42.1 KB · ⇊ 12 parts · ⤓ Micron 42.1 KB · ⤓ HTML 67.5 KB

top

mwbwDenial of service, nel campo della mwcasicurezza informatica, indica un malfunzionamento dovuto a un mwcqattacco informatico (abbreviato mwcgattacco DoS, mwcwlett. "attacco di diniego del servizio") in cui si fanno esaurire deliberatamente le mwdarisorse di un mwdqsistema informatico che fornisce un servizio ai mwdgclient, ad esempio un mwdwsito web su un mweaserver web, fino a renderlo non più in grado di erogare il servizio ai client richiedenti.cite-ref-1[1]cite-ref-2[2]

In un mwggattacco distribuito di negazione del serviziocite-ref-3[3] (mwhwin inglese mwiaDistributed Denial of Service abbreviato in mwiqDDoS), il traffico dei dati in entrata che inonda la vittima proviene da molte fonti diverse. L'esempio in analogia è quello di un gruppo di persone che affollano la porta d'ingresso o il cancello di un negozio o di un'azienda, e non consentendo alle parti legittime di entrare nel negozio o nel business, interrompono le normali operazioni. Ciò rende effettivamente impossibile fermare l'attacco semplicemente bloccando una singola fonte.

Oltre al senso primario di mwiwdenial of service come azione deliberata ci si può riferire ad esso come azione accidentale, in seguito per esempio ad una errata configurazione,cite-ref-4[4]cite-ref-5[5] o come nel caso dell'mwlaeffetto Slashdot.cite-ref-6[6]

• Storia

• Descrizione

• Tassonomia dell'attacco

• Sintomi

• Tipi di attacco

• Attacchi portati da un singolo host

• Syn-Flood

• Smurf

• R-U-Dead-Yet? (RUDY)

• DDoS a scopo di estorsione

• Attacchi da più host

• DDoS

• DRDoS

• Possibili soluzioni

• Altri dispositivi di protezione da attacchi DoS e DDoS

• Filtraggio dei Dati in arrivo

• Limitazione del Traffico

• Sistemi di riconoscimento delle intrusioni (IDS)

• Sistemi di prevenzione delle intrusioni (IPS)

• Esempi di attacchi DoS

• Note

• Bibliografia

• Voci correlate

• Altri progetti

• Collegamenti esterni

Alcune testimonianze mostrano che la prima dimostrazione di attacco DoS è stata fatta da Khan C. Smith nel 1997 durante un evento DEF CON che ha interrotto l'accesso a Internet alla mwnqLas Vegas Strip per oltre un'ora. Il rilascio del codice di esempio durante l'evento ha portato all'attacco online di mwngSprint, mwnwEarthLink, mwoaE-Trade e altre grandi aziende nell'anno a seguire.cite-ref-7[7]

Gli attacchi vengono abitualmente attuati inviando molti pacchetti di richieste, di solito ad un mwpwserver web, mwqaFTP o di mwqqposta elettronica saturandone le risorse e rendendo tale sistema "instabile" e non disponibile agli altri utenti. Qualsiasi sistema collegato ad mwqgInternet e che fornisca servizi di rete basati sul mwqwTCP è quindi soggetto al rischio di attacchi DoS. Inizialmente questo tipo di attacco veniva attuato da "mwracracker", come gesto di dissenso etico nei confronti dei siti web commerciali e delle istituzioni.

Gli attacchi DoS hanno la connotazione decisamente più "criminale" di impedire agli utenti della rete l'accesso ai siti web vittime dell'attacco. Per rendere più efficace l'attacco in genere vengono utilizzati molti computer inconsapevoli, detti mwrgmwrwzombie, sui quali precedentemente è stato inoculato un programma appositamente creato per attacchi DoS e che si attiva ad un comando proveniente dal mwsamwsqcracker creatore. Se il programma maligno si è diffuso su molti computer, può succedere che migliaia di PC violati da un mwsgcracker, ovvero una mwswmwtabotnet, producano inconsapevolmente e nello stesso istante un flusso incontenibile di dati che travolgeranno come una valanga anche i mwtqlink più capienti del sito bersaglio.

Non solo i sistemi server possono essere vittime di un attacco DoS ma anche semplici utenti e mwtwclient, sebbene questi attacchi siano molto meno frequenti e di nessun interesse per i cosiddetti mwuacracker.

La probabilità sempre minore di incontrare sistemi veramente vulnerabili ha fatto sì che siano diminuiti gli attacchi DoS più eclatanti, però si è scoperta un'estrema vulnerabilità della rete per l'aumento costante della potenza operativa degli attuali mwugpersonal computer e dell'accesso ad Internet tramite i mwuwsistemi DNS. L'implementazione del protocollo mwvaTCP/IP, che non garantisce particolare sicurezza sull'identificazione dei mittenti di pacchetti ma anzi ne protegge l'anonimato, può essere sfruttata per mascherarne la vera provenienza.

Trattandosi di connessioni apparentemente legittime, è impossibile bloccarle senza interrompere anche il flusso realmente inoffensivo. Però, limitando drasticamente il numero di sessioni aperte simultaneamente, l'impatto dell'attacco si riduce considerevolmente senza limitare il flusso dei pacchetti regolari. Anche limitando il discorso al blocco di un sito web esistono, e sono stati utilizzati, parecchi modi di ottenere questo risultato.

Di solito gli attacchi DoS possono essere sfruttati per richiedere un riscatto, come preludio di un altro attacco (magari bloccando un servizio di difesa o addirittura il servizio stesso per sostituirlo con uno falso), come atti vandalici o come una forma di protesta (mwvwHacktivism).

Lo scopo di questo attacco è saturare la backlog queue con richieste di attivazione di un servizio (TCP SYN settato) oltre la scadenza dei relativi mwwwtimeout e non consentendo alla vittima di completare il mwxa3-way handshake; in questo modo non sarà in grado di gestire i mwxqSYN leciti a cui verrà negato il servizio.

Lo mwyaUnited States Computer Emergency Readiness Team (mwygUS-CERT) ha identificato i seguenti sintomi di un attacco denial-of-service:cite-ref-8[8]

• prestazioni di rete insolitamente lente (apertura di file o accesso a siti Web);

• indisponibilità di un determinato sito web;

• incapacità di accedere a qualsiasi sito web;

• drammatico aumento del numero di e-mail di spam ricevute (questo tipo di attacco DoS viene detto "mwbamwbqmail bombing").

Ulteriori sintomi possono includere:

• disconnessione di una connessione internet wireless o cablata;

• negazione a lungo termine dell'accesso al Web o di qualsiasi servizio Internet.

Se l'attacco viene condotto su una scala sufficientemente ampia, intere regioni geografiche connesse ad Internet possono essere compromesse senza la conoscenza o l'intento dell'aggressore da parte di apparecchiature dell'infrastruttura di rete configurate in modo errato o inconsistenti.

• Attacco diretto: l'attaccante interagisce direttamente con la vittima. In questo caso l'attaccante si dice mwdgreale e la vittima si dice di mwdwprimo livello.

• Attacco indiretto: l'attaccante sfrutta terze parti per colpire la vittima. In questo caso l'attaccante si dice mweqriflesso, le terze parti si dicono vittime di mwegsecondo livello e la vittima finale si dice vittima di mwewprimo livello.

Questi tipi di attacco, provenendo da un'unica fonte, sono potenzialmente rintracciabili.

Storicamente il mwgaSyn-Flooding rappresenta il capostipite degli attacchi DoS, che trova le sue dirette radici nel mwgqPing of Death. Il termine mwggSyn Flooding, letteralmente tradotto con "inondazione di pacchetti di tipo Syn", nasce dal fatto che tutte le volte che un utente fa clic su un mwgwcollegamento ipertestuale di una pagina web richiede l'apertura di una connessione (di tipo mwhaTCP) verso quel sito; questo avviene seguendo una serie di passi, il primo dei quali consiste nell'invio di un pacchetto TCP che richiede l'apertura di una connessione.

Tutte le regole di funzionamento del protocollo TCP esigono che il sistema risponda allocando alcune risorse (in pratica memoria) per la connessione. Programmando opportunamente un semplice mwhgPC, è possibile richiedere l'apertura di diverse migliaia di connessioni al secondo, che "inondando" il mwhwserver e ne consumano rapidamente tutta la memoria, bloccandolo o mandandolo in mwiacrash.

Il punto debole di questo tipo di attacco è che il mwigcomputer attaccante deve essere in grado di mandare il flusso di pacchetti attraverso la connessione ad mwiwInternet fino al server attaccato.

Diversamente, l'utente malintenzionato deve poter fornire delle "credenziali" di accesso valide per usufruire della vulnerabilità insorta nel mwjqsistema operativo e portare a termine, efficacemente, l'attacco al sito bersaglio.

I pacchetti dannosi predisposti con un mwjwindirizzo IP falsificato (cioè modificato rispetto a quello originale), procureranno al computer "vulnerabile" una situazione temporanea di mwkaDenial of Service; tuttavia, poiché le connessioni che sono normalmente disponibili sono lente per tutti (per soggetti ben intenzionati così come per soggetti malintenzionati), questo tipo di attacco diventa impraticabile, nel senso che non dà il risultato atteso (cioè appunto la congestione del server)

Un esempio potrebbe essere il seguente: l'attaccante invia una serie di richieste alla sua vittima e la macchina mwkgserver, sulla quale vengono eseguiti dei servizi, non sarà in grado di gestire tutte le richieste e i servizi stessi andranno in crash, risultando prima molto rallentati e poi, successivamente, inaccessibili. In questa maniera, un utente qualunque non sarà in grado di accedere ai servizi, ricevendo un errore di richiesta scaduta o timeout.

L'attacco mwlqSyn-Flood usa strumenti che rientrano nella categoria Tribe Flood Network (TFN) ed agisce creando delle connessioni che si rivelano aperte a metà.

Il protocollo classico usato nei DoS è l'mwmaICMP (usato soprattutto negli attacchi Ping): inviandone a milioni si riuscirà a bloccare l'operatività di qualunque sito Internet, ma trattandosi di un modello di attacco "uno a uno", ad un pacchetto in uscita corrisponderà la ricezione di un solo pacchetto al sistema attaccato.

Occorrerà quindi che i cracker possano disporre di un gran numero di PC client "controllati", anche se non è così facile "inoculare" il codice maligno in un numero tanto elevato di macchine, grazie all'azione specifica di mwmgantivirus, mwmwmwnapatch di sicurezza e tecnici informatici.

Una modalità di attacco più sofisticata, detta mwnwSmurf attack, utilizza un flusso di pacchetti modesto, in grado di passare attraverso una normale connessione via mwoamodem, ed una rete esterna (evidentemente mal configurata) che agisce da moltiplicatore di pacchetti, i quali si dirigono infine verso il bersaglio finale lungo linee di comunicazione ad alta velocità.

Tecnicamente, vengono mandati uno o più pacchetti di mwogbroadcast verso una rete esterna composta da un numero maggiore possibile di mwowhost e con l'indirizzo mittente che punta al bersaglio (mwpabroadcast storm).

Ad esempio può venir usata una richiesta echo mwpgICMP (mwpwInternet Control Message Protocol), precedentemente falsificata da chi attua materialmente l'attacco informatico.

Si noti che questo tipo di attacco è possibile solo in presenza di reti che abbiano grossolani errori di configurazione dei sistemi (nello specifico nella configurazione dei mwqqmwqgrouter) che le collegano tra loro e con Internet.

L'attacco RUDYcite-ref-9[9] ha l'obiettivo di colpire le mwsqapplicazioni Web portando all'inattività delle sessioni rese disponibili dal server. Proprio come mwsgSlowloris, RUDY mantiene le sessioni interrotte utilizzando dei POST senza fine e inviando degli header con un contenuto arbitrariamente grande.

Nel 2015, le botnet DDoS come DD4BC sono cresciute diventando sempre più importanti, prendendo di mira le istituzioni finanziarie.cite-ref-10[10] Gli estorsori cibernetici di solito iniziano con un attacco di basso livello e un avvertimento che un attacco più grande sarà eseguito se un riscatto non verrà pagato in mwuqBitcoin.cite-ref-11[11] Gli esperti di sicurezza raccomandano di non pagare mai il riscatto poiché gli aggressori tendono a entrare in un regime estorsivo esteso una volta che riconoscono che l'obiettivo è pronto a pagare.cite-ref-12[12]

In questi attacchi il bersaglio viene attaccato contemporaneamente da più fonti, rendendo difficile rintracciare l'attaccante originario.

Una variante di tale approccio è il mwxgDDoS (mwxwDistributed Denial of Service), dal funzionamento identico ma realizzato utilizzando numerose macchine attaccanti che insieme costituiscono una mwyabotnet.

Naturalmente gli attaccanti tendono a non esporsi direttamente, in questo caso per le forze dell'ordine sarebbe infatti semplice risalire ai computer utilizzati per l'attacco. Per evitare di essere individuati, gli attaccanti infettano preventivamente un numero elevato di computer con dei mwygvirus o mwywworm che lasciano aperte delle mwzabackdoor a loro riservate, anche per avere a disposizione un numero sufficiente di mwzqcomputer per l'attacco. I computer che sono controllati dall'attaccante vengono chiamati mwzgzombie.

Tutti i computer infettati entrano a far parte di una mw0abotnet, a libera disposizione dell'attaccante. Una nota interessante è data dalla distinzione tra le macchine che eseguono un Sistema Operativo mw0qWindows (definiti, in gergo, mw0grxbot) e quelle che invece eseguono un sistema mw0wUnix, particolarmente adatte all'UDP Flooding (Flooding sul protocollo UDP).

Una particolarità degli mw1gzombies Windows è data dalla possibilità, per l'attaccante, di programmare un trojan - cit. cavallo di Troia - in grado di diffondersi automaticamente a tutta una serie di contatti presenti sul computer infettato (contenuti nella rubrica degli indirizzi e quelli di programmi di mw1wmessaggistica istantanea come mw2aMicrosoft Messenger) permettendo così al computer zombie di infettare, in maniera completamente autonoma, altre macchine che, a loro volta, diverranno parte della botnet dell'attaccante. Questa viene definita, in gergo, funzione di mw2qauto-spreading.

Quando il numero di mw2wzombies è ritenuto adeguato, o quando viene a verificarsi una data condizione, i computer infetti si attivano e sommergono il mw3aserver bersaglio di richieste di connessione. Con l'avvento della mw3qbanda larga il fenomeno dei DDoS sta assumendo proporzioni preoccupanti, dato che attualmente esistono milioni di persone dotate di una connessione ad mw3gInternet molto veloce e permanente, ma con scarse o nulle conoscenze e contromisure riguardanti la mw3wsicurezza informatica.

Il danno maggiore dell'attacco di tipo DDoS è dovuto principalmente alla "asimmetria" che si viene a creare tra "la" richiesta e le risposte correlate in una sessione DNS (mw4qDomain Name System). Il flusso enorme di risposte generato provocherà nel sistema una tale "inondazione" di traffico, rendendo il mw4gserver inadeguato alla gestione delle abituali funzioni on-line.

Inoltrando al sito preso di mira una risposta di alcuni mw5aKilobyte per ogni richiesta contenente solo pochi mw5qbyte, si ottiene un'amplificazione esponenziale tale da saturare i canali dati più capienti, raggiungendo con il DDoS livelli finora inattuabili con gli altri tipi di attacco DoS.

Le configurazioni predefinite e quelle "consigliate" di mw5wFirewall, si rivelano utili a contrastare solo gli "attacchi" sferrati dall'esterno, ad esempio di un'azienda, ma poiché il traffico in mw6arete gestito tramite sistema mw6qDNS è vitale, per fronteggiare questo tipo di attacco non si potranno attuare le stesse strategie impiegate nei confronti degli attacchi ai mw6gPing. Di conseguenza, il Network manager dovrà tenere scrupolosamente sotto controllo e monitoraggio i canali di flusso dati e, per escludere l'intervento o contrastare l'azione di un cracker, riconfigurerà il DNS responsabile del sito.

Una particolare categoria di DDoS è il cosiddetto mw7qDistributed Reflected Denial of Service (mw7gDRDoS). In questa particolare tipologia di attacco, il computer attaccante produce delle richieste di connessione verso server con connessioni di rete molto veloci utilizzando come indirizzo di provenienza non il proprio bensì quello del bersaglio dell'attacco. In questo modo i server risponderanno affermativamente alla richiesta di connessione non all'attaccante ma al bersaglio dell'attacco. Grazie all'effetto moltiplicatore dato dalle ritrasmissioni dei server contattati, che a fronte della mancanza di risposta da parte del bersaglio dell'attacco (apparentemente l'iniziatore della connessione) provvederanno a ritrasmettere (fino a 3 volte solitamente) il pacchetto immaginandolo disperso, si entrerà così in un circolo vizioso che vedrà rapidamente esaurirsi le risorse del bersaglio.

Quest'ultimo tipo di attacco è particolarmente subdolo perché, a causa della natura delle risposte, è difficilmente schermabile dall'utente comune: infatti, se si filtrassero le risposte dei server, verrebbe compromessa la funzionalità stessa della connessione di rete impedendo, di fatto, la ricezione anche delle informazioni desiderate. Le risposte dei server, sollecitate dall'attaccante, sono infatti indistinguibili da quelle generate da una richiesta legittima della vittima. Il problema si sta presentando con maggiore incidenza da quando mw8aMicrosoft ha deciso di rendere le "Raw Sockets", interfacce di accesso al mw8qTCP/IP, facilmente disponibili. Le RAW Sockets permettono appunto di cambiare l'indirizzo di provenienza del pacchetto per sostituirlo con quello della vittima, fatto che è strumentale per questo tipo di attacco.

Uno dei più classici attacchi mw9areflected è l'ACK attack. In questo caso l'attaccante genera un pacchetto mw9qTCP SYN verso il mw9greflector (in questo caso un server TCP, ad es. un server Web). Quest'ultimo risponde con un pacchetto SYN/ACK, per stabilire la connessione secondo il protocollo. La vittima verrà quindi inondata di pacchetti TCP fuori sequenza provenienti da un server web "pulito".

Questo attacco è particolarmente insidioso perché non c'è modo di distinguere i SYN contraffatti (mw-amw-qspoofed) dai SYN reali e quindi non c'è modo, per il mw-greflector, di proteggersi. La vittima può invece proteggersi con un mw-wfirewall che sia mw-astateful, che sia cioè in grado di scartare i pacchetti TCP fuori sequenza.

Soluzioni che rispettano lo standard:

• Dimensionare dinamicamente la mwaqeBacklog Queue;

• Diminuire il TTL per le richieste in attesa (mwaqmHalf Open Connection).

Soluzioni che non rispettano lo standard:

• Scartare TCP SYN casualmente;

• Inserire le richieste solo al completamento del mwaqg3-Way Handshake (alla ricezione dellmwaqk'mwaqomwaqsACK finale).

Implementare i filtri che presiedono all'ingresso, nei propri mwaq8router e mwarafirewall, dei pacchetti contenenti informazioni sulla provenienza dei dati alterati (cioè mwarespoofed); non si otterrà un arresto dell'attacco DoS ma si potrà ricostruire il flusso di traffico qualificato come "malevolo" in tempi relativamente brevi, per consentire la reazione difensiva degli mwariInternet service provider (anti mwarmspoofing).

Nel caso di un semplice attacco, un mwaryfirewall potrebbe avere una semplice regola aggiunta per negare tutto il traffico in arrivo dagli aggressori, in base a protocolli, porte o indirizzi IP di origine.

È tuttavia difficile bloccare attacchi più complessi con regole semplici: ad esempio, se è in corso un attacco sulla porta 80 (servizio Web), non è possibile eliminare tutto il traffico in ingresso su questa porta, poiché così facendo si impedirà al server il servizio di traffico legittimocite-ref-13[13]. Inoltre, i firewall potrebbero essere troppo profondi nella gerarchia della rete, con i router influenzati negativamente prima che il traffico raggiunga il firewall.

La maggior parte degli switch ha una capacità di limitazione della velocità e ACL. Alcuni switch forniscono limitazione della velocità e/o del sistema a livello automatico, mwar4traffic shaping, delayed binding (splicing TCP), mwasedeep packet inspection e Bogon filtering (filtro IP fasullo) per rilevare e correggere gli attacchi DoS.cite-ref-14[14]

Questi schemi funzioneranno finché gli attacchi DoS possono essere prevenuti usandoli. Ad esempio, è possibile prevenire il mwasgSYN Flood utilizzando il delayed binding o lo splicing TCP. Il filtro automatico della velocità può funzionare fino a quando sono state impostate correttamente le soglie di velocità.

Analogamente agli switch, i mwas0router hanno alcune funzionalità di limitazione della velocità e ACL. Anche loro sono impostati manualmente. La maggior parte dei router può essere facilmente sopraffatta da un attacco DoS. mwas4Cisco IOS ha caratteristiche opzionali che possono ridurre l'impatto delle inondazioni.cite-ref-15[15]

Molti router consentono, attualmente, di limitare la quantità di mwatubanda utilizzata per la fornitura di un servizio attraverso il "campionamento" e l'analisi dei pacchetti che vi transitano. In caso di attacco non resterà attiva una quantità di banda sufficiente a provocare un danno cospicuo o a bloccare il flusso legittimo dei mwatydati. Questa limitazione si otterrà ad esempio con l'utilizzazione di una macchina mwatcLinux che funga da mwatgGateway attraverso un'azione CAR (mwatkCommited Access Rate); verrà così bloccato un attacco DDoS che usi pacchetti mwatoICMP o TCP, mwatsSYN, poiché sarà considerevolmente limitata la banda utilizzabile da questi.

Si tratta di sistemi commerciali in grado di individuare Trinoo e TFN. Ad esempio l'FBI fornisce, gratuitamente, un prodotto definito mwat4Find DDoS in grado di scoprire i mwat8file system visti sopra, risultato dell'attacco Distributed Denial of Service. Attraverso tali sistemi di verifica (mwauaIntrusion Detection System) vengono individuati i malintenzionati che comunicano tramite mwaueslave, mwauiagent e mwaummaster, scoprendo se alcune delle macchine nella propria rete vengono usate, malignamente, come pedine per sferrare l'attacco. In particolare i mwauqNetwork Auditing Tools sono programmi che consentono la verifica e l'analisi della rete aziendale alla ricerca di eventuali agenti in grado di provocare un attacco di tipo DDoS.

I sistemi di prevenzione delle intrusioni (mwaucIPS) sono efficaci se agli attacchi sono associate delle "signature".

Un IPS basato su mwaukASIC può rilevare e bloccare gli attacchi denial-of-service perché possiede la potenza di elaborazione e la granularità per analizzare gli attacchi e agire come un mwauointerruttore automatico in modo automatico.

Un IPS basato sulla velocità (RBIPS - Rate Based IPS) deve analizzare il traffico in modo granulare, monitorare continuamente il modello di traffico e determinare se c'è un'anomalia del traffico. Deve consentire il flusso di traffico legittimo mentre blocca il traffico di attacco DoS.cite-ref-16[16]

• mwavmBomba a decompressione

• mwavuRabbit

cite-note-11. ↑ mwavwmwav0Rao,mwav4 p. 13.

cite-note-22. ↑ mwawi(mwawmmwawqEN) mwawumwawyMalware Protection Center - Glossary, su mwawcmicrosoft.com. mwawgURL consultato il 2 marzo 2013 mwawk(archiviato dall'mwawourl originale il 5 marzo 2013).

cite-note-33. ↑ mwaw4mwaw8mwaxaAttacco distribuito di negazione del servizio - Panorama delle minacce analizzato dall'ENISA (mwaxemwaxiPDF), mwaxmENISA, 2020.

cite-note-44. ↑ mwaxc(mwaxgmwaxkEN) mwaxomwaxsDenial of Service, su mwaxwf5.com. mwax0URL consultato il 2 marzo 2013.

cite-note-55. ↑ mwaye(mwayimwaymEN) Todd Lammle, Wade Edwards, Tom Lancaster, Justin Menga, Eric Quinn, Jason Rohm, Carl Timm, Bryant Tow, mwayqmwayuCCSP Complete Study Guide, John Wiley & Sons, 2006, p.mwayy 14, mwaycISBNmwayg 978-0-7821-5077-3.

cite-note-66. ↑ mway0(mway4mway8EN) Stacy Prowell, Rob Kraus, Mike Borkin, mwazamwazeSeven Deadliest Network Attacks, Elsevier, 2010, p.mwazi 21, mwazmISBNmwazq 978-1-59749-550-9.

cite-note-77. ↑ mwazk(mwazomwazsEN) mwazwmwaz05 Famous Botnets that held the internet hostage on TQA Weekly, su mwaz4TQA Weekly. mwaz8URL consultato il 7 gennaio 2018.

cite-note-88. ↑ mwaam(mwaaqmwaauEN) mwaaymwaacUnderstanding Denial-of-Service Attacks | US-CERT, su mwaagus-cert.gov. mwaakURL consultato il 10 gennaio 2018.

cite-note-99. ↑ mwaa0(mwaa4mwaa8EN) mwabamwaber-u-dead-yet, su mwabiSourceForge. mwabmURL consultato il 7 gennaio 2018.

cite-note-1010. ↑ mwabc(mwabgmwabkEN) mwabomwabsSecurity Blog by Cloudbric | Elite Full Service Website Security, in mwabwCloudbric. mwab0URL consultato il 9 gennaio 2018.

cite-note-1111. ↑ mwacemwacimwacmCyber-Extortionists Targeting the Financial Sector Are Demanding Bitcoin Ransoms, in mwacqBloomberg.com, 9 settembre 2015. mwacuURL consultato il 9 gennaio 2018.

cite-note-1212. ↑ mwack(mwacomwacsEN) mwacwmwac0Akamai warns of increased activity from DDoS extortion group, in mwac4SC Media UK, 14 settembre 2015. mwac8URL consultato il 9 gennaio 2018.

cite-note-1313. ↑ mwadm(mwadqmwaduEN) Paul Froutan, Rackspace Managed Hosting, mwadymwadcHow to defend against DDoS attacks, in mwadgmwadkComputerworld. mwadoURL consultato il 9 gennaio 2018.

cite-note-1414. ↑ mwad4Kiyuna and Conyers (2015), mwad8Cyberwarfare Sourcebook, mwaeaISBNmwaee 1329063945.

cite-note-1515. ↑ mwaeymwaecmehmet.suzen.googlepages.com, mwaeghttps://web.archive.org/web/20080910202908/http://mehmet.suzen.googlepages.com/qos_ios_dos_suzen2005.pdfmwaek Titolo mancante per url mwaeourlarchivio (aiuto). mwaewURL consultato il 9 gennaio 2018 mwae0(archiviato dall'mwae4url originale il 10 settembre 2008).

cite-note-1616. ↑ mwafmmwafqmwafuEcommercewisdom.com. mwafyURL consultato il 7 gennaio 2018.

• citerefdosmt(EN) Subramani Rao, Denial of Service attacks and mitigation techniques: Real time implementation with detailed analysis. URL consultato il 2 marzo 2013.

• mwaf0Amplification attack

• mwaf8Attacco informatico

• mwageCalcolo parassita

• mwagmBotnet

• mwaguNetstrike

• mwagcSicurezza informatica

Altri progetti

• Wikimedia Commons

• Wikimedia Commons contiene immagini o altri file sul denial of service

• citereftreccani-itDOS, su Treccani.it – Enciclopedie on line, Istituto dell'Enciclopedia Italiana.

• citerefbritannica-com(EN) Michael Aaron Dennis, denial of service attack, su Enciclopedia Britannica, Encyclopædia Britannica, Inc.

• citerefopen-library(EN) Opere riguardanti Denial of service attacks, su Open Library, Internet Archive.

• mwag4(EN) The World Wide Web Security FAQ - Securing against Denial of Service attacks, su w3.org.

• mwaha(EN) DDos Vs DDoS mitigation – the latest arms race, su infosecurity-magazine.com, 14 febbraio 2013.

• mwahiDoS e DDoS: strumenti e contromisure, su html.it, 9 agosto 2012.

• mwahq(EN) Digital Attack Map - Top daily DDoS attacks worldwide, su digitalattackmap.com.