Attacco DDoS: che cos'è e come difendersi in azienda

Un attacco DDoS (Distributed Denial of Service) inonda un server, un sito o una connessione aziendale con traffico proveniente da migliaia di dispositivi compromessi, fino a renderli irraggiungibili. Non ruba dati: blocca il servizio. Ci si difende con protezioni a monte della propria linea, architetture ridondate, filtri sul perimetro e un piano di risposta preparato prima dell'attacco.

Che cos'è un attacco DDoS, spiegato senza tecnicismi

Immagina il centralino della tua azienda che riceve diecimila telefonate al minuto, tutte vuote. I clienti veri non riescono più a chiamare, non perché il centralino sia rotto, ma perché è saturo. Un attacco DDoS fa esattamente questo alla tua infrastruttura digitale: sito web, portale e-commerce, VPN dei collaboratori, posta elettronica, gestionale esposto su Internet.

La differenza rispetto a un semplice attacco DoS sta nella prima lettera: Distributed. Il traffico malevolo non arriva da un unico computer, che sarebbe facile da bloccare, ma da una botnet: una rete di migliaia (a volte milioni) di dispositivi infettati all'insaputa dei proprietari. PC domestici, telecamere IP, router, stampanti di rete: qualsiasi apparato connesso e mal protetto può diventare un soldato inconsapevole dell'attaccante.

È un punto che nella nostra esperienza va chiarito subito con i clienti: il DDoS non è un'intrusione. L'attaccante non entra nei tuoi sistemi e non cifra i tuoi file — per quello esiste il ransomware, di cui parliamo in dettaglio nella nostra guida alla protezione dal ransomware. Il DDoS ti mette fuori servizio. Il danno è il fermo: ordini persi, produzione bloccata, dipendenti in smart working tagliati fuori, reputazione compromessa.

Le tre famiglie di attacco DDoS

Non tutti gli attacchi DDoS sono uguali, e le contromisure cambiano a seconda del livello colpito.

Attacchi volumetrici

Sono i più comuni e i più "rumorosi": saturano la banda della tua connessione con volumi enormi di traffico spazzatura, spesso amplificati sfruttando server DNS o NTP mal configurati sparsi per il mondo (i cosiddetti attacchi reflection/amplification). Si misurano in gigabit al secondo: gli attacchi registrati negli ultimi anni superano stabilmente il terabit. Nessuna connettività aziendale, per quanto generosa, può assorbirli da sola.

Attacchi di protocollo

Colpiscono le risorse di rete di server, firewall e bilanciatori sfruttando il funzionamento dei protocolli. L'esempio classico è il SYN flood: l'attaccante avvia milioni di connessioni TCP senza mai completarle, riempiendo le tabelle di stato degli apparati fino a esaurirle. La banda può anche restare libera: a cadere sono gli apparati che gestiscono le connessioni.

Attacchi applicativi (Layer 7)

I più subdoli. Simulano richieste legittime — pagine web, ricerche, login, chiamate API — a un ritmo che il server applicativo non regge. Servono volumi molto più bassi, sono difficili da distinguere dal traffico reale e spesso mirano alle pagine più "costose" da generare, come i motori di ricerca interni di un e-commerce. Sono quelli che vediamo crescere di più nei confronti delle PMI.

Perché anche una PMI è un bersaglio

"Chi vuoi che attacchi noi?" è la frase che sentiamo più spesso, ed è la premessa sbagliata da cui nascono i fermi peggiori. In oltre 25 anni di lavoro con le aziende lombarde abbiamo visto attacchi DDoS arrivare per motivi molto concreti:

• Estorsione (RDDoS): arriva un'email che chiede un riscatto in criptovaluta per non abbattere il sito, spesso preceduta da un attacco dimostrativo di pochi minuti. Il costo di lancio di un attacco è ormai irrisorio: i servizi "DDoS-for-hire" si affittano per poche decine di euro.
• Concorrenza sleale: un e-commerce irraggiungibile nel weekend del Black Friday regala clienti a qualcun altro.
• Diversivo: mentre il tuo IT è concentrato sul sito che non risponde, l'attaccante tenta un'intrusione vera su un altro fronte.
• Danno collaterale: il tuo sito è ospitato sullo stesso server o sulla stessa rete del vero bersaglio, e cade insieme a lui.

A questo si aggiunge il quadro normativo: per le aziende che rientrano nella direttiva NIS2, la continuità dei servizi e la gestione degli incidenti non sono più best practice facoltative ma obblighi con responsabilità in capo alla direzione. Se non sai se la tua azienda è coinvolta, parti dal nostro approfondimento su cosa cambia con la NIS2 per le PMI.

Come riconoscere un attacco DDoS in corso

I sintomi somigliano a un guasto, ed è per questo che molte aziende perdono ore preziose a riavviare apparati sani. I segnali tipici:

• il sito o i servizi esposti diventano lentissimi o irraggiungibili, mentre la rete interna funziona;
• la banda Internet è satura in ingresso senza una ragione operativa;
• il firewall o il bilanciatore mostrano un numero anomalo di connessioni semiaperte;
• i log del server web registrano picchi di richieste da migliaia di IP diversi, spesso con schemi ripetitivi;
• il provider di connettività ti contatta segnalando traffico anomalo verso i tuoi indirizzi.

La discriminante vera è il monitoraggio: chi ha una baseline del proprio traffico normale riconosce l'anomalia in minuti; chi non ce l'ha, tira a indovinare. È uno dei motivi per cui nei nostri contratti di gestione la telemetria di rete non è un optional.

▶La sicurezza informatica in pericolo: come proteggere la tua azienda dagli attacchi DDoS

Vuoi approfondire? Guarda altri video sul nostro canale YouTube →

Come difendersi da un attacco DDoS: le contromisure che funzionano

La difesa efficace si costruisce prima dell'attacco e lavora su più livelli. Nessuna misura, da sola, basta.

1. Protezione a monte della tua connessione

Contro gli attacchi volumetrici l'unica difesa realistica sta fuori dal tuo perimetro, dove la banda è ancora disponibile. Le opzioni concrete per una PMI:

• CDN e reverse proxy con protezione DDoS (Cloudflare e servizi analoghi) davanti a siti e portali: assorbono il traffico malevolo sulla loro rete distribuita e lasciano passare solo quello pulito;
• servizi di mitigazione del provider di connettività, che possono deviare il traffico verso centri di scrubbing o applicare filtri sulla dorsale;
• per i servizi critici, valutare l'hosting su infrastrutture cloud che includono mitigazione nativa.

Un accorgimento spesso trascurato: se metti una CDN davanti al sito ma lasci l'IP reale del server esposto (nei record DNS storici, nella posta, in un sottodominio dimenticato), l'attaccante lo trova e ti colpisce direttamente. La protezione va progettata, non solo attivata.

2. Perimetro e rete interna ben configurati

Il firewall non ferma un attacco volumetrico da centinaia di gigabit, ma fa la differenza sugli attacchi di protocollo e applicativi: protezione SYN flood, limiti di connessione per IP, geo-blocking dove sensato, rate limiting sulle applicazioni esposte. Sono funzioni che gli apparati di classe business offrono ma che troviamo quasi sempre disattivate o lasciate ai valori di fabbrica. Su come scegliere e dimensionare l'apparato giusto abbiamo scritto una guida alla scelta del firewall aziendale.

Vale anche il rovescio della medaglia: dispositivi IoT, telecamere e apparati non aggiornati della tua rete possono entrare in una botnet e rendere la tua azienda complice inconsapevole di attacchi verso altri. Segmentazione e aggiornamenti servono anche a questo.

3. Architettura che non crolla al primo colpo

Ridondanza e disaccoppiamento riducono l'impatto: DNS su provider robusto e separato dall'hosting, servizi critici distribuiti su più risorse, capacità di scalare rapidamente, separazione tra sito vetrina e sistemi di produzione. Se l'e-commerce cade, il gestionale e la posta devono continuare a funzionare — e viceversa.

4. Un piano di risposta scritto prima dell'attacco

Durante un DDoS non c'è tempo per improvvisare. Il piano deve rispondere a domande semplici: chi chiami (provider, fornitore IT, eventualmente Polizia Postale)? Chi è autorizzato ad attivare la mitigazione? Come comunichi con clienti e dipendenti se sito e posta sono giù? Come distingui il DDoS da un diversivo e chi controlla gli altri fronti nel frattempo? E soprattutto: non si paga il riscatto. Chi paga si segnala come bersaglio pagante.

Questi quattro livelli non vivono isolati: funzionano dentro una strategia di sicurezza complessiva — perimetro, monitoraggio, risposta agli incidenti — come quella che progettiamo nei nostri servizi di sicurezza informatica per le aziende.

Quanto costa un attacco DDoS a una PMI (e quanto costa difendersi)

Il conto del fermo si fa in fretta: ore di fatturato perso sui canali digitali, dipendenti improduttivi, penali contrattuali, clienti che nel frattempo hanno comprato altrove. Per un e-commerce di medie dimensioni anche poche ore di blackout in un periodo di punta valgono più di un anno di protezione.

La difesa, al contrario, oggi è accessibile: i piani base delle CDN con protezione DDoS partono da costi contenuti (esistono anche livelli gratuiti adeguati a molti siti vetrina), la corretta configurazione del perimetro rientra nella normale gestione IT e il piano di risposta è soprattutto lavoro di metodo. La sproporzione tra costo della prevenzione e costo del fermo è tale che, francamente, non difendersi non è una scelta economica: è una scommessa.

Metti al sicuro la continuità della tua azienda

Un attacco DDoS non si affronta a servizi già fermi: si prepara prima, con un perimetro configurato a regola d'arte, protezioni a monte e un piano di risposta collaudato. È il lavoro che facciamo ogni giorno da oltre 25 anni per le PMI: TN Solutions è un system integrator certificato ISO 9001 e ISO 27001, con sede a Melzo (MI) e una valutazione Google di 4.7 su 37 recensioni.

Vuoi sapere quanto è esposta la tua infrastruttura? Chiamaci allo 02 9517550 oppure contattaci dalla pagina dedicata: analizziamo la tua situazione e ti proponiamo un piano di difesa proporzionato alla tua azienda, senza allarmismi e senza sovradimensionare.