Quali sono i livelli della difesa DDoS e cosa gestisce ciascuno?

Question

Accepted Answer

La difesa DDoS è **difesa in profondità**: nessun singolo controllo ferma ogni attacco, quindi si sovrappongono livelli che assorbono, filtrano o bloccano una diversa classe di traffico. L'ordine è importante — cerca di spostare il più possibile del lavoro ai margini, lontano dall'origine.

## I livelli, dal bordo verso l'interno

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — il livello più esterno. Con **anycast**, lo stesso IP viene annunciato da molti punti di presenza, quindi un'inondazione volumetrica viene **distribuita su una capacità globale** invece di un singolo data center. I centri di pulitura assorbono l'inondazione e inoltrano solo il traffico pulito.
- **WAF (Web Application Firewall)** — ispeziona le richieste HTTP e blocca i modelli dannosi: firme non valide, user agent sospetti, IP cattivi noti e **inondazioni di Layer 7** che imitano richieste reali.
- **Rate limiting** — limita le richieste per IP, chiave API o utente in una finestra temporale, restituendo `429 Too Many Requests`. Ferma i client abusivi senza danneggiare quelli normali.
- **Upstream / ISP blackhole (null-route)** — il ricorso estremo per il volume grezzo. Il provider scarta tutto il traffico verso l'IP bersaglio (**remotely-triggered blackhole, RTBH**), sacrificando quel singolo IP per proteggere tutto il resto.
- **Autoscaling + overprovisioning** — capacità di origine extra per **assorbire** ciò che trapela, guadagnando tempo mentre gli altri livelli si attivano.

## Come funzionano insieme

Il modello mentale è **assorbi -> filtra -> blocca**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Gli attacchi volumetrici muoiono al livello CDN/scrubbing; gli attacchi di livello applicativo che sembrano traffico reale vengono filtrati da WAF e rate limiter.

## Perché è importante

Affidarsi a un solo livello fallisce in modo prevedibile: un WAF non può fermare un'inondazione di 1 Tbps (il condotto si satura per primo), e un CDN da solo passerà felicemente un'inondazione HTTP furba verso la tua origine. L'uso di livelli significa che ogni classe di attacco incontra un controllo progettato per essa, e l'origine vede solo il traffico che i livelli esterni non potevano gestire da soli.