Il primo attacco DDoS risale a 20 anni fa. Questo è ciò che abbiamo imparato da allora.

la signora Tech; computer: Wikimedia commons

Il 22 luglio 1999 è una data inquietante nella storia dell'informatica. Quel giorno, un computer dell'Università del Minnesota è stato improvvisamente attaccato da una rete di altri 114 computer infettati da uno script dannoso chiamato Trin00.

Questo codice faceva sì che i computer infetti inviassero pacchetti di dati superflui all'università, sovraccaricando il suo computer e impedendogli di gestire richieste legittime. In questo modo, l'attacco ha messo fuori uso il computer dell'università per due giorni.

Questo è stato il primo attacco DDoS (Distributed Denial of Service) al mondo. Ma non ci volle molto perché la tattica si diffondesse. Nei mesi successivi, numerosi altri siti Web sono diventati vittime, tra cui Yahoo, Amazon e CNN. Ciascuno è stato inondato di pacchetti di dati che gli impedivano di accettare traffico legittimo. E in ogni caso, i pacchetti di dati dannosi provenivano da una rete di computer infetti.

Da allora, gli attacchi DDoS sono diventati comuni. Gli attori malintenzionati fanno anche un commercio redditizio estorcendo denaro per la protezione da siti Web che minacciano di attaccare. Vendono persino i loro servizi sul dark web. Un attacco DDoS di 24 ore contro un singolo obiettivo può costare fino a $ 400.

Ma il costo per la vittima può essere enorme in termini di mancato guadagno o reputazione danneggiata. Ciò a sua volta ha creato un mercato per la difesa informatica che protegge da questo tipo di attacchi. Nel 2018, questo mercato valeva l'incredibile cifra di 2 miliardi di euro. Tutto ciò solleva l'importante questione se si possa fare di più per difendersi dagli attacchi DDoS.

Oggi, 20 anni dopo il primo attacco, Eric Osterweil della George Mason University in Virginia e colleghi esplorano la natura degli attacchi DDoS, come si sono evoluti e se ci sono problemi fondamentali con l'architettura di rete che devono essere affrontati per renderla più sicura. Le risposte, dicono, sono tutt'altro che semplici: il panorama dei bot economici e compromissibili è solo diventato più fertile per i malfattori e più dannoso per gli operatori di servizi Internet.

Prima un po' di background. Gli attacchi DDoS di solito si svolgono in più fasi. Nella prima fase, un intruso malintenzionato infetta un computer con un software progettato per diffondersi in una rete. Questo primo computer è noto come master, perché può controllare tutti i computer successivi che vengono infettati. Gli altri computer infetti effettuano l'attacco vero e proprio e sono conosciuti come demoni.

Le vittime comuni in questa prima fase sono le reti informatiche dell'università o dell'università, perché sono collegate a un'ampia gamma di altri dispositivi.

Un attacco DDoS inizia quando il computer master invia un comando ai daemon che include l'indirizzo del target. I demoni iniziano quindi a inviare un gran numero di pacchetti di dati a questo indirizzo. L'obiettivo è sopraffare il bersaglio con il traffico per tutta la durata dell'attacco. I più grandi attacchi odierni inviano pacchetti di dati dannosi a una velocità di terabit al secondo.

Gli aggressori spesso fanno di tutto per nascondere la loro posizione e identità. Ad esempio, i demoni usano spesso una tecnica chiamata spoofing dell'indirizzo IP per nascondere il loro indirizzo su Internet. Anche i computer master possono essere difficili da rintracciare perché devono inviare un solo comando per attivare un attacco. E un utente malintenzionato può scegliere di utilizzare i demoni solo in paesi a cui è difficile accedere, anche se essi stessi potrebbero trovarsi altrove.

Difendersi da questo tipo di attacchi è difficile perché richiede azioni concertate da parte di una serie di operatori. La prima linea di difesa è in primo luogo impedire la creazione della rete daemon. Ciò richiede agli amministratori di sistema di aggiornare e correggere regolarmente il software che utilizzano e di incoraggiare una buona igiene tra gli utenti della loro rete, ad esempio cambiando regolarmente le password, utilizzando firewall personali e così via.

I provider di servizi Internet possono anche fornire una certa difesa. Il loro ruolo consiste nell'inoltro di pacchetti di dati da una parte all'altra di una rete, a seconda dell'indirizzo nell'intestazione di ciascun pacchetto di dati. Questo viene spesso fatto con poca o nessuna considerazione da dove proviene il pacchetto di dati.

Ma questo potrebbe cambiare. L'intestazione contiene non solo l'indirizzo di destinazione ma anche l'indirizzo di origine. Quindi, in teoria, è possibile per un ISP esaminare l'indirizzo di origine e bloccare i pacchetti che contengono fonti ovviamente contraffatte.

Tuttavia, questo è computazionalmente costoso e richiede tempo. E poiché gli ISP non sono necessariamente gli obiettivi di un attacco DDoS, hanno un incentivo limitato a impiegare costose procedure di mitigazione.

Infine, il bersaglio stesso può adottare misure per mitigare gli effetti di un attacco. Un passaggio ovvio è quello di filtrare i pacchetti di dati danneggiati non appena arrivano. Funziona se sono facili da individuare e se le risorse di calcolo sono disponibili per far fronte al volume di traffico dannoso.

Ma queste risorse sono costose e devono essere continuamente aggiornate con le ultime minacce. Rimangono inutilizzati per la maggior parte del tempo, entrando in azione solo quando si verifica un attacco. E anche allora, potrebbero non far fronte agli attacchi più grandi. Quindi questo tipo di mitigazione è raro.

Un'altra opzione è esternalizzare il problema a un servizio basato su cloud che è meglio attrezzato per gestire tali minacce. Questo centralizza i problemi di mitigazione degli DDoS nei centri di lavaggio e molti se la cavano bene. Ma anche questi possono avere problemi a gestire gli attacchi più grandi.

Tutto ciò solleva la questione se si possa fare di più. In che modo la nostra infrastruttura di rete può essere migliorata per affrontare i principi che abilitano il problema DDoS? chiedi a Osterweil e co. E dicono che il 20° anniversario del primo attacco dovrebbe offrire una buona opportunità per studiare il problema in modo più dettagliato. Crediamo che ciò che sia necessario siano indagini su ciò che i fondamentali abilitano ed esacerbano gli attacchi DDoS, affermano.

Un'osservazione importante sugli attacchi DDoS è che l'attacco e la difesa sono asimmetrici. Un attacco DDoS viene in genere lanciato da molti demoni in tutto il mondo, eppure la difesa avviene in gran parte in un'unica posizione, il nodo che è sotto attacco.

Una domanda importante è se le reti possano o debbano essere modificate per includere una sorta di difesa distribuita contro questi attacchi. Ad esempio, una soluzione potrebbe essere quella di rendere più facile per gli ISP filtrare i pacchetti di dati contraffatti.

Un'altra idea è rendere i pacchetti di dati tracciabili mentre viaggiano su Internet. Ogni ISP potrebbe contrassegnare un campione di pacchetti di dati, forse uno su 20.000, mentre vengono instradati in modo che il loro viaggio possa essere ricostruito in seguito. Ciò consentirebbe alla vittima e alle forze dell'ordine di rintracciare la fonte di un attacco, anche dopo che è terminato.

Queste e altre idee hanno il potenziale per rendere Internet un luogo più sicuro. Ma richiedono accordo e volontà di agire. Osterweil e colleghi pensano che i tempi siano maturi per l'azione: questo è un invito all'azione: la comunità di ricerca è la nostra migliore speranza e la più qualificata per accettare questo appello.

Rif: arxiv.org/abs/1904.02739 : 20 anni di DDoS: un invito all'azione

nascondere