Tipi di Attacchi DDoS Spiegati: L3, L4, L7, Amplificazione e Altro

Di Ingrid Haugen

Specialisti di Performance Marketing Revisionato da Senior Media Buyers

Pubblicato il 10 giugno 2026Aggiornato il 30 giugno 2026

Comprendere i diversi tipi di attacchi DDoS è fondamentale per costruire difese efficaci. Ogni tipo di attacco sfrutta vulnerabilità diverse, colpisce strati infrastrutturali differenti e richiede strategie di mitigazione specifiche. Un attacco che satura la tua larghezza di banda richiede una risposta completamente diversa da uno che esaurisce il pool di connessioni del tuo server web.

Questa guida esamina ogni categoria principale di attacchi DDoS, spiega come funziona ciascuna e individua le difese specifiche necessarie per fermarle.

Panoramica delle categorie di attacchi DDoS

Attacchi volumetrici (Layer 3)

Gli attacchi volumetrici mirano a consumare tutta la larghezza di banda disponibile tra il bersaglio e internet. Generano volumi di traffico massivi misurati in Gbps (gigabit al secondo) o Tbps (terabit al secondo).

UDP Flood

Invia un numero massivo di pacchetti UDP a porte casuali sul target. Il server deve verificare le applicazioni in ascolto su ogni porta e rispondere con ICMP "destination unreachable", consumando larghezza di banda e risorse di elaborazione. UDP è connectionless, il che rende facile falsificare gli IP di origine e difficile filtrare il traffico.

ICMP (Ping) Flood

Invia numeri schiaccianti di pacchetti ICMP echo request (ping). Il target deve elaborare ogni richiesta e inviare echo reply, consumando larghezza di banda e CPU. Noto anche come "Ping of Death" quando utilizza pacchetti sovradimensionati.

IP Fragmentation Flood

Invia pacchetti IP frammentati che il target deve riassemblare. Il processo di riassemblaggio consuma memoria e CPU. I frammenti sovrapposti possono mandare in crash i sistemi vulnerabili. Particolarmente efficace contro i firewall che devono riassemblare i pacchetti per l'ispezione.

Amplification Attacks

Gli amplification attack sfruttano server di terze parti per moltiplicare il traffico d'attacco. L'attaccante invia piccole richieste con un IP di origine falsificato (l'IP della vittima) a server vulnerabili. Questi server rispondono con risposte molto più grandi dirette verso la vittima.

Attacchi di Protocollo (Layer 4)

Gli attacchi di protocollo sfruttano debolezze nelle implementazioni dei protocolli di rete per esaurire le risorse del server: tabelle di connessione, firewall, load balancer e tracciamento dello stato della sessione.

SYN Flood

L'attacco di protocollo piu comune. Sfrutta l'handshake TCP a tre vie: l'attaccante invia milioni di pacchetti SYN con indirizzi IP sorgente falsificati. Il server risponde con SYN-ACK e attende l'ACK finale che non arrivera mai. Ogni connessione semi-aperta consuma memoria nella tabella delle connessioni del server finche non e piena, bloccando le connessioni legittime.

ACK Flood

Invia enormi volumi di pacchetti TCP ACK. Anche se il server puo determinare rapidamente che questi pacchetti ACK non appartengono a nessuna connessione attiva, l'elaborazione consuma comunque CPU. Particolarmente efficace contro i firewall stateful che devono tracciare ogni pacchetto rispetto alle loro tabelle di connessione.

RST Flood

Invia pacchetti TCP RST (reset) falsificati per terminare le connessioni attive tra il bersaglio e i suoi utenti legittimi. Se l'attaccante riesce a indovinare i parametri di connessione attivi, puo disconnettere gli utenti reali.

TCP Connection Flood

Completa handshake TCP completi, stabilendo migliaia di connessioni che non vengono mai utilizzate. A differenza dei flood SYN, queste sono connessioni complete che superano le difese dei cookie SYN. Ogni connessione consuma memoria del server e descrittori di file finche non vengono raggiunti i limiti.

Attacchi a Livello Applicativo (Layer 7)

Gli attacchi a livello applicativo sono i piu sofisticati e difficili da mitigare perche ogni richiesta appare legittima.

HTTP GET Flood

Invia enormi numeri di richieste HTTP GET al sito web bersaglio. Ogni richiesta e HTTP valida, rendendo difficile distinguerla dal traffico legittimo. Gli attaccanti prendono di mira pagine pesanti dal punto di vista delle risorse: pagine di ricerca, cataloghi di prodotti, contenuti dinamici che richiedono query al database.

HTTP POST Flood

Simile ai flood GET ma utilizza richieste POST, in genere rivolgendosi a moduli di accesso, endpoint di registrazione, moduli di contatto o API. L'elaborazione POST e generalmente piu intensiva in termini di risorse rispetto a GET, rendendo questo piu efficiente per richiesta.

Slowloris

Apre molte connessioni al bersaglio e invia richieste HTTP parziali molto lentamente, non completandole mai. Ogni connessione mantiene aperto un thread del server indefinitamente. Con abbastanza connessioni lente, il server esaurisce il suo pool di connessioni e non puo servire nuove richieste. Estremamente efficace contro i server Apache.

Slow POST (R.U.D.Y.)

"R U Dead Yet" - invia richieste HTTP POST con un header Content-Length legittimo ma trasmette i dati del corpo un byte alla volta, molto lentamente. Il server mantiene la connessione aperta in attesa del corpo completo, consumando un thread/worker per ogni richiesta lenta.

HTTP/2 Rapid Reset

Un attacco piu recente che sfrutta il multiplexing di stream di HTTP/2. L'attaccante apre e reimposta immediatamente stream ad alta velocita, forzando il server a elaborare ogni setup e teardown di stream. Scoperto in ottobre 2023, ha generato il piu grande attacco DDoS di quel momento con 398 milioni di richieste al secondo.

WordPress XML-RPC

Sfrutta la funzione di pingback di WordPress per amplificare gli attacchi L7. Gli attaccanti inviano richieste di pingback da migliaia di siti WordPress alla vittima, creando un flood L7 distribuito che sembra provenire da installazioni WordPress legittime.

Attacchi Multi-Vettore

Gli attacchi DDoS moderni raramente utilizzano un singolo vettore. Gli attaccanti sofisticati combinano contemporaneamente piu tipi di attacco:

• Volumetrico + L7: Amplificazione DNS per saturare la larghezza di banda insieme al flooding HTTP del server web
• SYN flood + Slowloris: Esaurire le tabelle di connessione mantenendo aperte le connessioni rimanenti
• Bombardamento a tappeto: Attacco su interi range di indirizzi IP con vettori variabili per aggirare le soglie di mitigazione per-IP
• Attacchi pulsanti: Raffiche brevi e intense che attivano e disattivano ripetutamente la mitigazione, causando instabilita

DDoS con riscatto (RDoS)

RDoS combina attacchi DDoS con estorsione. Gli attaccanti inviano una richiesta di riscatto (solitamente in criptovaluta) e minacciano un attacco DDoS sostenuto se il pagamento non viene effettuato. Alcuni gruppi dimostrano le loro capacita con un breve attacco iniziale prima di richiedere il pagamento.

Mitigazione per tipo di attacco

Esempi di attacchi reali

Costruire una protezione completa

Nessuna soluzione singola affronta tutti i tipi di attacco DDoS. Costruisci una difesa a strati:

1. Livello di rete: Hosting protetto da DDoS con rete anycast e centri di scrubbing per attacchi volumetrici e di protocollo
2. Livello CDN/Proxy: Cloudflare, Akamai o AWS Shield per assorbire e filtrare il traffico a livello globale
3. Livello applicativo: WAF regole per rilevare e bloccare i pattern di attacco L7
4. Rilevamento bot: Gestione bot con fingerprinting per attacchi L7 sofisticati
5. Rate limiting: Throttling intelligente per IP e per endpoint
6. Monitoraggio: Analisi del traffico in tempo reale con escalation automatica degli alert