Un attacco DDoS (Distributed Denial-of-service) è un tentativo malevolo di interrompere il normale traffico di un server, di un servizio o di una rete presi di mira sommergendo il bersaglio o l'infrastruttura circostante con un flusso di traffico Internet. Gli attacchi DDoS raggiungono l'efficacia utilizzando più sistemi informatici compromessi come fonti di traffico d'attacco.

Un attacco DDoS implica che un utente malintenzionato acquisisca il controllo di una rete di macchine online. Computer e altre macchine vengono infettati da malware, che li trasformano in bot. L'aggressore ha quindi il controllo remoto sul gruppo di bot (chiamato botnet). L'utente malintenzionato può quindi dirigere le macchine inviando istruzioni aggiornate a ciascun bot utilizzando un telecomando.

Vettori di attacco DdoS (Distributed Denial-of-Service) diversi prendono di mira vari componenti di una connessione di rete. Una connessione di rete su Internet è composta da molti componenti o “livelli” diversi. Come nella costruzione di una casa, ogni fase del modello ha uno scopo diverso. Il modello OSI è un framework concettuale utilizzato per descrivere la connettività di rete in sette livelli distinti.

La mitigazione di un attacco DDoS multi-vettore richiede varie strategie per contrastare traiettorie diverse. Più l’attacco è complesso, più è difficile separarsi dal traffico normale: l’obiettivo dell’aggressore è quello di "mimetizzarsi" il più possibile. Per superare un complesso tentativo di interruzione, una soluzione a più livelli darà il massimo vantaggio. 

Un web application firewall (WAF) aiuta a proteggere le applicazioni web filtrando e monitorando il traffico HTTP tra un'applicazione web e Internet. Implementando un WAF davanti a un'applicazione web, viene posizionato uno scudo tra l'applicazione web e Internet. Un WAF protegge il server dall'esposizione facendo passare i client attraverso il WAF prima di raggiungere il server.

Un WAF che opera in base a una blacklist (modello di sicurezza negativo) protegge dagli attacchi conosciuti. Al contrario, un WAF basato su una whitelist (modello di sicurezza positivo) consente solo il traffico che è stato già approvato in precedenza. Sia le blacklist che le whitelist presentano pro e contro, motivo per cui molti WAF offrono un modello di sicurezza ibrido, che implementa entrambe.

Un Content Delivery Network (CDN) si riferisce a un gruppo di server geograficamente distribuiti che lavorano insieme per fornire una consegna rapida di contenuti Internet. Un CDN trasferisce rapidamente gli asset necessari per caricare i contenuti Internet. La popolarità dei servizi CDN continua a crescere e oggi la maggior parte del traffico web viene servita tramite CDN.

Per migliorare la velocità e la connettività, un CDN posizionerà i server nei punti di scambio tra diverse reti. Questi punti di scambio Internet (IXP) sono i luoghi principali in cui i diversi fornitori di Internet si collegano per fornirsi reciprocamente l'accesso al traffico proveniente dalle loro diverse reti.

Nel caso di siti web che caricano contenuti, gli utenti abbandonano rapidamente quando il sito rallenta. La natura distribuita a livello globale di una CDN significa una distanza ridotta tra gli utenti e le risorse del sito web. Invece di doversi connettere al luogo dove si trova il server di origine di un sito web, ovunque esso sia, un CDN consente agli utenti di connettersi a un data center geograficamente più vicino. Meno tempo di percorrenza significa un servizio più veloce.

Il DNS (Domain Name System) è la rubrica telefonica di Internet. Le persone accedono alle informazioni online tramite nomi di dominio, come nytimes.com o espn.com. I browser web interagiscono tramite indirizzi IP (Internet Protocol). DNS traduce i nomi di dominio in indirizzi IP in modo che i browser possano caricare risorse Internet.

La risoluzione DNS comporta la conversione di un nome host (ad esempio ibm.com/it-it) in un indirizzo IP leggibile dal computer (ad esempio 192.168.1.1). A ogni dispositivo collegato a Internet viene assegnato un indirizzo IP utilizzato per trovare il dispositivo. Quando si carica una pagina web, ciò che un utente digita nel campo dell'indirizzo del browser viene tradotto nell'indirizzo IP necessario per individuare quella pagina web.

Il risolutore DNS rappresenta la prima tappa della ricerca nel DNS, ed è responsabile di interfacciarsi con l'utente che ha effettuato la richiesta iniziale. Il risolutore, in altre parole, avvia la sequenza di query che si conclude con la traduzione di un URL nell'indirizzo IP necessario.