Sono tornati , e con una forza senza precedenti: gli attacchi di tipo Distributed Denial of Service (DDoS), una delle forme più antiche e semplici di attacco informatico, stanno registrando una sorprendente recrudescenza, mettendo a dura prova banche, istituzioni governative, partiti politici e altre entità con un’intensità che non si vedeva da decenni.
Negli ultimi mesi, alcuni aggressori, spinti da motivazioni politiche o talvolta finanziarie, hanno lanciato ondate di botnet – reti di computer compromessi – con l’obiettivo di sovraccaricare e mettere fuori uso i server, prendendo di mira (solo per citarne alcuni) il sito dello Stato dell’Alabama,, il sistema giudiziario dello Stato della Pennsylvania ,, gli aeroporti internazionali di Los Angeles e San Francisco ,, la società di simulazione di sport motoristici iRacing.com , e il sito di videogiochi Final Fantasy 14 , , le app bancarie russe ,, , , banche e borse valori ceche e polacche, nonché , il sito francese, , il sito svedese, , il sito canadese e , nonché il sito del governo di Macao .
Mentre l’attenzione in materia di sicurezza informatica si è concentrata principalmente sul ransomware di tipo “ ” , a causa dei riscatti spesso ingenti che comportano, gli attacchi DDoS, pur essendo meno sotto i riflettori, stanno diventando altrettanto preoccupanti a causa dei gravi danni che possono causare alle attività aziendali e alla reputazione. Non a caso, l’ondata di attacchi DDoS si verifica in un momento caratterizzato da crescenti tensioni politiche in tutto il mondo e da una dipendenza sempre maggiore da parte del pubblico da determinati siti web, app e sistemi.
Le banche e gli altri istituti finanziari sono particolarmente nel mirino: secondo un recente rapporto del Financial Services Information Sharing and Analysis Center (FS-ISAC), nel 2023 gli attacchi nei loro confronti sono aumentati del 154% rispetto all’anno precedente.
Tra gli attacchi rivolti contro i governi, gruppi di hacktivisti con sede in Russia, quali Anonymous Sudan, HackNeT e People’s Cyber Army, hanno preso di mira chiunque fosse anche solo lontanamente collegato ai conflitti in Ucraina e a Gaza.
E la rete si sta espandendo: il settore dei videogiochi, quello delle telecomunicazioni e le organizzazioni umanitarie sono ormai bersagli frequenti, come hanno evidenziato diverse relazioni; il settore della vendita al dettaglio ha registrato un recente aumento degli attacchi; e i funzionari delle Olimpiadi di Parigi hanno mantenuto un livello di allerta elevato per tutta la durata dei Giochi, alla luce dei precedenti attacchi DDoS subiti dalle Olimpiadi nel 2016 e nel 2018.
«Gli attacchi DDoS rappresentano un metodo efficace ed economico per causare disagi, e gli hacktivisti ricorrono sempre più spesso a questa tecnica come strumento di guerra cibernetica», afferma Teresa Walsh, responsabile dell’intelligence dell’FS-ISAC.
Le modalità operative e le motivazioni alla base degli attacchi DDoS
Un attacco DDoS mira a interrompere il normale traffico di una rete sommergendo la stessa con un flusso di traffico Internet proveniente da numerose fonti. Di solito ciò avviene infiltrandosi in un gran numero di computer e sfruttando poi quella botnet per sommergere un bersaglio con una mole di dati tale da sopraffarlo – proprio come quando si lanciano così tanti missili contro i sistemi di difesa aerea da far sì che questi ultimi finiscano per superare i propri limiti.
«Gli attacchi DDoS rappresentano un metodo efficace ed economico per causare disagi, e gli hacktivisti ricorrono sempre più spesso a tale metodo come strumento di guerra cibernetica.»”Teresa Walsh, responsabile dell’intelligence, FS-ISAC
Tra le motivazioni più comuni alla base degli attacchi DDoS figurano il desiderio di mettere fuori uso un sito web o un servizio accessibile al pubblico e l’estorsione, in cui un criminale informatico (proprio come un mafioso) dimostra di essere in grado di mettere fuori uso un sito e minaccia di farlo se l’organizzazione non versa un canone di protezione periodico, afferma Fernando Montenegro, analista senior principale presso Omdia a Toronto. Gli attacchi DDoS possono anche fungere da esca per distogliere l’attenzione del personale addetto alla sicurezza, mentre un aggressore prende di mira obiettivi più redditizi, aggiunge.
La buona notizia è che gli attacchi DDoS sono raramente molto sofisticati e possono essere neutralizzati se si adottano le misure adeguate. Un esempio calzante: OVHcloud, un’azienda francese specializzata nel cloud computing, , ha dichiarato di aver respinto un attacco DDoS da 840 Mpps (milioni di pacchetti al secondo), un valore record, nel mese di aprile. OVHcloud ha affermato che l’attacco è fallito poiché l’azienda disponeva di una capacità di connessione Internet sufficiente a resistere all’ondata di attacchi digitali che le si stava abbattendo addosso. A titolo di confronto, si ritiene che i più diffusi servizi di streaming multimediale gestiscano circa 100 Mpps nelle ore di punta, quando milioni di utenti guardano video contemporaneamente. I social network potrebbero gestire circa 200 Mpps nelle ore di punta, quando gli utenti pubblicano, mettono “mi piace” e condividono attivamente contenuti.
Naturalmente, non tutte le organizzazioni sono in grado di contrastare i tre attacchi DDoS più comuni:
- Basati sul volume – che sovraccaricano la larghezza di banda di una rete con ingenti quantità di traffico.
- Basati su protocolli – che sfruttano le vulnerabilità dei protocolli di rete per consumare le risorse del server.
- Basati sul livello applicativo – – che prendono di mira specifiche applicazioni web per esaurirne le risorse.
Pertanto, secondo gli esperti, le aziende devono adottare un approccio su più livelli per prevenire e mitigare gli attacchi DDoS.
COSA FARE PRIMA DI UN ATTACCO DDoS
Prevenire è meglio che curare. Poiché gli autori degli attacchi cercano solitamente di individuare le falle nella sicurezza di un’organizzazione, è fondamentale adottare le migliori pratiche per colmare tali lacune il più rapidamente possibile, al fine di ridurre al minimo i danni causati dagli attacchi DDoS. Gli esperti raccomandano diversi approcci per raggiungere tale obiettivo, tra cui:
1. Scoprite cosa c’è là fuori
Walsh sostiene che le organizzazioni debbano concentrarsi sull’ , ovvero lo studio e la comprensione delle tattiche di attacco in continua evoluzione, delle tecniche e delle procedure necessarie per difendersi da esse.
2. Includere gli attacchi DDoS nella modellizzazione delle minacce
Quando si progetta un sistema, afferma Montenegro, è importante farlo tenendo conto di potenziali minacce specifiche, tra cui gli attacchi DDoS. Ciò sottolinea l’importanza della modellizzazione delle minacce, un processo strutturato volto a identificare, valutare e classificare in ordine di priorità le potenziali minacce alla sicurezza informatica. I dirigenti aziendali dovrebbero assicurarsi che questo aspetto del processo di sviluppo non venga trascurato o aggirato.
3. Monitorare eventuali attività sospette
In un rapporto congiunto, l’FBI, l’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) e il Centro multistatale per la condivisione e l’analisi delle informazioni (MS-ISAC) raccomandano di implementare un sistema di gestione degli accessi basati su ruolo ( ), un solido monitoraggio della rete e strumenti di rilevamento delle intrusioni per identificare modelli di traffico insoliti o sospetti. Consigliano inoltre di effettuare analisi periodiche del traffico per individuare eventuali anomalie.
4. Garantire la continuità delle operazioni e del traffico
Il Montenegro afferma che le organizzazioni potrebbero trarre vantaggio dai film
trasferendo le risorse digitali critiche su server cloud in hosting , quali AWS o Snowflake, dotati di ampia capacità e di un’infrastruttura di sicurezza in grado di resistere a numerosi tipi di tentativi di attacco DDoS. «La domanda che dovrebbe porsi è: posso dislocare le infrastrutture critiche della mia azienda in modo tale da renderle più resistenti agli attacchi DDoS?» dice. «La scelta migliore in caso di attacco è quella di non avere le proprie risorse sul posto, in modo che non possano essere prese di mira.»
Secondo l’FBI, la CISA e l’MS-ISAC, anche le soluzioni di bilanciamento del carico possono essere d’aiuto. La distribuzione del traffico su più server o data center contribuisce a distribuire i carichi, evitando che si verifichino singoli punti di guasto in caso di attacchi.
Le agenzie suggeriscono inoltre che, qualora le organizzazioni non stiano trasferendo le proprie risorse presso un fornitore di servizi cloud, dovrebbero valutare la propria capacità di banda e prendere in considerazione la possibilità di aumentarla per far fronte ai picchi di traffico che si verificano durante un attacco.
5. Rimanete fedeli ai principi fondamentali
Walsh afferma che il rispetto delle norme di base in materia di sicurezza informatica può ridurre al minimo l’esposizione di un’organizzazione alle minacce. A suo dire, i metodi più efficaci in termini di rapporto costo-beneficio consistono nel tenersi aggiornati su tutti gli aggiornamenti di sicurezza fondamentali, nell’adottare requisiti rigorosi in materia di password e nell’utilizzare l’autenticazione a più fattori.
Altrettanto fondamentale è mantenere pratiche all’avanguardia in materia di controllo degli accessi , che dovrebbero far parte di qualsiasi programma di gestione delle identità e degli accessi . L’FBI, la CISA e l’MS-ISAC raccomandano l’utilizzo di test Captcha per i siti web e i servizi online al fine di stabilire se a richiedere l’accesso alla rete sia un utente autorizzato o un bot automatizzato. Gli esperti sostengono che disporre di un piano di backup e ripristino attivo, che preveda test periodici, dovrebbe costituire un elemento fondamentale della strategia di sicurezza informatica di ogni azienda.
E non dimenticate di gestire correttamente endpoint. Walsh esorta a rimuovere dalla rete tutti i dispositivi " endpoint " non utilizzati, a limitare l'accesso amministrativo ai dispositivi esistenti e a riservare l'uso del software a piccoli gruppi di utenti autorizzati.
COSA FARE DOPO UN ATTACCO DDoS
Se un’organizzazione dovesse improvvisamente riscontrare problemi quali l’indisponibilità dei servizi web, un aumento della congestione di rete, andamenti insoliti del traffico o arresti inspiegabili dei server o delle applicazioni, potrebbe essere vittima di un attacco DDoS.
“La domanda che dovrebbe porsi è: posso disporre l’infrastruttura critica della mia azienda in modo tale da renderla più resistente agli attacchi DDoS?”Fernando Montenegro, analista senior principale presso Omdia
Gli esperti raccomandano di adottare alcune misure in tali situazioni, tra cui:
6. Confermare l'attacco
Utilizzi strumenti di monitoraggio della rete e di analisi del traffico per determinare la natura dell'attacco. Se la causa è un attacco DDoS, attivate immediatamente il piano di risposta agli incidenti documentato e approvato dall’organizzazione, disponibile all’indirizzo . Presumibilmente esiste; in caso contrario, se ne procuri uno. (I nuovi piani di risposta automatica agli incidenti di nuova generazione possono accelerare i tempi di risoluzione e di risposta.)
7. Aumentare la larghezza di banda
L’FBI, la CISA e l’MS-ISAC raccomandano di aumentare, se possibile, la larghezza di banda della rete dell’organizzazione per contribuire ad assorbire l’impatto dell’attacco. Ciò potrebbe comportare l'aggiunta di server o un aumento temporaneo della capacità di rete.
8. Informi chiunque debba esserne a conoscenza
Le agenzie raccomandano di segnalare immediatamente l’attacco ai fornitori di servizi Internet (ISP) e di verificare se dispongano di misure di mitigazione per il reindirizzamento del traffico, al fine di contribuire a contenere l’attacco. Se avete stipulato un'assicurazione contro i rischi informatici c , contattate anche l'assicuratore per ottenere eventualmente il suo aiuto e informatevi su cosa è coperto e cosa non lo è, al fine di attenuare l'impatto dell'evento.
9. Acquisire e confrontare le note
Si raccomanda di documentare e raccogliere quante più informazioni possibili sull’attacco, inclusi i timestamp, gli indirizzi IP, le acquisizioni di pacchetti e qualsiasi registro o avviso, secondo quanto indicato dall’FBI, dalla CISA e dal MS-ISAC. Ciò può risultare utile nel momento in cui si segnala l’accaduto alle forze dell’ordine. Inoltre, Walsh suggerisce di prendere in considerazione la possibilità di condividere le vulnerabilità individuate e le informazioni di intelligence con i colleghi del settore, al fine di aiutare gli altri a proteggersi da potenziali attacchi DDoS. «La condivisione delle informazioni di intelligence all’interno del settore è fondamentale per aiutare le organizzazioni a elaborare le proprie procedure di risposta agli incidenti», aggiunge.
10. Traete insegnamento dall’attacco
Poiché ogni momento può rappresentare un’occasione di apprendimento, Walsh consiglia ai team preposti alla continuità operativa di condurre esercitazioni periodiche basate su precedenti attacchi DDoS, al fine di “sviluppare la memoria muscolare dell’organizzazione” e ridurre i tempi di risposta agli incidenti futuri.
L’FBI, la CISA e l’MS-ISAC affermano che tali esercitazioni dovrebbero includere un’analisi approfondita post-incidente per comprendere i vettori di attacco utilizzati e le vulnerabilità emerse. Raccomandano che i piani di risposta agli incidenti vengano aggiornati sulla base di tali risultati.
Poiché le minacce informatiche continuano a evolversi, le organizzazioni devono rafforzare le proprie difese. Il recente aumento degli attacchi DDoS sottolinea la necessità di mantenere un atteggiamento vigile e proattivo. Le aziende possono proteggere meglio le proprie risorse digitali da questi attacchi incessanti seguendo le migliori pratiche, tenendosi informate sulle nuove minacce e migliorando costantemente le misure di sicurezza.
