DDoS aziendale: mitigazione a livello 3 e 4

Gli attacchi DDoS (Distributed Denial of Service) non colpiscono solo le grandi aziende: PMI italiane, e-commerce e pubbliche amministrazioni sono regolarmente bersagli, spesso da botnet che cercano la riconsegna. Capire come funzionano gli attacchi layer 3/4 e come mitigarli è essenziale per chi gestisce servizi internet-facing.

Tipologie di attacchi DDoS

Gli attacchi più comuni a livello rete sono: SYN flood (mille TCP SYN senza completare il handshake, esaurisce la tabella connessioni); UDP flood (pacchetti UDP massivi verso porte casuali); ICMP flood (ping flood o smurf attack); amplification attack (DNS, NTP, memcached, LDAP, dove l'attaccante invia una piccola query con IP spoofato e il servizio risponde con MB alla vittima); fragment attack (frammenti IP malformati che esauriscono RAM); connection flood (esaurisce stato TCP del firewall).

Strategia di difesa

La difesa deve essere stratificata: scrubbing center esterno (Cloudflare, AWS Shield, OVH Anti-DDoS, Akamai) per attacchi volumetrici sopra i 10 Gbps; firewall stateful con rate limiting per attacchi moderati; ISP-level mitigation via blackholing o BGP FlowSpec; application-level per attacchi layer 7. Un singolo strato non basta: serve combinarli.

Procedura passo-passo

1. Misura la banda massima della tua connessione: tutto sopra è non gestibile in proprio.
2. Identifica i servizi pubblicati: web, mail, VPN, DNS. Ogni servizio è un potenziale target.
3. Implementa un CDN/scrubbing esterno per i servizi web (Cloudflare ha tier gratuito).
4. Configura rate limiting sul firewall: SYN per IP, ICMP per IP, connessioni per minuto.
5. Abilita SYN cookies sul firewall e sui server Linux (net.ipv4.tcp_syncookies=1).
6. Implementa GeoIP filtering se i tuoi servizi sono solo per utenti italiani.
7. Abilita uRPF (unicast Reverse Path Forwarding) sui router per scartare pacchetti spoofati.
8. Configura BGP blackhole community con l'ISP per emergenze.
9. Definisci un runbook DDoS: chi chiamare, quale ISP contattare, quale provider scrubbing attivare.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Affidarsi solo al firewall locale: per attacchi sopra 1 Gbps il firewall stesso satura. Serve scrubbing upstream.
• DNS authoritative non protetto: prima vittima in attacco coordinato. Usa Cloudflare DNS o Anycast.
• Open resolver/NTP/memcached: contribuisci agli amplification attack altrui. Verifica con CISA scanner.
• Logging che satura il disco: durante attacco il disco si riempie. Imposta log rotation aggressiva.
• Sopprimere ICMP completamente: rompi PMTUD. Permetti ICMP destination unreachable.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con mitigazione attacchi DDoS aziendali, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per mitigazione attacchi DDoS aziendali questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Cloudflare gratuito basta?
R: Per attacchi piccoli/medi sì. Per attacchi volumetrici servono piani Business/Enterprise.

D: Posso fare denuncia in Italia?
R: Sì, alla Polizia Postale CNAIPIC, ma il responsabile spesso è all'estero.

D: Cosa fa il null routing?
R: L'ISP dichiara l'IP target come unreachable in BGP. Salva il resto della rete ma il servizio è giù.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.