Cyberpediadi Brain
ITDEENESFR

Il Distributed Denial of Service (DDoS)

Come migliaia di macchine violate saturano un servizio, che cosa nota il dipendente sullo schermo e quali sono i riflessi dell'organizzazione.

In 30 secondi

Dove accade
Su siti, servizi di posta, account online e altri servizi raggiungibili via Internet1.
Che cosa vuole l'attaccante
Rendere il servizio indisponibile, per ragioni politiche, per creare un diversivo o per estorcere denaro2.
Il riflesso
Avvisare l'amministratore di rete, che verifica se il guasto dipende da una manutenzione o da un incidente interno e che può monitorare il traffico per confermare un attacco1.
Se è già successo
L'amministratore può contattare il fornitore di accesso a Internet e applicare regole di firewall; il resto della rete va tenuto sotto sorveglianza, perché l'attacco a volte serve da diversivo1.

Di cosa si tratta

Un attacco di tipo denial of service (DoS), ovvero di negazione del servizio, impedisce agli utenti legittimi di accedere a un sito, a un servizio di posta, a un account online o a un altro servizio. L'attaccante inonda il bersaglio di traffico finché non riesce più a rispondere o va in blocco1.

Nella sua forma distribuita (DDoS), più macchine agiscono insieme contro un unico bersaglio1. Per il dipendente, il risultato si nota soprattutto come lentezza o come una pagina che non si apre più. Questi segnali possono assomigliare a un problema di disponibilità senza intento doloso, ma possono anche indicare un attacco DoS o DDoS1.

Domande dirette

Che cos'è una botnet?

È un gruppo di dispositivi connessi dirottati da un attaccante, che li controlla con un software di comando e controllo. Anche i dispositivi infettati sono vittime dell'attacco1. Una botnet può essere affittata ad altre persone, spesso da servizi «attack-for-hire» che permettono a utenti privi di competenze di lanciare un DDoS1.

Perché è più difficile da fermare rispetto a un attacco proveniente da una sola macchina?

Il traffico arriva da molte fonti, il che lo rende più difficile da distinguere da quello legittimo3. Il DDoS rende anche più difficile individuare la vera origine dell'attacco1. Nei casi peggiori, ogni macchina invia solo una piccola quantità di traffico e distinguerlo da quello dei clienti legittimi diventa estremamente difficile4.

Come capire se si tratta di un attacco o di un semplice guasto?

I sintomi somigliano a quelli di un problema ordinario o di una manutenzione. La CISA cita tre segnali che possono indicare un attacco: una rete insolitamente lenta, un sito specifico che non risponde più, oppure l'impossibilità di aprire qualsiasi sito1. Il modo migliore per stabilirlo è il monitoraggio del traffico di rete1.

Si può essere colpiti senza essere il bersaglio?

Sì. Se il fornitore di accesso a Internet o il fornitore di cloud di una rete viene attaccato, anche quella rete perde il proprio servizio1.

Un attacco DDoS ruba dati?

Le fonti consultate descrivono una perdita di disponibilità. L'NCSC britannico osserva che un sito pubblico non disponibile può ostacolare l'attività (vendite perse, dipendenti che non possono più lavorare), anche senza conseguenze sulla riservatezza o sull'integrità dei dati3. La CISA segnala invece che alcuni attaccanti lanciano un DDoS per distogliere l'attenzione e condurre attacchi secondari contro altri servizi della rete1.

1Nei panni dell'attaccante2 min

L'attaccante ha bisogno di volume. Può costruire una propria botnet oppure affittarne una per il tempo di utilizzo4. Gli oggetti connessi, che spesso mantengono la password predefinita, sono vulnerabili: l'infezione passa spesso inosservata al proprietario e centinaia di migliaia di dispositivi possono essere compromessi a sua insaputa1.

Può anche nascondere o falsificare l'indirizzo di origine dei pacchetti. Questo rende il filtraggio per indirizzo sorgente meno efficace, se non inutile, per chi si difende2.

Questo articolo li suddivide in tre famiglie, una scelta di presentazione che non riprende una classificazione delle fonti.

La famiglia volumetrica satura la banda. MITRE porta l'esempio di 10 Gbit/s di traffico inviati a un server collegato a Internet con una connessione da 1 Gbit/s2. Una variante usa server di terzi, i riflettori: l'attaccante invia loro pacchetti con l'indirizzo falsificato della vittima e le risposte, più voluminose delle richieste, vengono dirette verso di essa. DNS e NTP hanno permesso amplificazioni di questo tipo; il protocollo memcache ha mostrato un'amplificazione fino a 51.200 volte il pacchetto iniziale5.

La famiglia di protocollo sfrutta il funzionamento degli scambi di rete. In un SYN flood, l'attaccante richiede una connessione senza completare l'handshake a tre vie: la porta resta occupata e, se le richieste continuano, tutte le porte aperte vengono saturate1. MITRE raccomanda di attivare i SYN cookie per difendersi6.

La famiglia applicativa prende di mira server e applicazioni. Un HTTP flood invia un gran numero di richieste a un server web per esaurirne le risorse7. Un attacco di rinegoziazione SSL/TLS apre una connessione cifrata e poi concatena richieste di rinegoziazione, costose in termini di calcolo7. Questi attacchi esauriscono la macchina senza saturare la rete6.

2Cosa si vede sullo schermo1 min

Secondo la CISA, i sintomi possono assomigliare a problemi di disponibilità senza intento doloso, ma possono indicare un attacco DoS o DDoS1. Questi sintomi sono una lentezza insolita nell'apertura di file o siti, un sito specifico irraggiungibile, oppure nessun sito raggiungibile1. Per un cliente o un collega, si tratta di una pagina di errore o di un servizio che non risponde.

Questi segnali possono anche dipendere da una manutenzione o da un incidente tecnico1. Il dipendente non deve quindi fare una diagnosi: segnala ciò che osserva.

3Sotto il cofanoTeam IT1 min

Sul lato rete, un flood diretto usa soprattutto protocolli senza stato come UDP o ICMP, ma può servire anche TCP4. Quasi qualsiasi protocollo di rete va bene4.

Sul lato server, gli attacchi applicativi sfruttano colli di bottiglia propri di ogni livello: sistema operativo, server web, DNS, database o applicazione6.

Per difendersi, quando il volume supera la capacità della connessione colpita, occorre filtrare il traffico a monte, presso il fornitore di accesso, in una rete di distribuzione dei contenuti (CDN) o presso uno specialista della mitigazione2. A seconda del volume, a volte è possibile un filtraggio in loco: blocco degli indirizzi sorgente, delle porte o dei protocolli presi di mira2.

4AutopsieCasi reali2 min

Settembre 2016: Mirai contro il blog di Brian Krebs e OVH

Il 20 settembre 2016 il blog di sicurezza di Brian Krebs ha subito un attacco massiccio, tra i più grandi mai registrati, oltre i 620 Gbit/s. Proveniva da una botnet di oggetti connessi controllata dal malware Mirai8. Mirai scandaglia Internet di continuo alla ricerca di dispositivi vulnerabili e prova un breve elenco di 62 credenziali predefinite8. Il presunto autore di Mirai ha affermato che più di 380.000 dispositivi erano stati asserviti durante l'attacco al sito di Krebs8.

A fine settembre, un altro attacco Mirai contro l'hosting provider francese OVH ha stabilito il record: almeno 1,1 Tbit/s, forse 1,5 Tbit/s8. I dispositivi coinvolti erano soprattutto router domestici, telecamere di rete e videoregistratori digitali8. Il codice sorgente di Mirai è stato pubblicato online a fine settembre, aprendo la strada ad altri attacchi8. A fine novembre 2016, un software derivato da Mirai ha scansionato la porta TCP 7547 di router a banda larga vulnerabili8.

Per un dispositivo infettato, la CISA raccomanda di scollegarlo, riavviarlo offline (Mirai risiede nella memoria RAM), sostituire la password predefinita e solo allora ricollegarlo8.

Agosto 2023: l'attacco HTTP/2 «Rapid Reset»

Google ha descritto il 10 ottobre 2023 un attacco DDoS HTTP/2 inedito, con picco ad agosto. Il più forte ha superato i 398 milioni di richieste al secondo, molto al di sopra di qualsiasi attacco di livello 7 segnalato in precedenza9. È stato in gran parte fermato al perimetro della rete di Google dalla sua infrastruttura di bilanciamento del carico, senza interruzioni9.

Il principio: il client apre molti flussi in una volta, poi annulla subito ogni richiesta inviando un frame RST_STREAM, senza attendere la risposta9. Il server deve comunque svolgere un lavoro considerevole per le richieste annullate, mentre il client ne sostiene quasi nulla il costo9. Google ha coordinato la divulgazione con partner del settore e ha riservato l'identificativo CVE-2023-44487 per tracciare le correzioni9. Raccomanda di applicare le patch il prima possibile9.

Altri casi datati

Nel 2016, APT28 ha condotto un DDoS contro l'Agenzia mondiale antidoping2. Nel 2019, Sandworm Team ha interrotto temporaneamente siti georgiani dopo aver compromesso un provider di hosting web6. Una serie di incidenti nel 2012 ha preso di mira grandi banche statunitensi4.

5Cosa fa l'organizzazione1 min

La CISA indica che nessun mezzo evita del tutto di essere presi di mira. Gli amministratori possono sottoscrivere un servizio di protezione che rileva i flussi anomali e filtra il traffico, e preparare un piano di ripristino in caso di disastro1. L'NCSC britannico riprende quattro pratiche: conoscere il proprio servizio, conoscere le proprie difese, creare un piano di risposta e testarlo3.

Per il dipendente, due gesti: segnalare rapidamente all'amministratore di rete una lentezza o un'indisponibilità insolita e cambiare le password predefinite dei dispositivi connessi, anche a casa18.

Scheda

Identificativo
CP-066
Ala
1. Attacchi e tecniche
Competenza Brain
Capire l'hacking (understand_hacking)
Riflesso Brain
cr-049
Schema
G1 · Catena d'attacco (Kill Chain)
Lingue
de, en, es, fr, it
Fonti
9 fonti verificate il 3 novembre 2026
Fonti9 fonti
  1. CISA, «Understanding Denial-of-Service Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «Network Denial of Service, Technique T1498 - Enterprise». https://attack.mitre.org/techniques/T1498/ (consultato il 3 novembre 2026)
  3. NCSC (Royaume-Uni), «Denial of Service (DoS) guidance». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise». https://attack.mitre.org/techniques/T1498/001/ (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise». https://attack.mitre.org/techniques/T1498/002/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Endpoint Denial of Service, Technique T1499 - Enterprise». https://attack.mitre.org/techniques/T1499/ (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise». https://attack.mitre.org/techniques/T1499/002/ (consultato il 3 novembre 2026)
  8. CISA, «Heightened DDoS Threat Posed by Mirai and Other Botnets», 14 ottobre 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consultato il 3 novembre 2026)
  9. Google, «How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack», 10 ottobre 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Il Distributed Denial of Service (DDoS)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/

BibTeX 
@misc{brain_cp066_it_2026,
  author = {Brain},
  title = {Il Distributed Denial of Service (DDoS)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0