Spesso i server di giochi online competitivi (come Minecraft o Counter-Strike) vengono colpiti da giocatori rivali per far perdere le partite agli avversari.
• Diversivo Tattico (Smokescreening): Un devastante attacco DDoS viene lanciato contro il portale principale dell’azienda per attirare tutti i tecnici IT e confondere i sistemi di allarme, mentre una seconda squadra di hacker penetra furtivamente nel database interno indisturbata.

2. Il mio computer di casa o il mio smartphone potrebbero far parte di una botnet a mia insaputa?

Sì, è un’eventualità frequentissima. Se hai scaricato software craccato, giochi piratati da fonti non sicure, o se usi un vecchio router Wi-Fi o telecamere con firmware non aggiornato, il dispositivo potrebbe essere arruolato in una botnet. Spesso non ci sono sintomi evidenti, se non una connessione Internet a volte stranamente rallentata o la ventola di raffreddamento che accelera improvvisamente quando il computer è a riposo.

3. Esiste un reato penale per chi lancia un attacco DDoS?

Sì. In Italia il lancio di un attacco DoS o DDoS è severamente punito dal Codice Penale: l’articolo 635-bis (Danneggiamento di informazioni, dati e programmi informatici) e l’articolo 635-ter (Danneggiamento di sistemi informatici o telematici di pubblica utilità) prevedono pene che vanno da uno a cinque anni di reclusione (fino a otto anni se vengono colpiti ospedali, ferrovie o apparati dello Stato), oltre a pesantissimi risarcimenti civili per i danni economici provocati.

4. Che cos’è una sfida CAPTCHA e come aiuta a fermare i DDoS?

Il CAPTCHA (acronimo di Completely Automated Public Turing test to tell Computers and Humans Apart) è un test progettato per essere risolto facilmente da un essere umano ma impossibile per un programma automatico. Quando una piattaforma anti-DDoS (come Cloudflare) rileva un’ondata anomala di richieste HTTP su una determinata pagina, attiva automaticamente una barriera a schermo: richiede al visitatore di cliccare su una casella o risolvere un puzzle. I bot automatici della botnet non sanno come superare la prova e vengono bloccati prima di raggiungere il server.

Glossario Tecnico dei Termini Chiave

• DoS (Denial of Service): Attacco informatico sferrato da una singola sorgente che mira a rendere indisponibile un server o un servizio sovraccaricandone le risorse fisiche o logiche.
• DDoS (Distributed Denial of Service): Evoluzione distribuita del DoS condotta contemporaneamente da migliaia di macchine coordinate (botnet) sparse per il pianeta.
• Botnet: Rete di dispositivi telematici infettati da malware e asserviti clandestinamente al controllo di un singolo coordinatore (Botmaster).
• IP Spoofing: Tecnica di falsificazione dell’intestazione di un pacchetto IP che permette all’attaccante di mascherare il proprio vero indirizzo mittente sostituendolo con quello della vittima.
• Attacco Volumetrico: Aggressione DDoS mirata alla saturazione pura della larghezza di banda (throughput) della connessione Internet del bersaglio.
• SYN Flood: Attacco di protocollo che satura la tabella delle connessioni TCP del server inviando una valanga di pacchetti SYN senza mai completare l’handshake.
• Scrubbing Center: Centro di elaborazione dati ad altissima capacità di rete dove il traffico Internet viene "lavato", eliminando i pacchetti malevoli e inoltrando solo quelli legittimi.
• Anycast: Tecnica di instradamento IP in cui lo stesso indirizzo di rete viene annunciato simultaneamente da più nodi geografici differenti, disperdendo il carico del traffico.

Fonti Ufficiali e Riferimenti Accademici

• RFC 4987 (2007): TCP SYN Flooding Attacks and Common Mitigations, Eddy, W., Internet Engineering Task Force (IETF). https://www.rfc-editor.org/rfc/rfc4987
• RFC 4732 (2006): Internet Denial-of-Service Considerations, Handley, M. & Rescorla, E., IETF. https://www.rfc-editor.org/rfc/rfc4732
• CISA (Cybersecurity and Infrastructure Security Agency): Understanding Denial-of-Service Attacks – Security Tip (ST04-015). https://www.cisa.gov/news-events/news/understanding-denial-service-attacks
• Antonakakis, M. et al. (2017): Understanding the Mirai Botnet, Proceedings of the 26th USENIX Security Symposium, Vancouver, BC. https://www.usenix.org/conference/usenixsecurity17/technical-sessions/presentation/antonakakis
• Cloudflare Inc.: DDoS Threat Intelligence Report: Trends, Attack Vectors, and Mitigation Strategies, Cloudflare Research. https://www.cloudflare.com/learning/ddos/what-is-a-ddos-attack/
• Tanenbaum, A. S., & Wetherall, D. J. (2011): Computer Networks (5th Edition), Pearson. (Capitolo 6: The Transport Layer – Denial of Service).