Attacco DDoS flood ping (ICMP)

Che cos'è un attacco ping (ICMP) flood?

Un ping flood è un attacco denial-of-service in cui l'aggressore tenta di sovraccaricare un dispositivo preso di mira con pacchetti di richiesta echo ICMP, rendendolo inaccessibile al traffico normale. Quando il traffico dell'attacco proviene da più dispositivi, l'attacco diventa un attacco DDoS o attacco Distributed Denial-of-Service.

Come funziona un attacco ping flood?

Il protocollo Internet Control Message Protocol (ICMP), utilizzato in un attacco ping flood, è un protocollo di livello Internet utilizzato dai dispositivi di rete per comunicare. Gli strumenti di diagnostica di rete traceroute e ping funzionano entrambi tramite ICMP. Solitamente, i messaggi ICMP echo-request ed echo-reply vengono utilizzati per effettuare il ping su un dispositivo di rete allo scopo di diagnosticare lo stato di salute e la connettività del dispositivo, nonché la connessione tra il mittente e il dispositivo.

Una richiesta ICMP necessita di alcune risorse del server per elaborare ciascuna richiesta e inviare una risposta. La richiesta richiede inoltre larghezza di banda sia per il messaggio in arrivo (echo-request) sia per la risposta in uscita (echo-reply). L'attacco ping flood mira a sopraffare la capacità del dispositivo preso di mira di rispondere all'elevato numero di richieste e/o a sovraccaricare la connessione di rete con traffico fittizio. Se più dispositivi in una botnet prendono di mira la stessa proprietà Internet o componente infrastrutturale con richieste ICMP, il traffico di attacco aumenta notevolmente, con il rischio di interrompere la normale attività di rete. In passato, gli aggressori spesso ricorrevano allo spoofing con un falso indirizzo IP per mascherare il dispositivo mittente. Con i moderni attacchi botnet, gli autori di attacchi dannosi raramente vedono la necessità di mascherare l'IP del bot e invece si affidano a una vasta rete di bot non falsificati per saturare la capacità di un bersaglio.

La forma DDoS di un ping (ICMP) flood può essere suddivisa in due passaggi ripetuti:

1. L'aggressore invia numerosi pacchetti di richiesta echo ICMP al server preso di mira utilizzando più dispositivi.
2. Il server di destinazione invia quindi un pacchetto di risposta echo ICMP a ciascun indirizzo IP del dispositivo richiedente come risposta.

L'effetto dannoso di un attacco ping flood è direttamente proporzionale al numero di richieste effettuate al server di destinazione. A differenza degli attacchi DDoS basati sulla riflessione come l'amplificazione NTP e l'amplificazione DNS, il traffico dell'attacco ping flood è simmetrico: la quantità di larghezza di banda ricevuta dal dispositivo preso di mira è semplicemente la somma del traffico totale inviato da ciascun bot.

Come si mitiga un attacco ping flood?

Il modo più semplice per disattivare un ping flood è disattivare la funzionalità ICMP del router, del computer o degli altri dispositivi presi di mira. Un amministratore di rete può accedere all'interfaccia amministrativa del dispositivo e disabilitarne l'invio e la ricezione di richieste tramite ICMP, eliminando di fatto sia l'elaborazione della richiesta sia la risposta echo. La conseguenza è che tutte le attività di rete che coinvolgono ICMP vengono disabilitate, facendo sì che il dispositivo non risponda alle richieste ping, alle richieste traceroute e ad altre attività di rete.

In che modo Cloudflare mitiga gli attacchi di tipo ping flood?

Cloudflare mitiga in parte questo tipo di attacco interponendosi tra il server di origine preso di mira e il ping flood. Quando viene effettuata una richiesta ping, Cloudflare gestisce il processo di elaborazione e risposta della richiesta di eco ICMP e la risposta sul nostro perimetro di rete. Questa strategia riduce il costo delle risorse, sia in termini di larghezza di banda che di potenza di elaborazione, del server di destinazione e lo posiziona sulla rete Anycast di Cloudflare. Scopri di più sulla protezione da attacchi DDoS di Cloudflare.