Bloccato l'attacco DDoS più grande di sempre: 7,3 Tbps AmmassiIT

Tempo di lettura: 3 minuti

🚨 Attacco DDoS da record: 7,3 Tbps bloccati da Cloudflare

Nel maggio 2025, Cloudflare ha sventato il più potente attacco DDoS mai registrato, con un picco di 7,3 terabit al secondo e oltre 37 terabyte di dati generati in appena 45 secondi. Ecco cosa è successo:

📊 Dimensioni e impatto

Volume di traffico: 37,4 TB in 45 secondi — l’equivalente di oltre 9.000 film in HD
Indirizzi IP coinvolti: più di 122.000 da 161 Paesi
Tecnica usata: “carpet bombing” con pacchetti UDP su migliaia di porte simultaneamente

🧠 Tecnologie di difesa

Mitigazione automatica: Nessun intervento umano necessario grazie alla rete anycast di Cloudflare (477 data center in 293 località)
Filtraggio avanzato: Utilizzo di eBPF per creare regole difensive dinamiche a livello kernel
Fingerprinting e gossiping: Tecniche interne per condividere rapidamente informazioni tra data center

🕵️‍♂️ Origine e vettori dell’attacco

Botnet Mirai: Dispositivi IoT compromessi come base dell’attacco
Protocolli obsoleti: QOTD, Echo, NTP, Portmap, RIPv1 usati per riflessione e amplificazione
Paesi principali di origine: Brasile, Vietnam, Cina, Indonesia

🔥 Tendenze preoccupanti

Gli attacchi DDoS stanno diventando più brevi, intensi e sofisticati
Cresce l’uso di macchine virtuali al posto delle botnet IoT tradizionali
Anche settori come l’agricoltura entrano nella top 10 dei più colpiti

Nel maggio 2025, Cloudflare ha sventato un attacco DDoS da record mondiale, con un picco di 7,3 terabit al secondo e 37,4 terabyte di dati generati in soli 45 secondi. Ecco i dettagli più rilevanti:

⚔️ Caratteristiche dell’attacco

Durata: 45 secondi
Volume di dati: 37,4 TB — l’equivalente di 9.350 film in Full HD
Tecnica usata: “Carpet bombing” con pacchetti UDP su oltre 21.000 porte al secondo
Protocolli sfruttati: QOTD, Echo, NTP, Portmap, RIPv1 (riflessione e amplificazione)
Botnet coinvolte: Mirai e DemonBot, basate su dispositivi IoT compromessi

🌍 Origine e diffusione

Indirizzi IP coinvolti: oltre 122.000 da 161 Paesi
Principali fonti di traffico: Brasile, Vietnam, Cina, Indonesia, Ucraina

🛡️ Difesa e mitigazione

Rete Anycast: 477 data center in 293 città globali
Tecnologie usate: eBPF per regole dinamiche a livello kernel, fingerprinting e gossiping tra data center
Risultato: Mitigazione automatica, nessun intervento umano necessario

📈 Tendenze emergenti

Gli attacchi DDoS stanno diventando più brevi, intensi e sofisticati
Cresce l’uso di macchine virtuali al posto delle botnet IoT tradizionali
Anche settori come l’agricoltura entrano nella top 10 dei più colpiti

🔐 Come funziona eBPF nella mitigazione degli attacchi DDoS

La tecnologia eBPF (Extended Berkeley Packet Filter), combinata con XDP (eXpress Data Path), rappresenta una delle soluzioni più avanzate per contrastare gli attacchi DDoS in tempo reale. Ecco come funziona:

⚙️ Cos’è eBPF + XDP

eBPF consente di eseguire programmi personalizzati direttamente nel kernel Linux, senza modificarlo.
XDP permette di intercettare e processare i pacchetti prima che raggiungano lo stack di rete, direttamente a livello della scheda di rete (NIC).

🛡️ Meccanismo di difesa contro DDoS

Monitoraggio per IP sorgente: eBPF mantiene una mappa hash con il conteggio dei pacchetti ricevuti da ogni IP.
Rate limiting dinamico: se un IP supera una soglia (es. 250 pacchetti/sec), i pacchetti vengono bloccati immediatamente.
Tempo di reazione: tutto avviene in nanosecondi, riducendo al minimo la latenza e il carico sulla CPU.

📈 Vantaggi principali

Caratteristica	Beneficio
Bassa latenza	I pacchetti vengono filtrati al volo
Alto throughput	Gestione di milioni di pacchetti/sec
Filtraggio dinamico	Regole aggiornabili in tempo reale
Controllo fine	Drop, redirect o limitazione selettiva

🧪 Esempio pratico

Un programma eBPF può:

Tracciare il numero di pacchetti per IP in una finestra temporale di 1 secondo
Bloccare automaticamente gli IP che superano la soglia
Aggiornare le regole senza riavviare il sistema

🧠 Sfide e considerazioni

Compatibilità hardware: non tutte le NIC supportano XDP
Sicurezza del codice: eBPF deve essere verificato per evitare vulnerabilità
Curva di apprendimento: richiede competenze avanzate in kernel e networking

Ecco un esempio pratico di codice eBPF con XDP per mitigare attacchi DDoS, come quelli basati su flood UDP o SYN. Questo programma limita il numero di pacchetti per IP sorgente a 250 al secondo, bloccando quelli che superano la soglia.

🧾 Codice eBPF in C per mitigazione DDoS

🛠️ Come usarlo