Protezione DDoS per PMI: come funziona la mitigazione a monte

Un attacco DDoS non "buca" niente: satura. L'obiettivo non è entrare nei sistemi ma consumare una risorsa finita — banda, sessioni di stato, cicli CPU — finché il servizio diventa inutilizzabile. Per una PMI con una connettività da 1 Gbps, un attacco volumetrico da 10 Gbps rende irrilevante qualsiasi firewall installato in sede: il collo di bottiglia è a monte, sul link.

Questo è il punto che viene spesso sottovalutato. Se il tuo accesso è saturo, il traffico legittimo è già stato scartato dal router dell'operatore prima di arrivare al tuo apparato. Non c'è configurazione locale che possa recuperarlo.

Le tre famiglie di attacco

Volumetrici (L3/L4) — Puntano a saturare la banda. UDP flood, ICMP flood e soprattutto attacchi di amplificazione: l'attaccante invia piccole query con IP sorgente spoofato verso servizi UDP esposti (DNS, NTP, memcached, SSDP, CLDAP), che rispondono alla vittima con pacchetti molto più grandi. Il fattore di amplificazione va da ~50x per il DNS fino a ordini di grandezza superiori per memcached. Si misurano in Gbps.

Esaurimento di stato (L4) — SYN flood, ACK flood, connessioni half-open. Non serve molta banda: bastano poche centinaia di Mbps per riempire la tabella di connessioni di un firewall o il backlog TCP di un server. Si misurano in pacchetti al secondo (pps), ed è la metrica che uccide gli apparati piccoli molto prima della banda.

Applicativi (L7) — HTTP flood, richieste verso endpoint costosi (ricerche, login, generazione PDF), Slowloris. Il traffico è formalmente legittimo e spesso passa i controlli L3/L4. Volumi bassissimi, effetto devastante su un backend che fa query al database per ogni richiesta.

Perché il firewall in sede non risolve

La conclusione pratica è che serve difesa stratificata, e il livello più importante contro i volumetrici sta necessariamente fuori dalla tua rete.

Come funziona la mitigazione lato operatore

Il provider vede il traffico prima che raggiunga il tuo accesso e ha tre strumenti:

1. Rilevamento tramite flow analysis. NetFlow/IPFIX campionato dai router di bordo alimenta un sistema di detection che costruisce una baseline del traffico normale per ogni prefisso. Uno scostamento anomalo — improvviso picco di pps verso un singolo /32, distribuzione geografica anomala, protocollo insolito — genera un allarme entro pochi secondi.

2. Scrubbing (redirezione e pulizia). Il traffico destinato all'IP attaccato viene deviato verso centri di pulizia, dove filtri specializzati scartano i pacchetti malevoli e reinoltrano solo quelli legittimi. È la modalità che mantiene il servizio online. La redirezione si fa via BGP (annuncio più specifico) o via tunnel GRE.

3. Blackholing (RTBH). Il prefisso attaccato viene annunciato con una community BGP concordata (comunemente 65535:666) e i peer scartano tutto il traffico verso quell'IP. È l'ultima risorsa: protegge il resto della rete sacrificando completamente il target. Utile quando l'alternativa è che vada giù l'intera infrastruttura.

4. Flowspec (RFC 5575). Permette di propagare regole di filtro granulari (protocollo, porte, lunghezza pacchetto) verso i router upstream, bloccando solo il pattern d'attacco anziché tutto il traffico verso l'IP. Molto più chirurgico del blackholing, ma richiede supporto su tutta la catena.

Cosa chiedere al provider

Prima di firmare, chiarisci questi punti:

• La mitigazione è inclusa o è un servizio a pagamento? Molti contratti business la offrono come opzione.
• È automatica o su richiesta? L'attivazione manuale via ticket introduce minuti o decine di minuti di disservizio.
• Qual è il tempo di rilevamento e attivazione dichiarato? Un valore realistico è sotto i 60 secondi per il detection.
• Capacità di scrubbing disponibile in Gbps e dove si trovano i centri di pulizia (latenza aggiuntiva durante la mitigazione).
• Il blackholing è disponibile su richiesta e con quale procedura fuori orario?
• Esiste un NOC raggiungibile 24/7 con escalation definita?

Cosa fare prima dell'attacco

La preparazione conta più della reazione:

• Riduci la superficie: non esporre servizi UDP non necessari, disabilita ricorsione DNS aperta, chiudi NTP e SNMP verso Internet
• Metti i servizi pubblici dietro CDN/WAF: il web e le API non devono puntare direttamente all'IP del tuo accesso
• Separa gli IP: se il sito è dietro CDN e la VPN aziendale ha un IP diverso, un attacco al primo non ti isola dal secondo
• Rate limiting applicativo su login, ricerca ed endpoint costosi
• TTL DNS bassi (300 secondi) per poter spostare rapidamente un record durante un incidente
• Runbook scritto: chi chiama il NOC, con quale numero di contratto, quali IP dichiarare come target, chi decide il blackholing
• Monitoraggio con alert su banda e pps: devi accorgerti dell'attacco dai grafici, non dai clienti

Il costo reale

Il danno di un DDoS raramente è tecnico. È il fatturato di un e-commerce fermo, il centralino VoIP muto in una giornata di picco, i dipendenti in VPN che non lavorano. Una mitigazione inclusa nel contratto di connettività costa una frazione di una singola ora di fermo, e la differenza tra averla o no si misura in minuti nel momento in cui serve.