--- id: CP-066 slug: attacco-ddos-negazione-di-servizio-distribuita lang: it title: Il Distributed Denial of Service (DDoS) description: Come migliaia di macchine violate saturano un servizio, che cosa nota il dipendente sullo schermo e quali sono i riflessi dell'organizzazione. canonical_url: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ markdown_url: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il Distributed Denial of Service (DDoS)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ nl: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # Il Distributed Denial of Service (DDoS) Un attacco di tipo denial of service (DoS), ovvero di negazione del servizio, impedisce agli utenti legittimi di accedere a un sito, a un servizio di posta, a un account online o a un altro servizio. L'attaccante inonda il bersaglio di traffico finché non riesce più a rispondere o va in blocco [1]. Nella sua forma distribuita (DDoS), più macchine agiscono insieme contro un unico bersaglio [1]. Per il dipendente, il risultato si nota soprattutto come lentezza o come una pagina che non si apre più. Questi segnali possono assomigliare a un problema di disponibilità senza intento doloso, ma possono anche indicare un attacco DoS o DDoS [1]. ## In 30 secondi - Dove accade: su siti, servizi di posta, account online e altri servizi raggiungibili via Internet [1]. - Che cosa vuole l'attaccante: rendere il servizio indisponibile, per ragioni politiche, per creare un diversivo o per estorcere denaro [2]. - Il riflesso: avvisare l'amministratore di rete, che verifica se il guasto dipende da una manutenzione o da un incidente interno e che può monitorare il traffico per confermare un attacco [1]. - Se è già successo: l'amministratore può contattare il fornitore di accesso a Internet e applicare regole di firewall; il resto della rete va tenuto sotto sorveglianza, perché l'attacco a volte serve da diversivo [1]. ## Domande dirette ### Che cos'è una botnet? È un gruppo di dispositivi connessi dirottati da un attaccante, che li controlla con un software di comando e controllo. Anche i dispositivi infettati sono vittime dell'attacco [1]. Una botnet può essere affittata ad altre persone, spesso da servizi «attack-for-hire» che permettono a utenti privi di competenze di lanciare un DDoS [1]. ### Perché è più difficile da fermare rispetto a un attacco proveniente da una sola macchina? Il traffico arriva da molte fonti, il che lo rende più difficile da distinguere da quello legittimo [3]. Il DDoS rende anche più difficile individuare la vera origine dell'attacco [1]. Nei casi peggiori, ogni macchina invia solo una piccola quantità di traffico e distinguerlo da quello dei clienti legittimi diventa estremamente difficile [4]. ### Come capire se si tratta di un attacco o di un semplice guasto? I sintomi somigliano a quelli di un problema ordinario o di una manutenzione. La CISA cita tre segnali che possono indicare un attacco: una rete insolitamente lenta, un sito specifico che non risponde più, oppure l'impossibilità di aprire qualsiasi sito [1]. Il modo migliore per stabilirlo è il monitoraggio del traffico di rete [1]. ### Si può essere colpiti senza essere il bersaglio? Sì. Se il fornitore di accesso a Internet o il fornitore di cloud di una rete viene attaccato, anche quella rete perde il proprio servizio [1]. ### Un attacco DDoS ruba dati? Le fonti consultate descrivono una perdita di disponibilità. L'NCSC britannico osserva che un sito pubblico non disponibile può ostacolare l'attività (vendite perse, dipendenti che non possono più lavorare), anche senza conseguenze sulla riservatezza o sull'integrità dei dati [3]. La CISA segnala invece che alcuni attaccanti lanciano un DDoS per distogliere l'attenzione e condurre attacchi secondari contro altri servizi della rete [1]. ## Nei panni dell'attaccante L'attaccante ha bisogno di volume. Può costruire una propria botnet oppure affittarne una per il tempo di utilizzo [4]. Gli oggetti connessi, che spesso mantengono la password predefinita, sono vulnerabili: l'infezione passa spesso inosservata al proprietario e centinaia di migliaia di dispositivi possono essere compromessi a sua insaputa [1]. Può anche nascondere o falsificare l'indirizzo di origine dei pacchetti. Questo rende il filtraggio per indirizzo sorgente meno efficace, se non inutile, per chi si difende [2]. Questo articolo li suddivide in tre famiglie, una scelta di presentazione che non riprende una classificazione delle fonti. La famiglia volumetrica satura la banda. MITRE porta l'esempio di 10 Gbit/s di traffico inviati a un server collegato a Internet con una connessione da 1 Gbit/s [2]. Una variante usa server di terzi, i riflettori: l'attaccante invia loro pacchetti con l'indirizzo falsificato della vittima e le risposte, più voluminose delle richieste, vengono dirette verso di essa. DNS e NTP hanno permesso amplificazioni di questo tipo; il protocollo memcache ha mostrato un'amplificazione fino a 51.200 volte il pacchetto iniziale [5]. La famiglia di protocollo sfrutta il funzionamento degli scambi di rete. In un SYN flood, l'attaccante richiede una connessione senza completare l'handshake a tre vie: la porta resta occupata e, se le richieste continuano, tutte le porte aperte vengono saturate [1]. MITRE raccomanda di attivare i SYN cookie per difendersi [6]. La famiglia applicativa prende di mira server e applicazioni. Un HTTP flood invia un gran numero di richieste a un server web per esaurirne le risorse [7]. Un attacco di rinegoziazione SSL/TLS apre una connessione cifrata e poi concatena richieste di rinegoziazione, costose in termini di calcolo [7]. Questi attacchi esauriscono la macchina senza saturare la rete [6]. ## Cosa si vede sullo schermo Secondo la CISA, i sintomi possono assomigliare a problemi di disponibilità senza intento doloso, ma possono indicare un attacco DoS o DDoS [1]. Questi sintomi sono una lentezza insolita nell'apertura di file o siti, un sito specifico irraggiungibile, oppure nessun sito raggiungibile [1]. Per un cliente o un collega, si tratta di una pagina di errore o di un servizio che non risponde. Questi segnali possono anche dipendere da una manutenzione o da un incidente tecnico [1]. Il dipendente non deve quindi fare una diagnosi: segnala ciò che osserva. ## Sotto il cofano Sul lato rete, un flood diretto usa soprattutto protocolli senza stato come UDP o ICMP, ma può servire anche TCP [4]. Quasi qualsiasi protocollo di rete va bene [4]. Sul lato server, gli attacchi applicativi sfruttano colli di bottiglia propri di ogni livello: sistema operativo, server web, DNS, database o applicazione [6]. Per difendersi, quando il volume supera la capacità della connessione colpita, occorre filtrare il traffico a monte, presso il fornitore di accesso, in una rete di distribuzione dei contenuti (CDN) o presso uno specialista della mitigazione [2]. A seconda del volume, a volte è possibile un filtraggio in loco: blocco degli indirizzi sorgente, delle porte o dei protocolli presi di mira [2]. ## Autopsie ### Settembre 2016: Mirai contro il blog di Brian Krebs e OVH Il 20 settembre 2016 il blog di sicurezza di Brian Krebs ha subito un attacco massiccio, tra i più grandi mai registrati, oltre i 620 Gbit/s. Proveniva da una botnet di oggetti connessi controllata dal malware Mirai [8]. Mirai scandaglia Internet di continuo alla ricerca di dispositivi vulnerabili e prova un breve elenco di 62 credenziali predefinite [8]. Il presunto autore di Mirai ha affermato che più di 380.000 dispositivi erano stati asserviti durante l'attacco al sito di Krebs [8]. A fine settembre, un altro attacco Mirai contro l'hosting provider francese OVH ha stabilito il record: almeno 1,1 Tbit/s, forse 1,5 Tbit/s [8]. I dispositivi coinvolti erano soprattutto router domestici, telecamere di rete e videoregistratori digitali [8]. Il codice sorgente di Mirai è stato pubblicato online a fine settembre, aprendo la strada ad altri attacchi [8]. A fine novembre 2016, un software derivato da Mirai ha scansionato la porta TCP 7547 di router a banda larga vulnerabili [8]. Per un dispositivo infettato, la CISA raccomanda di scollegarlo, riavviarlo offline (Mirai risiede nella memoria RAM), sostituire la password predefinita e solo allora ricollegarlo [8]. ### Agosto 2023: l'attacco HTTP/2 «Rapid Reset» Google ha descritto il 10 ottobre 2023 un attacco DDoS HTTP/2 inedito, con picco ad agosto. Il più forte ha superato i 398 milioni di richieste al secondo, molto al di sopra di qualsiasi attacco di livello 7 segnalato in precedenza [9]. È stato in gran parte fermato al perimetro della rete di Google dalla sua infrastruttura di bilanciamento del carico, senza interruzioni [9]. Il principio: il client apre molti flussi in una volta, poi annulla subito ogni richiesta inviando un frame RST_STREAM, senza attendere la risposta [9]. Il server deve comunque svolgere un lavoro considerevole per le richieste annullate, mentre il client ne sostiene quasi nulla il costo [9]. Google ha coordinato la divulgazione con partner del settore e ha riservato l'identificativo CVE-2023-44487 per tracciare le correzioni [9]. Raccomanda di applicare le patch il prima possibile [9]. ### Altri casi datati Nel 2016, APT28 ha condotto un DDoS contro l'Agenzia mondiale antidoping [2]. Nel 2019, Sandworm Team ha interrotto temporaneamente siti georgiani dopo aver compromesso un provider di hosting web [6]. Una serie di incidenti nel 2012 ha preso di mira grandi banche statunitensi [4]. ## Cosa fa l'organizzazione La CISA indica che nessun mezzo evita del tutto di essere presi di mira. Gli amministratori possono sottoscrivere un servizio di protezione che rileva i flussi anomali e filtra il traffico, e preparare un piano di ripristino in caso di disastro [1]. L'NCSC britannico riprende quattro pratiche: conoscere il proprio servizio, conoscere le proprie difese, creare un piano di risposta e testarlo [3]. Per il dipendente, due gesti: segnalare rapidamente all'amministratore di rete una lentezza o un'indisponibilità insolita e cambiare le password predefinite dei dispositivi connessi, anche a casa [1][8]. ## Fonti 1. CISA, «Understanding Denial-of-Service Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Network Denial of Service, Technique T1498 - Enterprise». https://attack.mitre.org/techniques/T1498/ (consultato il 3 novembre 2026) 3. NCSC (Royaume-Uni), «Denial of Service (DoS) guidance». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise». https://attack.mitre.org/techniques/T1498/001/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise». https://attack.mitre.org/techniques/T1498/002/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Endpoint Denial of Service, Technique T1499 - Enterprise». https://attack.mitre.org/techniques/T1499/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise». https://attack.mitre.org/techniques/T1499/002/ (consultato il 3 novembre 2026) 8. CISA, «Heightened DDoS Threat Posed by Mirai and Other Botnets», 14 ottobre 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consultato il 3 novembre 2026) 9. Google, «How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack», 10 ottobre 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.