DDoS Attack Simulation

Dicembre 2024 si è rivelato un mese particolarmente delicato per il panorama informatico italiano; secondo l’Operational Summary, infatti, in Italia sono stati registrati 236 eventi cyber segnando un incremento del 38% rispetto al mese precedente. Gli attacchi DDoS (Distributed Denial of Service) sono stati la principale forma di attacco registrata, con 137 casi che hanno rappresentato la maggior parte degli eventi di sicurezza segnalati.

Di questi, circa il 30% ha avuto un impatto significativo causando disservizi e interruzioni operative nelle infrastrutture critiche italiane. A differenza di molte altre minacce informatiche, gli attacchi DDoS non sono esclusivamente strumenti del cybercrime, ma vengono spesso utilizzati anche da gruppi di attivisti come manifestazione di dissenso o come vera e propria arma in quelle cyber warfare che pare coinvolgano tutti, schierati e non schierati. Attraverso questi attacchi si mira a colpire infrastrutture critiche, enti governativi, aziende e istituzioni, causando interruzioni operative con conseguenze che spesso ricadono nell’intera filiera di approvvigionamento e addirittura nella popolazione civile. Un esempio tra tutti, l’attacco subito dal provider DynDNS che ha bloccato molti servizi Internet in gran parte degli Stati Uniti.

La facilità di esecuzione e la drammaticità delle conseguenze fanno sì che i settori più colpiti siano sanità, trasporti, le big tech e la pubblica amministrazione, dove l’impatto delle interruzioni operative è particolarmente significativo in termini di danni economici e di risonanza mediatica.

Questi dati evidenziano l’urgenza di adottare soluzioni di protezione avanzate per garantire la continuità operativa e di investire in un approccio proattivo per ridurre i rischi e l’impatto di questi attacchi.

Perché i DDoS sono in crescita?

In primo luogo, le botnet, necessarie per l’esecuzione di questo tipo di attacco, sono ormai accessibili ad un pubblico molto ampio: è infatti possibile affittarle nel dark web a prezzi sempre più contenuti. In secondo luogo, l’aumento esponenziale di dispositivi IoT in uso presso aziende e privati ha permesso a queste ultime di diventare più potenti e pervasive, sfruttando dispositivi scarsamente protetti e quindi di facile compromissione per amplificare la portata degli attacchi.

Non a caso, la famigerata botnet “Mirai” includeva nel suo sterminato esercito di “robot” anche baby-monitor e videocamere di sorveglianza.

A questi aspetti si aggiunga che un attacco DDoS ha elevate possibilità di andare a buon fine proprio perché gli strumenti di mitigazione sono ancora scarsamente adottati e, nel caso in cui lo siano, mancano di un’adeguata configurazione e taratura.

Perché l’impatto è così devastante?

I DDoS possono causare ingenti danni sia economici che reputazionali:

• Interruzione dei servizi: un attacco ben riuscito può bloccare completamente siti, applicazioni o servizi critici.
• Perdita di fatturato: anche poche ore di downtime possono significare perdite economiche non indifferenti.
• Danni alla reputazione: un servizio inaccessibile mina la fiducia dei clienti, creando la percezione di inefficienza.
• Ricaduta sociale: proprio per la tipologia di obiettivi scelti un attacco DDoS ha impatti anche sulla gente comune che non può usufruire dei servizi, talvolta anche di primaria importanza, come l’assistenza sanitaria o l’accesso a metodi di pagamento.

DDoS Attack Simulation

Noi di IMQ Intuity offriamo un servizio di DDoS Attack Simulation per aiutare le aziende a testare in modo sicuro la propria resilienza a questo tipo di minaccia. Questa simulazione riproduce fedelmente le condizioni di un attacco reale, permettendo di individuare vulnerabilità e ottimizzare le strategie di difesa.

Una simulazione di attacco DDoS prevede che l’azienda abbia già attuata una strategia di mitigazione, diversamente la simulazione rischia di trasformarsi in un attacco reale e non è questo che vogliamo.

L’obiettivo del servizio, infatti, è di valutare l’adeguatezza delle misure adottate, identificare punti di miglioramento e valutare le soglie di resistenza dell’architettura oggetto dei test.

Le simulazioni si suddividono in tre macrocategorie che possono essere combinate tra loro per simulare scenari di attacco realistici:

• Volumetric Attack: generano traffico tale da saturare la banda internet a disposizione del cliente.
• Protocol Attack: generano un esaurimento delle risorse a livello di protocollo.
• Layer-7 Attack: generano una quantità di richieste applicative tale da saturare la capacità elaborativa dei sistemi sottostanti.

Queste simulazioni hanno una probabilità di successo superiore rispetto ad altre simulazioni. Per questo motivo, non possono essere inclusi negli assessment di sicurezza standard. È fondamentale dunque concordare ogni dettaglio con il cliente e gestire questi test separatamente, adottando un approccio su misura.

Un esempio pratico

Immagina di testare la resilienza della tua infrastruttura IT di fronte a un attacco DDoS su larga scala. Ecco un esempio di come si svolgerebbe la simulazione:

• Il primo passo prevede l’identificazione del target dell’attacco, uno o più indirizzi IP, un’applicazione web o un’infrastruttura che diventano il punto focale della simulazione.
• In secondo luogo, viene effettuato un Business Impact Assesment sugli strumenti attivi di protezione ed eventuali interdipendenze rispetto ad altri sistemi. Viene realizzata dunque un’analisi delle procedure di business continuity.
• Viene definita la durata del test, ipotizziamo 60 minuti, ma può essere adattata alle necessità dell’azienda.
• L’attacco è dimensionato per usare un volume di traffico che può variare da pochi Gbps a diverse centinaia di Gbps; viene definita la modalità di attacco:
  • Esecuzione istantanea con tutto il traffico inviato in un’unica ondata. In questo modo si può valutare la resistenza ai picchi di traffico.
  • Esecuzione incrementale con un’escalation graduale della pressione suddivisa in livelli (ogni livello con una durata di 10 minuti ciascuno). In questo modo è più facile identificare la soglia di “rottura”.
• Per ottenere un attacco realistico, verrà utilizzata una botnet composta da svariate decine di IP sorgenti dislocati in diverse zone geografiche.
• I pacchetti inviati contengono dati non validi progettati per mettere in crisi le risorse di rete e i sistemi di controllo.

L’obiettivo finale? Saturare la banda ed esaurire le risorse dei sistemi preposti alla gestione delle connessioni, proprio come farebbe un attacco reale.

In base al tipo di scenario che si vuole simulare possono cambiare i metodi di esecuzione e gli obiettivi da raggiungere.

Output finale

Questa simulazione consente di valutare in modo concreto le capacità difensive dell’infrastruttura e di individuare eventuali punti deboli prima che un attacco vero possa sfruttarli. Al termine dell’analisi, infatti, verrà fornito un report dettagliato con le seguenti indicazioni:

• La timeline degli eventi della simulazione.
• Analisi del numero di pacchetti-al-secondo inviati al bersaglio.
• Analisi della larghezza di banda inviata al bersaglio.
• Analisi del tempo di risposta alle richieste del sistema di destinazione.
• Analisi della perdita di pacchetti del sistema di destinazione e della sua latenza di rete.
• Analisi dei risultati e possibili soluzioni di mitigazione.

Perché è importante eseguire una simulazione DDoS?

Anche se non si è mai stati vittima di un attacco DDoS è fondamentale essere consapevoli dei rischi e delle conseguenze che un evento del genere può comportare. Molte organizzazioni investono in soluzioni di sicurezza per proteggere i propri sistemi, ma senza un attacco reale o una simulazione è difficile sapere come queste soluzioni reagirebbero sotto pressione. La domanda chiave che ogni azienda dovrebbe porsi è:

“La mia infrastruttura sopravviverebbe ad un attacco DDoS?”

Un po’ come accade con un motore: anche se ogni componente è stato accuratamente manutenuto e testato singolarmente, è solo quando il motore viene spinto al limite delle sue capacità che si può davvero capire se funziona come previsto, sotto stress. Allo stesso modo, i test DDoS forniscono una simulazione controllata di un attacco su larga scala, permettendo alle aziende di “spingere” al massimo la loro infrastruttura.

Questo processo consente di verificare l’efficacia delle difese, individuare vulnerabilità nascoste e ottimizzare la reazione a scenari estremi, affinché le risorse siano impiegate al meglio per mantenere tutto operativo e sicuro quando conta di più.

Per ulteriori informazioni sui test, contattaci all’indirizzo info@intuity.it