DDoS ed effetto domino

Cari amici (mi verrebbe da dire vicini e lontani) scommetto che non ce ne è uno di voi che non sappia cosa sia un DDoS e certo non sarò io a tediarvi (basterà guardare il link a Wikipedia). Però temo, e lo dico purtroppo per esperienza, che pochi hanno ben compreso le reali ripercussioni di un DDoS. Del resto ne avevo già parlato circa un anno fa con l'avvento dell'Hacktivismo digitale.

Parliamoci chiaro: pochi sanno gestire un attacco DDoS anche perché poche sono le reali contromisure da mettere in campo. Ma se è vero che "tanto non ci si può fare molto", è anche vero che un migliore partizionamento dei sistemi in frontend, ed in backend, può mitigare il rischio. 

Il DDoS condotto su una macchina o un sistema di front-end infatti potrebbe propagarsi all'interno inficiando anche i sistemi o le applicazioni utilizzate dentro l'infrastruttura. A quel punto tutte le belle idee del tipo "ma tanto al massimo il sito non è raggiungibile" si vanno a far friggere. E' questo il cosiddetto effetto domino e qui ne avete un esempio "reale".

Ecco quindi alcuni spunti di riflessione o se volete consigli:

• avete più siti su uno stesso server, ma di differente importanza: considerate che se il sito di minore importanza venisse attaccato, anche quello più importante potrebbe non essere più raggiungibile;
• domandatevi se in una condizione di attacco gli apparati di rete potrebbero avere ripercussioni interne tali da compromettere la navigazione dall'interno o peggio l'utilizzo della rete;
• l'attacco DDoS potrebbe essere un diversivo per sviare l'attenzione da un attacco mirato ad un altro sistema;
• contattate il vostro fornitore di connettività e definite con lui una strategia; sono loro che possono evitare la saturazione dei vostri sistemi: se i pacchetti arrivano ai vostri sistemi siete voi a doverli gestire e quindi avete perso!
• le blacklist di IP non servono a niente! I DDoS oggi vengono condotti utilizzando Botnet e quindi gli IP sono sempre differenti;
• Non vi fidate del vostro Web Server che dice di essere protetto dal SYN Flood: nel caso di SYN Flood da IP sorgenti diversi le contromisure che implementano sono quasi sempre vane;
• poiché le Botnet comprendono un numero di macchine spesso localizzate al di fuori dei confini nazionali, domandatevi se è un'opzione per voi preservare il traffico nazionale ed escludere il traffico in entrata dall'estero nel momento dell'attacco (ovvio che il rubinetto lo chiude il vostro fornitore di connettività): scegliete il male minore!
• Le Botnet non sono un'oscura creazione di una pozione magica: per poche centinaia di euro si comprano migliaia di PC infettati con server di C&C e GUI di amministrazione; quindi, per esempio, io che vivo a Torino compro una Botnet da un sito russo e decido di attaccare la società ACME S.p.A italiana che non saprà mai che sono stato io; se poi qualcuno si illude di potermi rintracciare seguendo le tracce da un PC Zombie della Botnet che sta in Russia o Ucraina, auguri!
• decidete di gestire il rischio di un attacco DDoS non facendo nulla! E' un'opzione valida, ma dovete essere pronti da un punto di vista informativo a raccontare qualche frottola. E le bugie hanno le gambe corte, specie se le frottole le devono raccontare altri per voi (congruenza delle frottole)
• decidete di non fare nulla e far finta che il problema non esista! Ognuno è masochista a suo modo ma non basterà dire "lo doveva fare lui!"

Insomma tranne qualche considerazione più tecnica, tutte le altre sono considerazioni di buon senso. Certo se non si conosce il fenomeno è dura...