Flood di Rete Diretto: Direct Network Flood (T1498.001)
La tecnica T1498.001 - Direct Network Flood appartiene alla tattica TA0040 (Impact) del framework MITRE ATT&CK e descrive un attacco di negazione del servizio in cui l'avversario invia direttamente un volume elevato di traffico di rete verso il bersaglio, saturando banda, stack di rete o risorse dell'applicazione esposta.
A differenza degli attacchi che sfruttano amplificazione riflessa, qui il traffico proviene direttamente dai nodi controllati dall'attaccante — tipicamente botnet distribuite su scala globale — e può usare praticamente qualsiasi protocollo. I flood UDP e ICMP dominano per la loro natura stateless che consente rate di pacchetti molto elevati, mentre i flood TCP SYN sfruttano l'asimmetria del three-way handshake per esaurire le tabelle di connessione.
L'impatto operativo si manifesta su tre piani: saturazione della capacità del link upstream (misurata in Gbps o Tbps nei casi peggiori), esaurimento delle risorse di stato su firewall, load balancer e server (packet per second, connessioni concorrenti), e degrado indiretto dei servizi collaterali che condividono infrastruttura. Casi storici come la campagna del 2012 contro le principali banche statunitensi hanno dimostrato come flood distribuiti possano rendere indistinguibile il traffico malevolo da quello legittimo, richiedendo mitigazioni upstream presso ISP o CDN specializzati. La preparazione di un piano di continuità operativa con contatti pre-negoziati con provider di mitigazione DDoS è quindi parte integrante della difesa.
In un contesto red team autorizzato, la simulazione di un Direct Network Flood richiede ambienti di laboratorio isolati o accordi contrattuali espliciti con il cliente e con l'hosting provider, perché il traffico generato può danneggiare infrastruttura di terzi. Nessuno degli strumenti seguenti va puntato su asset di produzione senza autorizzazione scritta e finestra di test concordata.
Su Linux, lo strumento storico è hping3 (open source), che consente di costruire pacchetti arbitrari a livello TCP/UDP/ICMP. Per un SYN flood in laboratorio verso un target isolato:
sudo hping3 -S -p 80 --flood --rand-source 10.10.10.50
Il flag --flood invia pacchetti al massimo rate possibile, mentre --rand-source randomizza l'IP sorgente per simulare distribuzione. Per un UDP flood verso una porta specifica si usa sudo hping3 --udp -p 53 --flood 10.10.10.50. Un ICMP flood richiede sudo hping3 --icmp --flood 10.10.10.50.
Altri strumenti utili in ambiente controllato sono iperf3 (open source) per stress test legittimi di banda tramite iperf3 -c
Per esercizi red team di scala maggiore che simulano botnet, framework come MHDDoS (open source) supportano decine di metodi di flood; il loro uso è appropriato solo in cyber range completamente segregati.
La catena d'attacco tipica prevede tre fasi. Prima, ricognizione della superficie esposta con Nmap per identificare servizi critici e valutare la banda del link target (utile nmap -sS -p- --min-rate 1000
Ogni sessione va accompagnata da metriche baseline pre-test, monitoraggio in tempo reale del target e un kill switch immediato. Il report finale deve documentare rate raggiunti, tempo al primo degrado percepibile e comportamento delle mitigazioni.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.