Protezione da DDoS e traffico di bot dannosi: guida
Come un attacco DDoS e il traffico di bot dannosi rallentano un sito, quali livelli di protezione esistono e quanta ne serve a ogni tipo di azienda.
Team rabbitclipPubblicato: 7 min di lettura
In breve
Un attacco DDoS invia a un sito un numero schiacciante di richieste da molte fonti contemporaneamente, così che il server non riesce più a rispondere; lo scopo non è rubare dati, ma tenere fuori i visitatori veri. Il traffico di bot dannosi è più silenzioso: software automatico copia i contenuti, compila moduli, prova le pagine di accesso o semplicemente consuma risorse del server. La protezione non poggia su un singolo prodotto, ma su livelli che filtrano le richieste prima che raggiungano il server: un filtro al margine della rete, un firewall per applicazioni web, limiti di richieste e le impostazioni del server stesso.
La domanda pratica di un titolare è di solito questa: il mio sito è diventato lento o non si carica, è un attacco o una vera folla di visitatori? La risposta sta in da dove arriva il traffico e come si comporta. Un'ondata dopo una campagna è dispersa ma si comporta come persone; un attacco colpisce di solito la stessa pagina, nello stesso modo, a una velocità insolita.
Questo articolo separa le due minacce, elenca i livelli di protezione e spiega perché non tutte le aziende hanno bisogno delle stesse misure.
Che differenza c'è tra DDoS e traffico di bot dannosi?
Il DDoS è rumoroso e agisce in fretta. Arrivano più richieste di quante il server o la sua connessione di rete possano reggere, e il sito rallenta o non si apre affatto. L'attacco è di solito distribuito su molte macchine, ed è per questo che bloccare un singolo indirizzo non serve.
Il traffico di bot dannosi è costante e di volume ridotto. Un bot scansiona il suo listino prezzi, un altro riempie di link il modulo dei commenti, un terzo indovina le password sull'accesso di amministrazione. Nessuno di loro abbatte il sito in un istante, ma insieme logorano le risorse del server, il budget pubblicitario (con clic falsi) e l'affidabilità delle sue statistiche. Le due minacce si affrontano con strumenti diversi.
Come capire che un sito è sotto attacco?
Il primo segnale è un rallentamento che non corrisponde al numero di visitatori. Se il sito è lento quando non ci sono saldi né una spinta pubblicitaria, e i grafici delle risorse del server toccano il tetto, il sospetto è giustificato. Il secondo segnale sono richieste insolitamente frequenti nei registri del server, dallo stesso intervallo di indirizzi o verso la stessa pagina; anche un traffico che ha picchi in orari strani è un indizio.
Per una diagnosi sicura bisogna leggere i registri del server, cosa che abbiamo descritto altrove in parole semplici. I segnali tipici sono i seguenti.
- Traffico e lentezza improvvisi senza campagna né annuncio
- Richieste che si accumulano su una pagina o sull'indirizzo di accesso
- Molto traffico da paesi da cui non arrivano i suoi clienti veri
- Voci insensate o ripetute che arrivano dai moduli
- Avvisi di limite di risorse dal suo fornitore di hosting
Da quali livelli è fatta la protezione?
Il primo livello è il margine della rete. Mettere un servizio di protezione e distribuzione davanti al sito assorbe la maggior parte del traffico d'attacco prima che raggiunga il suo server. Se l'indirizzo reale del server principale resta nascosto, un aggressore non può puntarlo direttamente. I vantaggi di velocità di questo approccio nella vita quotidiana sono l'argomento di un articolo a parte.
Il secondo livello è a livello di applicazione. Un firewall per applicazioni web (WAF) taglia i modelli dannosi noti e le richieste sospette, mentre un limite di richieste restringe quante ne può fare un indirizzo in un dato tempo. Il terzo livello è il sito stesso: limitare i tentativi di accesso, aggiungere un controllo invisibile ai moduli e mettere in cache le pagine pesanti rendono il server più resistente allo stesso attacco.
Ogni livello da solo è incompleto. Un filtro di rete non corregge una falla dell'applicazione, e un WAF non ferma un'inondazione a livello di rete; lavorando insieme distribuiscono il rischio.
Quale azienda ha bisogno di quali misure?
Scelga le misure in base al rischio reale del sito. Per un piccolo sito vetrina bastano di solito una protezione di base al margine della rete, software aggiornato e un limite ai tentativi di accesso. Se essere offline non le costa alcun ricavo diretto, un impianto costoso e complicato è sproporzionato.
I negozi online, i sistemi di prenotazione e i siti che incassano pagamenti sono diversi: ogni ora offline significa vendite perse e fiducia persa. Per questi vanno considerati insieme un WAF, limiti di richieste, la gestione dei bot dannosi e un piano di contatto per il momento di un attacco. Ha senso anche provare carico e resistenza prima di un periodo di campagna.
Quando comprare protezione è la scelta sbagliata?
Ci sono casi in cui comprare protezione non è la risposta. Se il problema non è un attacco ma un hosting debole (un sito che tocca il limite di risorse su un server condiviso, per esempio), un servizio di protezione non lo risolverà; la vera soluzione è un'infrastruttura più grande o un sito più leggero. Prima diagnostichi se il traffico è davvero un attacco.
Allo stesso modo, affidarsi a un elenco di blocco e dire «abbiamo escluso tutti i bot» è un errore. Anche i crawler dei motori di ricerca e i servizi di pagamento o di monitoraggio sono bot, e bloccarli tutti può togliere il suo sito dai risultati di ricerca. Lo scopo non è distruggere i bot, ma distinguere quelli cattivi da quelli buoni.
Quali errori sono comuni?
L'errore più comune è cercare protezione dopo che l'attacco è iniziato. Cambiare il DNS e configurare un nuovo servizio nel mezzo di un incidente richiede tempo e aggiunge il rischio di nuovi errori. Mettere in anticipo una semplice protezione al margine richiede molto meno lavoro che farlo in piena crisi.
Un altro errore è lasciare esposto l'indirizzo reale del server principale; anche con un servizio di protezione, un aggressore può trovare l'indirizzo tramite un altro record e colpire direttamente. Tra gli errori frequenti ci sono questi.
- Configurare la protezione ma lasciare esposti l'indirizzo reale del server o vecchi record
- Non mettere un limite di tentativi né una seconda verifica sulla pagina di accesso
- Supporre che il file robots fermi i bot dannosi; si rivolge solo ai bot che scelgono di obbedirgli
- Non decidere in anticipo chi fa cosa durante un attacco
- Non aggiornare software e plugin; gli attacchi sfruttano spesso una falla nota
Cosa si fa durante un attacco?
Per prima cosa mantenga la calma e capisca cosa è colpito: l'intero sito, una sola pagina, solo l'accesso? Poi contatti il suo fornitore di hosting e l'eventuale servizio di protezione; molti fornitori possono aggiungere misure per filtrare il traffico durante un attacco. Avere questa conversazione in anticipo anziché nella crisi fa una grande differenza.
Dopo l'attacco, riveda i registri: quale pagina era il bersaglio, quale debolezza è stata sfruttata, quale misura ha funzionato. Questa conoscenza guida la configurazione successiva. Per uno sguardo rapido alla sicurezza generale del suo sito, può usare il nostro strumento di verifica di sicurezza e SSL.
La protezione da DDoS e dal traffico di bot dannosi non è uno strumento solo, ma livelli posti al margine della rete, nell'applicazione e sul sito; quanta ne serve dipende da quanto costerebbe restare offline. A un piccolo sito vetrina basta una protezione di base, mentre un sito che produce ricavi ha bisogno di un impianto a livelli e pianificato. Se desidera valutare insieme il rischio reale del suo sito, rabbitclip sarà lieta di organizzare con lei un colloquio conoscitivo, senza fretta.
Domande frequenti
Un attacco DDoS ruba dati?
Di solito no; il suo scopo è rendere il sito irraggiungibile. A volte però un attacco serve da diversivo, quindi vale la pena controllare ogni altra debolezza durante e dopo un incidente.
Perché dovrebbero attaccare un sito piccolo?
Spesso gli aggressori non scelgono un sito in particolare; il software automatico scansiona quelli aperti e vulnerabili. Ogni sito ha quindi bisogno di software aggiornato e di un livello di base di protezione.
È giusto bloccare tutti i bot?
No. Anche i crawler dei motori di ricerca e alcuni servizi di monitoraggio sono bot, e bloccarli danneggia la visibilità del sito nelle ricerche. L'obiettivo è separare i bot dannosi da quelli che si comportano bene.
Il mio fornitore di hosting non mi protegge già?
Alcuni fornitori offrono una protezione di base a livello di rete, ma la portata differisce. La cosa più sicura è chiedere per iscritto al suo fornitore quali tipi di attacco copre e fino a che dimensione.
Un limite di richieste bloccherà i clienti veri?
Non se la soglia è sensata. Viene fissata sopra l'uso normale di un visitatore genuino ma sotto la velocità di un attacco, e aggiustata nelle prime settimane osservando i registri.
