Cos’è la protezione DDoS e come funziona?

Un attacco DDoS (distributed denial of service) cerca di mettere offline un servizio sommergendolo con più traffico di quanto possa gestire. Ecco come funzionano questi attacchi, cosa fa la protezione DDoS e cosa non può fare.

I tre tipi di attacco

• Gli attacchi volumetrici riempiono la banda di rete stessa di spazzatura, misurata in gigabit al secondo. Esempi sono i flood UDP e l'amplificazione DNS o NTP.
• Gli attacchi di protocollo abusano del funzionamento delle connessioni, come i SYN flood che esauriscono la tabella delle connessioni del server.
• Gli attacchi a livello applicativo inviano molte richieste dall'aspetto legittimo, come migliaia di ricerche o login al secondo, per esaurire CPU e database.

In termini di rete, i primi due sono attacchi di livello 3 e 4 (L3/L4) e l'ultimo è di livello 7 (L7).

Come funziona la protezione a livello di rete

1. Il traffico verso il tuo indirizzo IP passa prima dall'hardware di filtraggio del provider.
2. Il sistema impara come appare il traffico normale e segnala le anomalie.
3. I pacchetti malevoli, come sorgenti falsificate o pacchetti malformati, vengono scartati prima di raggiungere il tuo server.
4. Il traffico pulito prosegue normalmente, di solito senza ritardi visibili.

Ogni VPS sulla nostra piattaforma include la protezione L3/L4, che copre gli attacchi volumetrici e di protocollo che causano la maggior parte delle interruzioni.

Cosa la protezione L3/L4 non ferma

I flood di livello 7 sembrano visitatori reali, quindi i filtri di rete non sempre riescono a distinguerli. Li gestisci a livello applicativo:

• Metti una CDN o un reverse proxy davanti ai siti web e usa la cache in modo aggressivo.
• Usa il rate limiting in Nginx (limit_req_zone) per le pagine di login e di ricerca.
• Usa fail2ban per bloccare i recidivi.
• Servi pagine statiche dove puoi; costano quasi nulla da consegnare.

Riduci la tua esposizione

• Mantieni privato l'IP della tua origine se usi una CDN, e non farlo trapelare nella cronologia DNS o nelle intestazioni email.
• Chiudi ogni porta che non usi.
• Mantieni il software aggiornato in modo che gli attaccanti non possano usare un piccolo bug per mandarlo in crash.
• Monitora l'uso delle risorse per accorgerti presto dei problemi.

Cosa fare durante un attacco

1. Conferma che sia un attacco: controlla i grafici della banda e ss -s per il numero di connessioni.
2. Contatta il supporto del tuo host perché possa regolare il filtraggio.
3. Abilita i limiti di frequenza o metti il sito dietro un proxy.
4. Non pagare le richieste di estorsione. Il pagamento non ferma gli attacchi ripetuti.