Protection – Risposta di emergenza agli attacchi DDoS

In questo articolo scoprirai:

• Come diagnosticare un attacco DDoS
• Come bloccare un attacco in emergenza usando:
  • GeoIP
  • Filtri
  • Web Application Firewall (WAF)
• Domande frequenti

---

Diagnostica DDoS

Gli attacchi DDoS sono un tipo comune di attacco informatico che cerca di sovraccaricare un sito web o un’applicazione con un volume elevato di richieste. Queste richieste provengono in genere da regioni diverse, ma possono arrivare anche da un singolo indirizzo IP, intervallo o provider. Alcune possono avere uno UserAgent comune, che può essere usato per filtrarle in modo efficace.

Il primo passo per rispondere in modo adeguato a un attacco DDoS in corso è scoprire chi sono gli attaccanti e bloccarli, senza limitare il traffico legittimo verso il tuo sito. Lo strumento migliore per l’analisi del traffico è l’interfaccia Grafana, che puoi configurare seguendo il Protection – Grafana manuale.

Se sospetti che il tuo sito web o la tua applicazione siano sotto attacco, procedi come segue:

1. Accedi alla tua interfaccia Grafana ⧉.
2. Nella sezione Host della richiesta in alto a sinistra, seleziona il dominio sotto attacco. Se necessario, modifica anche l’ intervallo di tempo in alto a destra impostandolo su 5 minuti.
3. Cerca nei log eventuali comportamenti sospetti.
4. Stabilisci il metodo di blocco migliore in base ai consigli riportati di seguito.

Non esiste un unico modo corretto per analizzare i log, ma in generale ti consigliamo di controllare:

• Anomalie. La tabella Anomalie elenca le richieste con codici di errore. Tra queste ci sono le richieste bloccate (456), che il sistema sta già bloccando attivamente. Non devi intervenire contro di esse.
• Richieste per paese. Se in questo elenco compaiono grandi quantità di richieste da paesi insoliti, usa GeoIP per bloccare quei paesi finché l’attacco non si attenua.
• TOP10 IP client. Pur non essendo tipico degli attacchi DDoS, potresti trovare un numero anomalo di richieste da pochi IP. Puoi bloccarli usando Filtri.
• TOP10 UserAgent e Report ASN. In alcune circostanze gli attaccanti possono condividere lo stesso UserAgent o ASN. Puoi facilmente filtrare questi elementi.

Se non riesci a individuare e filtrare la fonte dell’attacco, blocca l’attacco usando il WAF.

Quando gli attacchi DDoS non riescono a mettere fuori uso un sistema, in genere si ritirano nel giro di pochi minuti. Continua a monitorare la situazione e, quando non rilevi più traffico dannoso, prova a disattivare di nuovo le misure di emergenza.

---

Blocco di emergenza

Se i filtri automatici impiegano troppo tempo a fermare un attacco DDoS (o simile) al tuo sito web o alla tua applicazione, ti consigliamo di configurare:

• GeoIP funziona al meglio per isolare rapidamente il traffico del tuo paese o continente, oppure per bloccare il traffico proveniente dalle regioni da cui parte l’attacco.
• Filtri consentono di bloccare IP, ASN o UserAgent specifici.
• Web Application Firewall (WAF) è in grado di filtrare il traffico in base a regole più severe, con un livello di paranoia più alto.

Blocco GeoIP

Per configurare GeoIP, procedi come segue:

1. Accedi al pannello di amministrazione WEDOS.global ⧉.
2. Seleziona il dominio sotto attacco.
3. Nel menu a sinistra seleziona GeoIP.
4. Attiva Custom GeoIP.
5. Configura GeoIP in base alle tue esigenze (vedi sotto) e salva.

In genere userai il blocco GeoIP per:

• Rendere il sito web o l’applicazione disponibile solo agli utenti di un’area specifica procedendo come segue:
  1. Nella sezione Impostazioni di accesso seleziona la modalità Allow Access e salva.
  2. Seleziona le regioni di destinazione consentite nella Mappa GeoIP. Il traffico proveniente dalle regioni non selezionate (blu) sarà bloccato.
  3. Nella sezione Elenco delle regioni selezionate, fai clic su Save Selected Regions per salvarle.
• Bloccare il traffico dai paesi con un numero o una percentuale elevati di richieste problematiche non bloccate, procedendo come segue:
  1. Nella sezione Impostazioni di accesso seleziona la modalità Block Access e salva.
  2. Seleziona le regioni di destinazione consentite nella Mappa GeoIP. Il traffico proveniente dalle regioni non selezionate (blu) sarà consentito.
  3. Nella sezione Elenco delle regioni selezionate, fai clic su Save Selected Regions per salvarle.

Filtraggio del traffico

I filtri del traffico disponibili sono:

• IP. Blocca tutte le richieste provenienti da un indirizzo IP o intervallo specificato.
• ASN. Blocca tutte le richieste provenienti da un determinato ASN (Autonomous System Number, che in genere identifica un provider di servizi Internet).
• URL. Blocca tutto il traffico verso un determinato URL, indipendentemente dalla fonte. Usalo se l’attacco è rivolto a una risorsa specifica.
• UserAgent. Blocca il traffico in base alle stringhe UserAgent.

Per configurare i filtri IP, ASN, URL o UserAgent, procedi come segue:

1. Accedi al pannello di amministrazione WEDOS.global ⧉.
2. Seleziona il dominio sotto attacco.
3. Nel menu a sinistra seleziona Filtri.
4. Attiva i Custom Filter che vuoi usare.
5. Aggiungi gli IP, gli ASN e gli UserAgent problematici.

Filtraggio WAF

Se non ci sono indicazioni chiare sulla fonte o sulla destinazione del traffico dannoso, ti consigliamo di aumentare il livello di paranoia del WAF per tutta la durata dell’attacco.

Per modificare il livello di paranoia del WAF procedi come segue:

1. Accedi al pannello di amministrazione WEDOS.global ⧉.
2. Seleziona il dominio sotto attacco.
3. Nel menu a sinistra seleziona WAF.
4. Attiva Custom WAF.
5. Nella sezione Livello di paranoia seleziona Livello 2.

---

FAQ

Questo articolo le è stato utile?

Il suo giudizio ci aiuta a migliorare i nostri articoli.

SìNo

Desidera scriverci qualcosa su questo articolo? (facoltativo)

Il suo messaggio viene letto dal team della documentazione, che però non risponde. Se ha bisogno di aiuto, contattici tramite il modulo di contatto. Non inserisca password né dati personali.

Lasci vuoto questo campo