Il sito non è raggiungibile — errore di timeout, velocità lentissima. L'amministratore di rete ha detto 'c'è un attacco DDoS'. Che cos'è? Quanto dura? Minuti/ore?
Cosa posso fare contro il DDoS? Firewall, CDN... cosa aiuta? C'è qualche azione immediata da intraprendere?
La polizia indaga sui DDoS? Riescono a trovare l'attaccante? L'assicurazione copre?
DDoS (Distributed Denial of Service): bombardamento di traffico da migliaia di bot/machine verso un singolo server (sovraccarico). Durata: da minuti a settimane (tipicamente 4-48 ore). Mitigazione: 1) Notifica ISP (segnala all'hosting provider, filtraggio a livello ISP), 2) Rate limiting firewall (syn floods → soglia, limiti di connessione), 3) CDN (Cloudflare, Akamai): rete anycast, scrubbing del traffico (passa traffico legittimo, scarta bot), 4) Servizio di mitigazione DDoS (abbonamento: $300-5000/mese), 5) Livello applicazione: CAPTCHA (filtra bot), rate limiting API, blocco geografico (fonte attacco). Diagnosi: dati NetFlow (pattern traffico), picco improvviso di banda, risposta asimmetrica (connessione fallita ma server ok). Tipi: Volume-based (consumo banda: UDP flood, amplificazione DNS), Protocol-based (vulnerabilità TCP/IP: SYN flood, pacchetti frammentati), Application-based (HTTP flood, Slowloris). Assicurazione: integra cyber insurance — copertura interruzione attività, copertura riscatto (se estorsione), rimborso costi servizio mitigazione DDoS. Polizia: si può denunciare (TCK art. 207 — attacco all'integrità del sistema), ma l'attribuzione (chi è l'attaccante) è molto difficile, servono log IP dell'ISP (attesa di settimane).
se è ddos il server è ok, la rete è satura. installa cdn (inizia con cloudflare free tier), attiva rate limiting denuncia alla polizia. insomma attribuzione difficile, ma l'assicurazione copre i costi di mitigazione...
Doki · Consulenza SEO · 2023
Rilevamento DDoS: Monitoraggio (rilevamento picchi di banda — avvisi MRTG, Grafana), Analisi NetFlow (pattern traffico: UDP flood = alto pacchetti/basso byte), Analisi log (picco improvviso access.log, basso IP unici). Strumenti di mitigazione: Rate limiting UFW (ufw limit 80/tcp), Fail2ban (blocco IP automatico dopo soglia), iptables (protezione syn-flood: tcp-syn-cookies), Cloudflare WAF (rilevamento bot a livello applicazione), AWS Shield (mitigazione a livello rete). Rilevamento DDoS-as-a-Service: pattern attacco (firma botnet), infrastruttura command-and-control, email di riscatto (se estorsione). Procedura di risposta: 1) Rilevamento (trigger allarme), 2) Attivazione CDN/servizio mitigazione, 3) Comunicazione (clienti: siamo sotto attacco, ETA ripristino), 4) Indagine (forensics: vettore attacco, motivazione attaccante), 5) Hardening (prevenzione futura), 6) Recovery (ripristino servizio, continuità operativa).
installa cdn subito, attiva cloudflare. attiva rate limiting firewall. quando il ddos finisce manda email ai clienti — dicendo che eravate sotto attacco e ora è tutto ok. denuncia all'assicurazione chiedendo rimborso costi mitigazione. fai anche la denuncia alla polizia...
edit: ho scritto una cosa sbagliata sopra, scusate.
Doki · Infrastruttura e-commerce · 2025
Piano di risposta DDoS: 1) Rilevamento e verifica (conferma l'attacco, non è un picco di traffico legittimo), 2) Escalation dell'incidente (avvisa l'ISP, attiva il servizio anti-DDoS) 3) Comunicazione (avvisa i clienti aggiorna la status page social media) 4) Mitigazione (attiva CDN rate limiting, blocco geografico) 5) Indagine (analizza il pattern dell'attacco, motivazione dell'attaccante), 6) Risoluzione (attacco cessato, servizi ripristinati) 7) Post-mortem (lezioni apprese, miglioramenti preventivi). Prevenzione: architettura resiliente DDoS (server distribuiti load balancing), ridondanza (più ISP, infrastruttura di backup) assicurazione (copertura DDoS >2M$ a seconda della polizza).
Non lo sapevo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.
Buon lavoro.
secondo me è difficile essere così netti sul lato sono sotto attacco ddos. le decisioni affrettate diventano decisioni da correggere sei mesi dopo.
è tutto scusate se mi sono dilungato.
Doki · Scansione vulnerabilità · 2025
Il punto più trascurato riguardo a sono sotto attacco ddos è questo: Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.
Sono curioso di sapere se qualcuno lo fa in modo diverso.
Non posso essere d'accordo al 100%. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.
Io seguirei questa strada.
Doki · Configurazione del backup · 2026
scrivo questo per evitare che facciate lo stesso errore e da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.
non posso essere d'accordo al 100%. prendere misure sena fare un inventario lascia aperta una porta che non vedi.
più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.. ma questa è la mia opinione non la scrivo come verità assoluta.
Vi spiego come si fa in pratica. I primi tre mesi vanno bene, i problemi emergono al quarto mese.
Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Questa è la mia opinione, non la scrivo come verità assoluta.
Ottimo lavoro. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.
Se avete domande, scrivete, rispondo per quanto possibile.
In teoria è giusto, in pratica non funziona così. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.
È tutto, scusate se mi sono dilungato.
Doki · Trasloco infrastruttura · 2026
La discussione si è dispersa la riassumo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.
Io seguirei questa strada.
Sono della stessa opinione. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.
Buon lavoro.
Ho vissuto la stessa cosa due anni fa. Non fidatevi di una sola misura di sicurezza; procedete per livelli.