Attacco UDP flood

Cos'è un attacco UDP flood?

Un UDP flood è un tipo di attacco denial-of-service in cui un gran numero di pacchetti User Datagram Protocol (UDP) viene inviato a un server di destinazione con l'obiettivo di sopraffare la capacità di elaborazione e risposta di quel dispositivo. Anche il firewall che protegge il server preso di mira può esaurirsi a causa di un flood di UDP, con conseguente negazione del servizio al traffico legittimo.

Come funziona un attacco UDP flood?

Un UDP flood funziona principalmente sfruttando i passaggi eseguiti da un server quando risponde a un pacchetto UDP inviato a una delle sue porte. In condizioni normali, quando un server riceve un pacchetto UDP su una porta specifica, esegue due passaggi in risposta:

1. Il server verifica innanzitutto se sono in esecuzione programmi in ascolto di richieste sulla porta specificata.
2. Se nessun programma riceve pacchetti su quella porta, il server risponde con un pacchetto ICMP (ping) per informare il mittente che la destinazione non è raggiungibile.

Un UDP flood può essere concepito come il caso di un addetto alla reception di un hotel che instrada le chiamate. Per prima cosa, il receptionist riceve una telefonata in cui il chiamante chiede di essere messo in contatto con una stanza specifica. Il receptionist deve quindi controllare l'elenco di tutte le camere per accertarsi che l'ospite sia disponibile nella stanza e disposto a rispondere alla chiamata. Quando il receptionist si accorge che il cliente non risponde alle chiamate, deve riprendere il telefono e dire al chiamante che l'ospite non risponderà alla chiamata. Se all'improvviso tutte le linee telefoniche si illuminano contemporaneamente con richieste simili, si verrà rapidamente sopraffatti.

Quando ogni nuovo pacchetto UDP viene ricevuto dal server, questo esegue una serie di passaggi per elaborare la richiesta, utilizzando le risorse del server nel processo. Quando vengono trasmessi pacchetti UDP, ogni pacchetto includerà l'indirizzo IP del dispositivo di origine. Durante questo tipo di attacco DDoS, un aggressore in genere non utilizzerà il proprio indirizzo IP reale, ma falsifica l'indirizzo IP di origine dei pacchetti UDP, impedendo che la vera posizione dell'aggressore venga rivelata e potenzialmente saturata dai pacchetti di risposta provenienti dal server preso di mira.

Poiché il server di destinazione utilizza risorse per controllare e quindi rispondere a ciascun pacchetto UDP ricevuto, le risorse della destinazione possono esaurirsi rapidamente quando viene ricevuto un grande flusso di pacchetti UDP, con conseguente negazione del servizio al traffico normale.

Come si mitiga un attacco UDP flood?

La maggior parte dei sistemi operativi limita la velocità di risposta dei pacchetti ICMP in parte per interrompere gli attacchi DDoS che richiedono una risposta ICMP. Uno svantaggio di questo tipo di mitigazione è che durante un attacco potrebbero essere filtrati anche pacchetti legittimi. Se l'UDP flood ha un volume sufficientemente elevato da saturare la tabella di stato del firewall del server di destinazione, qualsiasi mitigazione a livello di server sarà insufficiente poiché il collo di bottiglia si verificherà a monte del dispositivo di destinazione.

In che modo Cloudflare mitiga gli attacchi UDP flood?

Per mitigare il traffico di attacco UDP prima che raggiunga il suo obiettivo, Cloudflare interrompe tutto il traffico UDP non correlato al DNS sul perimetro di rete. Poiché la rete Anycast di Cloudflare distribuisce il traffico web su numerosi datacenter, disponiamo di capacità sufficiente per gestire attacchi UDP flood di qualsiasi dimensione. Scopri di più sulla protezione da attacchi DDoS di Cloudflare.