Tecnica di attacco

Attacco Denial of Service (DoS)

Un attacco DoS (Denial of Service) è un attacco informatico volto a sovraccaricare una rete, un servizio o un sistema per renderlo inaccessibile agli utenti legittimi.

Definizione

Come funziona

Perché gli hacker lo utilizzano

Rilevamento

Domande frequenti

Definizione

Che cos'è un attacco Denial of Service (DoS)?

Un attacco Denial of Service (DoS) è un tipo di attacco informatico volto a rendere una rete, un servizio o un sistema inaccessibile agli utenti a cui è destinato. In genere consiste nel sovraccaricare il bersaglio con un numero eccessivo di richieste, esaurendone le risorse, oppure nello sfruttare le vulnerabilità del software per causare il blocco o un grave rallentamento del servizio. Ciò impedisce agli utenti legittimi, come i team SOC o gli utenti finali, di accedere alle risorse prese di mira, causando tempi di inattività, interruzioni delle operazioni e potenziali perdite finanziarie o di reputazione.

In una variante più sofisticata, gli attacchi Distributed Denial of Service (DDoS) coinvolgono più dispositivi compromessi (spesso definiti " botnet") che agiscono all'unisono per amplificare la portata dell'attacco, rendendo più difficile mitigarlo e risalire a una singola fonte. Questi attacchi possono prendere di mira applicazioni specifiche o livelli di rete, oppure esaurire l'intera larghezza di banda disponibile.

Di fronte a tali attacchi, è fondamentale disporre di un monitoraggio efficace della rete, di meccanismi di limitazione della velocità e di sistemi di rilevamento delle anomalie. La Vectra AI potenzia le difese contro gli attacchi DoS analizzando costantemente i modelli di traffico di rete e sfruttando le informazioni fornite dall'intelligenza artificiale per identificare e mitigare queste minacce in tempo reale.

Come funziona

Come funziona un attacco DoS?

Un attacco DoS (Denial of Service) consiste nel sommergere un bersaglio con richieste superflue, nel sovraccaricare le sue risorse o nello sfruttare delle vulnerabilità per renderlo inaccessibile o rallentarlo agli occhi degli utenti legittimi. Ecco una panoramica di come funzionano i tipi più comuni di attacchi DoS:

1. Sovraccarico di traffico

L'autore dell'attacco invia un volume massiccio di traffico — solitamente tramite più fonti o bot — al sistema bersaglio. Questo traffico consuma la larghezza di banda della rete o esaurisce le risorse del server, causando un calo delle prestazioni o l'indisponibilità totale del servizio per gli utenti. Gli attacchi DDoS (Distributed DoS) utilizzano questa tecnica su larga scala sfruttando una rete di dispositivi compromessi, ovvero le botnet.

Il processo di un attacco di tipo "traffic flooding"

2. Esaurimento delle risorse

Alcuni attacchi DoS mirano a esaurire risorse specifiche del server, come la CPU, la memoria o lo spazio di archiviazione. Inviando richieste complesse o malformate, gli aggressori possono costringere il sistema a lavorare a ritmi sostenuti per elaborarle, lasciando meno risorse disponibili per l'uso legittimo.

3. Sfruttamento delle vulnerabilità

In alcuni attacchi DoS, gli hacker sfruttano vulnerabilità note presenti nel software di applicazioni, server o protocolli di rete. Ad esempio, un hacker potrebbe inviare una sequenza di comandi o pacchetti danneggiati che causano il blocco del server o ne impediscono il funzionamento.

Procedura di un attacco di sfruttamento di una vulnerabilità

4. Attacchi a livello di applicazione

Questi attacchi prendono di mira il livello applicativo, inviando grandi volumi di richieste a specifiche applicazioni (ad esempio, la pagina di accesso a un sito web o un'API) e sono più difficili da individuare poiché imitano il traffico legittimo degli utenti. Tuttavia, sovraccaricando un determinato servizio o endpoint, gli aggressori possono renderlo inaccessibile agli utenti reali.

Processo di attacco a livello di applicazione

Ogni metodo mira, in ultima analisi, a compromettere il normale funzionamento del sistema bersaglio; per questo motivo, il monitoraggio proattivo della rete, la limitazione della velocità di trasmissione e il rilevamento delle anomalie sono fondamentali per la difesa. Soluzioni di sicurezza come la Vectra AI potenziano le difese individuando tempestivamente questi comportamenti anomali, consentendo di intervenire in tempo reale prima che un attacco provochi conseguenze significative.

Perché gli hacker lo utilizzano

Perché gli hacker ricorrono agli attacchi DoS

Gli autori degli attacchi ricorrono agli attacchi DoS (Denial of Service) per vari motivi, tra cui:

Interruzioni e ripercussioni finanziarie: gli attacchi DoS possono compromettere le attività aziendali, causare perdite finanziarie e danneggiare la reputazione delle organizzazioni. Ciò è particolarmente dannoso per le aziende che dipendono da una disponibilità online continua, come i siti di e-commerce, gli istituti finanziari o le piattaforme di gioco.
Estorsione: gli aggressori possono minacciare un attacco DoS (o sferrare un breve attacco a titolo di "dimostrazione") per chiedere un riscatto in cambio della cessazione o della prevenzione di un attacco prolungato. Questa tattica, denominata "ransom DoS" o RDoS, è una forma di estorsione informatica.
Sabotaggio della concorrenza: in alcuni casi, gli attacchi DoS vengono utilizzati come metodo per danneggiare i concorrenti, provocando interruzioni del servizio o un peggioramento della qualità dello stesso, il che spesso porta a frustrazione da parte dei clienti e a una perdita di fiducia.
Motivi politici o ideologici: i gruppi di hacktivisti possono ricorrere agli attacchi DoS come strumento di protesta o per richiamare l'attenzione su cause politiche, prendendo di mira siti governativi, aziendali o di altro tipo di grande rilevanza.
Verifica delle difese: alcuni aggressori utilizzano gli attacchi DoS per sondare e analizzare le difese di un bersaglio, verificando i tempi di risposta e le strategie di mitigazione, nonché individuando potenziali vulnerabilità in vista di attacchi futuri più gravi.
Diversivo: gli hacker possono ricorrere a un attacco DoS come diversivo per sviare l'attenzione dei team di sicurezza mentre tentano altri attacchi informatici, come il furto di dati o l'intrusione nella rete, rendendo più difficile per i difensori reagire contemporaneamente a entrambe le minacce.

Per questi motivi, gli attacchi DoS rappresentano una minaccia complessa e i meccanismi di difesa come quelli offerti dalla Vectra AI , che garantisce l'analisi del traffico in tempo reale e il rilevamento dei modelli di attacco, sono fondamentali per garantire un solido livello di sicurezza informatica.

Rilevamenti della piattaforma

Come individuare gli attacchi DoS

Sebbene gli autori degli attacchi cerchino di mascherare i modelli di traffico ad alto volume tipici degli attacchi DoS, la loro attività finisce inevitabilmente per interrompere il normale flusso di traffico di rete, rendendola rilevabile tramite analisi avanzate basate sull'intelligenza artificiale.

Vectra AI funzionalità di rilevamento specifiche per gli attacchi DoS, identificando i SYN flood, gli attacchi Slowloris e altre firme DoS attraverso un'analisi approfondita dei modelli e della frequenza del traffico. Grazie a una sofisticata analisi dei metadati del traffico di rete, Vectra AI picchi anomali e un utilizzo delle risorse che segnalano potenziali tentativi di attacco DoS. Rilevando questi modelli di traffico rapidi e atipici, Vectra AI una risposta proattiva, contribuendo a garantire la disponibilità dei servizi e impedendo agli aggressori di compromettere le operazioni critiche.