Una botnet è una rete di computer, server, router, smartphone, dispositivi IoT o altri sistemi compromessi che possono essere controllati a distanza e fatti agire in modo coordinato. Il proprietario del dispositivo, in molti casi, non sa nemmeno che la propria macchina è diventata parte della rete.
Il punto da chiarire subito è che una botnet non è un virus e non è sinonimo di attacco DDoS. Il malware può essere il mezzo utilizzato per compromettere e controllare i dispositivi; la botnet è la rete che nasce dopo il loro arruolamento; il DDoS è soltanto uno dei possibili utilizzi di quella rete.
La definizione del CERT-AGID descrive infatti una botnet come un insieme di computer o dispositivi precedentemente compromessi da malware e controllabili da remoto da un soggetto terzo. Quei dispositivi possono poi essere utilizzati per inviare spam, sottrarre dati, distribuire altro malware, generare traffico verso un bersaglio o svolgere altre attività senza il consenso del proprietario.
Capire questa catena è più utile che memorizzare una definizione. Se vuoi difenderti devi infatti distinguere due problemi diversi: impedire che un tuo dispositivo diventi un bot e proteggere un sito o una rete dagli effetti prodotti da migliaia di bot che appartengono ad altri.
Cosa sono le botnet e perché sono pericolose
Il termine botnet nasce dall’unione di bot e network. Nel contesto della sicurezza informatica, un bot è un dispositivo compromesso che esegue istruzioni impartite dall’operatore della rete.
Un singolo computer infetto può essere dannoso. Una botnet aggiunge però una caratteristica decisiva: coordinamento su larga scala.
L’attaccante non deve più utilizzare personalmente una sola macchina. Può comandare una popolazione distribuita di sistemi con connessioni, indirizzi IP e caratteristiche differenti. È questa capacità di aggregare risorse che rende le botnet utili per attività come spam massivo, attacchi distribuiti, frodi o instradamento del traffico attraverso infrastrutture compromesse.
Bot, computer zombie, botmaster e Command and Control
Nel linguaggio della sicurezza incontrerai spesso quattro termini:
- bot o zombie: il dispositivo compromesso che esegue istruzioni;
- botnet: l’insieme coordinato dei bot;
- botmaster o bot herder: il soggetto che controlla la rete;
- Command and Control, spesso abbreviato in C2 o C&C: il meccanismo utilizzato per comunicare con i dispositivi compromessi e distribuire comandi.
Non significa che ogni bot su Internet sia malevolo. Un bot può essere semplicemente un software automatizzato: anche crawler e altri sistemi legittimi svolgono attività automatiche. Nel contesto di una botnet malevola, invece, il termine indica un nodo posto sotto un controllo non autorizzato.
Botnet, bot, malware e DDoS: le differenze
La confusione nasce perché questi concetti possono comparire nella stessa catena di attacco.
| Concetto | Che cos’è | Ruolo |
|---|---|---|
| Bot | Dispositivo o sistema controllato in modo automatizzato | Esegue le istruzioni ricevute |
| Malware | Software malevolo | Può compromettere il dispositivo e abilitarne il controllo |
| Botnet | Rete coordinata di dispositivi compromessi | Aggrega capacità, connessioni e identità distribuite |
| DDoS | Attacco distribuito contro la disponibilità di un servizio | Può utilizzare una botnet come sorgente del traffico |
Un malware può quindi trasformare una macchina in bot, ma non qualsiasi infezione malware crea necessariamente una botnet.
Allo stesso modo, una rete di bot può essere utilizzata per un DDoS, ma non nasce esclusivamente per quello. Microsoft include tra gli utilizzi delle botnet anche spam e furto di dati nella propria panoramica sul malware e le sue diverse tipologie.
Se invece vuoi capire in profondità saturazione delle risorse, HTTP flood, attacchi volumetrici e mitigazione, trovi questi aspetti nella guida dedicata agli attacchi DDoS.
Perché il proprietario del dispositivo può non accorgersene
Un ransomware ha spesso un effetto immediatamente visibile: file cifrati, richiesta di riscatto, impossibilità di lavorare.
Per una botnet è vero il contrario: restare invisibile può essere vantaggioso.
Un dispositivo che continua apparentemente a funzionare può rimanere disponibile per l’operatore della rete molto più a lungo. Il malware può quindi essere eseguito in background, attendere istruzioni e utilizzare solo una parte delle risorse quando necessario.
Per questo un computer lento o una connessione anomala meritano attenzione, ma non permettono da soli di diagnosticare una botnet.
Come funziona una botnet: dalla compromissione al comando remoto
Le implementazioni reali cambiano, ma il modello logico può essere letto come una sequenza:
compromissione → installazione/persistenza → arruolamento → comunicazione → comando → attività coordinata
Capire i passaggi aiuta anche a capire dove può essere interrotta la catena.
1. Il dispositivo viene compromesso
Prima di poter controllare una macchina, l’attaccante deve ottenere una forma di accesso.
Questo può avvenire attraverso malware scaricato dall’utente, phishing, vulnerabilità non corrette, servizi esposti, software compromesso o credenziali deboli.
Nel caso di apparati come router e dispositivi IoT il problema può essere aggravato da sistemi non aggiornati, servizi amministrativi esposti o credenziali predefinite rimaste in uso.
L’attacco alle credenziali rappresenta però soltanto una delle possibili porte d’ingresso. La guida agli attacchi brute force approfondisce proprio perché password guessing, credential stuffing e tentativi distribuiti richiedano difese differenti.
2. Il dispositivo viene arruolato nella botnet
Dopo la compromissione viene eseguito il componente che permette di utilizzare il sistema come nodo della rete.
Da questo momento il computer, router o dispositivo IoT non è più soltanto “infetto”: può diventare una risorsa controllabile dall’esterno.
In alcune famiglie di malware è prevista anche una fase di propagazione, durante la quale i sistemi compromessi cercano nuove vittime. Non è però una proprietà obbligatoria di ogni botnet.
3. Il bot entra in contatto con l’infrastruttura di comando
Per essere utile, il nodo deve ricevere istruzioni o comunque ottenere informazioni su ciò che deve fare.
È qui che compare il Command and Control.
Il bot può contattare server, domini o altri nodi secondo l’architettura scelta. La comunicazione può servire a registrare il nuovo dispositivo, ricevere configurazioni, aggiornare il malware o ottenere un nuovo compito.
4. Il botmaster invia i comandi
Una volta stabilito il canale di controllo, l’operatore può assegnare attività alla rete.
L’aspetto importante non è immaginare una persona che controlla manualmente ogni computer. Il valore della botnet sta proprio nell’automazione: una stessa istruzione può essere propagata a un grande numero di nodi.
5. I dispositivi agiscono in modo coordinato
A quel punto la rete può essere utilizzata contro un bersaglio oppure per attività distribuite.
Nel caso di un DDoS, numerosi nodi generano traffico verso lo stesso servizio. In una campagna spam, invece, la capacità distribuita può servire a inviare grandi quantità di messaggi. In altri scenari i dispositivi vengono sfruttati come proxy, per sottrarre informazioni o per fornire infrastruttura ad altre attività malevole.
È il coordinamento a trasformare tante compromissioni singole in una risorsa operativa unica.
Come vengono controllate le botnet
Non tutte le botnet possiedono la stessa architettura. Una distinzione utile è quella tra controllo centralizzato e peer-to-peer.
La documentazione di Cloudflare sulle botnet DDoS descrive entrambi i modelli.
Architettura client-server e server C2
Nel modello centralizzato i bot contattano uno o più sistemi di Command and Control.
Lo schema semplificato è:
botmaster → server C2 → bot
Il vantaggio per l’operatore è la gestione relativamente semplice. Aggiornando le istruzioni nel centro di controllo può modificare il comportamento di molti nodi.
La centralizzazione introduce però anche una debolezza: l’infrastruttura C2 diventa un punto importante su cui indagare e intervenire. Se i nodi non riescono più a raggiungere il sistema da cui dipendono, una parte delle capacità operative della rete può essere compromessa.
Questo non significa che neutralizzare una botnet reale equivalga semplicemente a “spegnere un server”: infrastrutture ridondanti, meccanismi di fallback e tecniche di resilienza possono rendere l’operazione molto più complessa.
Botnet peer-to-peer (P2P)
In una botnet peer-to-peer il controllo può essere distribuito tra i nodi.
Invece di affidarsi necessariamente a un unico centro, i bot comunicano con altri peer e possono contribuire alla propagazione delle informazioni necessarie alla rete.
Il vantaggio dal punto di vista dell’attaccante è evidente: diventa più difficile individuare un singolo elemento la cui rimozione interrompa tutta l’infrastruttura.
Lo svantaggio è una gestione più complessa e la necessità di impedire che soggetti esterni riescano a interferire con il meccanismo di comunicazione.
Perché decentralizzare il controllo rende più difficile interrompere la rete
Il problema è quello del single point of failure.
In una struttura fortemente centralizzata esistono componenti che concentrano una parte importante del controllo. Una struttura distribuita cerca invece di ridurre questa dipendenza.
È la stessa ragione per cui, dal lato della difesa, non basta concentrarsi sul singolo indirizzo IP che compare in un log. Una botnet nasce precisamente per distribuire attività fra risorse differenti.
A cosa servono le botnet
Associare automaticamente botnet e DDoS riduce troppo il problema.
Una rete di dispositivi compromessi mette a disposizione dell’operatore almeno tre risorse: potenza di calcolo, connessioni distribuite e identità di rete appartenenti a sistemi reali. A seconda del malware e dell’infrastruttura, queste risorse possono essere sfruttate in modi diversi.
Botnet e attacchi DDoS
È uno degli utilizzi più conosciuti.
L’operatore ordina a molti dispositivi di generare traffico o richieste contro uno stesso obiettivo. La distribuzione rende l’attacco diverso dal semplice sovraccarico generato da una sorgente unica.
Il server bersaglio può vedere arrivare connessioni da molte reti e indirizzi diversi. Inoltre alcune richieste possono essere tecnicamente valide e provenire da dispositivi reali.
Questo spiega perché bloccare un singolo IP è spesso insufficiente.
Il tema richiede comunque una distinzione importante: non tutti i DDoS dipendono necessariamente dallo stesso modello di botnet e non tutte le botnet vengono impiegate per DDoS.
Spam, phishing e distribuzione di malware
Una rete distribuita può essere utilizzata per automatizzare l’invio di messaggi o sostenere altre fasi di campagne malevole.
Il vantaggio non è soltanto la quantità. Distribuire l’attività tra molti sistemi rende più difficile trattare il fenomeno come se provenisse da una singola macchina.
CERT-AGID indica esplicitamente spam e diffusione di virus tra gli utilizzi delle botnet.
Furto di credenziali e dati
Se il malware installato sul nodo possiede funzionalità di raccolta delle informazioni, la compromissione può diventare anche un problema di confidenzialità.
A seconda del caso possono essere sottratti dati, credenziali o altre informazioni disponibili sul sistema.
La parola botnet descrive quindi l’infrastruttura di controllo, non tutte le capacità del malware presente sui singoli nodi.
Frodi, proxy e abuso delle risorse compromesse
Un dispositivo sotto controllo può fornire qualcosa di molto prezioso: una connessione Internet che appare provenire da una normale abitazione, ufficio o rete.
Le botnet possono quindi essere sfruttate anche come infrastrutture proxy o per mascherare l’origine di determinate attività.
Il National Cyber Security Centre ha documentato l’utilizzo su larga scala di reti di router, dispositivi IoT ed edge compromessi come infrastruttura attraverso cui instradare attività malevole. È un buon esempio del motivo per cui “botnet” non dovrebbe essere ridotto al solo significato di “macchine che fanno DDoS”.
In altri scenari la risorsa utile è invece la capacità di calcolo: un sistema compromesso può essere abusato per attività che consumano CPU, banda o altre risorse.
Quali dispositivi possono entrare in una botnet
L’immagine classica di una botnet composta esclusivamente da PC Windows è troppo limitata.
Qualsiasi dispositivo sufficientemente programmabile, connesso e compromettibile può diventare interessante se permette all’attaccante di eseguire attività utili.
PC e server
Desktop, notebook e server rimangono bersagli importanti perché possono offrire potenza di calcolo, accesso a dati, credenziali e connessioni di rete.
Un server compromesso può inoltre disporre di una connessione molto più performante di quella di un normale dispositivo domestico.
Router, telecamere e dispositivi IoT
Router, videocamere, registratori, dispositivi smart e altre apparecchiature connesse sono particolarmente interessanti quando presentano una combinazione problematica:
- rimangono online per lunghi periodi;
- ricevono poca attenzione dopo l’installazione;
- utilizzano firmware non aggiornato;
- espongono servizi inutili;
- conservano credenziali deboli o predefinite;
- hanno capacità di monitoraggio inferiori a quelle di un normale endpoint aziendale.
Un router compromesso è inoltre in una posizione delicata: gestisce traffico di rete ed è normalmente sempre connesso.
Smartphone e dispositivi mobili
Anche telefoni e tablet sono sistemi informatici con applicazioni, connessioni e capacità di elaborazione.
Non bisogna però trasformare questa possibilità tecnica in allarmismo: il livello di rischio concreto dipende dal sistema, dagli aggiornamenti, dalle applicazioni installate, dai permessi concessi e dalla vulnerabilità effettivamente sfruttabile.
Sistemi Linux, edge e risorse esposte
Linux non è immune dal problema.
Server, apparati di rete e molti dispositivi embedded utilizzano sistemi basati su Linux. Ciò che conta non è il nome del sistema operativo, ma la superficie esposta e la possibilità concreta di comprometterla.
Le reti osservate dal NCSC mostrano proprio quanto router ed edge device compromessi possano diventare infrastruttura utile per attività distribuite.
Il criterio corretto è quindi:
dispositivo raggiungibile + debolezza sfruttabile + controllo ottenuto → possibile nodo
non:
determinato sistema operativo → automaticamente sicuro o vulnerabile.
Come capire se un dispositivo può far parte di una botnet
Qui è facile cadere in due errori opposti.
Il primo è ignorare segnali reali. Il secondo è interpretare qualsiasi rallentamento come prova di compromissione.
Nessun singolo sintomo dimostra che il dispositivo appartenga a una botnet.
Attività insolite di CPU, rete o processi
Consumo anomalo di CPU, processi sconosciuti, traffico di rete inatteso o rallentamenti possono giustificare un controllo.
Possono però dipendere anche da aggiornamenti, sincronizzazioni cloud, software legittimo, problemi hardware o altre cause.
Il dato interessante emerge quando il comportamento non è compatibile con ciò che dovrebbe fare normalmente il dispositivo.
Connessioni e traffico che non riesci a spiegare
In un ambiente amministrato è utile osservare DNS, connessioni in uscita, destinazioni ricorrenti, processi che generano il traffico e variazioni rispetto alla baseline normale.
Una connessione verso un indirizzo sconosciuto non è automaticamente malevola: software legittimi utilizzano continuamente CDN, servizi cloud, API e infrastrutture di terze parti.
La diagnosi richiede quindi contesto, non una blacklist letta isolatamente.
Spam, account o comportamenti anomali
Messaggi inviati senza che tu li abbia creati, attività insolite sugli account, avvisi dell’antivirus o applicazioni che si avviano senza motivo sono segnali che meritano attenzione.
Il NCSC, nella guida sui dispositivi infetti, consiglia innanzitutto di verificare il sospetto con gli strumenti di sicurezza disponibili e riporta tra i possibili sintomi rallentamenti, programmi che si aprono autonomamente e messaggi inattesi inviati dal dispositivo.
Perché un sintomo non equivale a una diagnosi
Questo è il passaggio più importante.
Se il computer è lento, devi dimostrare che la causa sia malware. Se trovi malware, devi ancora determinare che possieda funzionalità da botnet. Se osservi traffico insolito, devi capire quale processo lo genera e verso quale destinazione.
La sequenza corretta è:
segnale → raccolta evidenze → identificazione della causa → contenimento
non:
segnale → conclusione immediata.
Come difendersi dalle botnet
Non esiste un pulsante “anti-botnet”. Le difese efficaci riducono la probabilità che un dispositivo venga compromesso e limitano ciò che un eventuale attaccante può fare dopo l’accesso.
Mantieni sistema operativo, software e firmware aggiornati
Gli aggiornamenti chiudono vulnerabilità note che possono diventare punti di ingresso.
Questo vale anche per componenti che spesso vengono dimenticati: router, NAS, videocamere, appliance, pannelli di gestione e altri dispositivi connessi.
Se un prodotto non riceve più aggiornamenti di sicurezza e rimane esposto a Internet, il problema non si risolve installando un antivirus su un altro computer della rete.
Proteggi account e dispositivi con credenziali adeguate
Le password predefinite devono essere sostituite quando il prodotto le utilizza.
Per gli account conviene usare password uniche e sufficientemente robuste, preferibilmente gestite con un password manager. Dove disponibile e appropriato, l’autenticazione multifattore aggiunge un ulteriore ostacolo all’abuso delle credenziali.
Questo non protegge da qualsiasi vulnerabilità, ma riduce una classe concreta di accessi evitabili.
Riduci software, download e allegati non affidabili
Un’applicazione proveniente da una fonte sconosciuta, un allegato malevolo o un file camuffato possono diventare il punto di ingresso per il malware.
Il principio utile non è “non scaricare mai nulla”, ma ridurre l’esecuzione di codice di cui non conosci origine e affidabilità.
Negli ambienti aziendali questo può tradursi in controlli sulle applicazioni consentite, privilegi limitati, sistemi di endpoint protection e policy di gestione centralizzata.
Proteggi router e dispositivi IoT
Per router e IoT controlla almeno firmware, credenziali amministrative, servizi esposti e possibilità di gestione remota.
Se una funzione non serve, tenerla accessibile da Internet crea superficie d’attacco senza aggiungere valore.
Anche segmentare i dispositivi meno affidabili può limitare le conseguenze di una compromissione: una telecamera non dovrebbe necessariamente avere la stessa libertà di comunicazione di un computer amministrativo.
Monitora dispositivi e traffico di rete
La prevenzione riduce il rischio, il monitoraggio aumenta la possibilità di vedere ciò che ha superato la prevenzione.
Su un singolo computer significa osservare alert di sicurezza e comportamenti anomali. In una rete aziendale significa anche centralizzare log, avere un inventario degli asset e conoscere abbastanza bene il traffico normale da individuare deviazioni significative.
Cosa fare se sospetti che un dispositivo faccia parte di una botnet
Se il sospetto è credibile, l’obiettivo non è soltanto cancellare il primo file che sembra strano.
Devi contenere, verificare, bonificare e rimuovere la causa che ha permesso la compromissione.
Isola il dispositivo quando il rischio lo giustifica
Se esistono indicatori concreti di compromissione, separare temporaneamente la macchina dalla rete può impedire ulteriori comunicazioni malevole e limitare la propagazione.
In un ambiente aziendale la decisione va però coordinata con chi gestisce l’incidente: spegnere o modificare immediatamente un sistema può eliminare informazioni utili all’analisi.
Identifica e rimuovi la compromissione
Utilizza strumenti di sicurezza aggiornati e, nei casi più seri, analisi professionale.
Rimuovere il processo visibile senza capire persistenza, account creati, configurazioni modificate o vulnerabilità sfruttata lascia aperta la possibilità di una nuova compromissione.
È lo stesso principio che vale quando un sito è stato violato: nella guida su come ripristinare un sito WordPress hackerato la bonifica viene separata dalla ricerca della causa proprio per evitare di considerare “pulito” un sistema nel quale è rimasta aperta la porta d’ingresso.
Aggiorna il sistema prima di rimetterlo in rete
Se l’accesso è avvenuto sfruttando una vulnerabilità nota, rimuovere il malware senza correggere la vulnerabilità consente al problema di ripresentarsi.
Aggiornamenti, configurazione e riduzione dei servizi esposti fanno quindi parte della bonifica.
Cambia le credenziali che possono essere state esposte
Se esiste la possibilità che password, token o altre credenziali siano state sottratte, considera la loro rotazione.
È preferibile farlo da un dispositivo considerato affidabile: cambiare password da una macchina ancora compromessa può semplicemente consegnare anche le nuove credenziali all’attaccante.
Quando un reset o una reinstallazione possono diventare necessari
Non tutte le infezioni possono essere considerate risolte soltanto perché uno scanner non trova più il file iniziale.
Quando l’integrità del sistema non può essere ristabilita con sufficiente fiducia, può diventare più sicuro ripristinare da una fonte affidabile, reinstallare o sostituire il dispositivo, soprattutto se si tratta di un componente critico.
La scelta dipende dal tipo di sistema, dall’importanza dei dati e dal livello della compromissione.
Come proteggere un sito o una rete dal traffico di una botnet
Qui cambia completamente il punto di vista.
Il tuo sito può subire gli effetti di una botnet senza che il server sia stato compromesso.
Se migliaia di dispositivi esterni iniziano a inviare traffico verso il tuo servizio, installare un antivirus sul web server non risolve il problema. Stai combattendo gli effetti della rete, non l’infezione dei suoi nodi.
Una botnet può attaccare anche se il tuo server non è compromesso
In un DDoS il server è il bersaglio, non necessariamente uno dei bot.
I nodi compromessi si trovano altrove e producono traffico verso di te. Per questo è essenziale distinguere:
proteggere il dispositivo → impedire l'arruolamento
da:
proteggere il servizio → filtrare o assorbire il traffico ostile
Mescolare i due problemi porta a contromisure sbagliate.
Protezione DDoS e filtraggio upstream
Se il problema è volumetrico, la difesa deve intervenire prima che la risorsa limitata sia già satura.
Una connessione Internet da 1 Gbit/s non può essere salvata da una regola applicativa eseguita dopo che il link è già pieno.
Servono quindi, a seconda dello scenario, capacità del provider, mitigazione distribuita, rete edge, filtraggio upstream e architettura progettata per mantenere il traffico indesiderato lontano dall’origine.
Nella guida su come proteggersi da un attacco DDoS trovi il modello completo per traffico volumetrico, protocolli e attacchi applicativi.
WAF, rate limiting e bot management: cosa possono fare
Sul traffico HTTP entrano in gioco altri controlli.
Un Web Application Firewall può analizzare richieste e applicare regole. Il rate limiting può ridurre la frequenza di determinate operazioni. Un sistema di bot management può utilizzare più segnali per distinguere comportamenti automatizzati.
Sono strumenti utili soprattutto quando l’abuso raggiunge il livello applicativo, ma non sono sinonimi.
Come spieghiamo nella guida al Web Application Firewall, un WAF non diventa automaticamente una soluzione anti-DDoS completa: se l’attacco esaurisce banda o risorse prima del punto in cui viene applicato il filtro, la difesa interviene troppo tardi.
Perché bloccare singoli IP può non bastare
Bloccare una sorgente precisa è sensato quando il problema arriva realmente da quella sorgente.
Una botnet nasce però per distribuire l’attività.
Puoi vedere molti indirizzi IP, reti differenti, device diversi e nodi che entrano o escono dall’infrastruttura. Le reti di dispositivi compromessi possono inoltre cambiare rapidamente, rendendo fragile una strategia basata esclusivamente su elenchi statici di IP.
La difesa deve quindi osservare anche comportamento, frequenza, reputazione, endpoint colpiti e livello dell’infrastruttura che sta subendo la pressione.
Su un sito WordPress questo significa inserire le misure anti-bot all’interno di una strategia più ampia di sicurezza WordPress, senza immaginare che un singolo plugin possa risolvere ogni livello del problema.
Mirai e l’evoluzione delle botnet moderne
Mirai è diventato uno degli esempi più utili per capire perché la definizione “rete di PC infetti” non è più sufficiente.
La botnet Mirai ha mostrato quanto dispositivi IoT connessi, poco monitorati e protetti in modo insufficiente possano essere trasformati in una grande infrastruttura distribuita.
Il suo valore come caso di studio non è nella notorietà del nome. È nel cambiamento del modello mentale.
Perché Mirai ha cambiato il modo di guardare ai dispositivi IoT
Un computer personale viene normalmente aggiornato, utilizzato direttamente e osservato dal proprietario.
Una telecamera, un DVR o un altro apparato embedded può invece essere installato e dimenticato per anni.
Se continua a essere raggiungibile, utilizza credenziali inadeguate o contiene vulnerabilità non corrette, rimane una possibile superficie d’attacco anche quando “sembra funzionare perfettamente”.
Il problema è proprio questa invisibilità operativa.
Da PC infetti a router, IoT ed edge device
Le botnet contemporanee dimostrano che l’asset utile non deve necessariamente essere un potente computer.
Un router sempre online può offrire connettività. Un dispositivo IoT può aumentare il numero e la distribuzione geografica dei nodi. Un apparato edge compromesso può fornire una posizione particolarmente interessante all’interno del percorso di rete.
Per questo inventario, aggiornamenti e controllo dei dispositivi connessi non sono attività amministrative secondarie: fanno parte della superficie reale di sicurezza.
Cosa insegna questa evoluzione sulla sicurezza dei dispositivi connessi
La lezione non è “l’IoT è insicuro”.
È più precisa:
un dispositivo che rimane connesso per anni deve essere gestito come un sistema informatico per anni.
Deve quindi esistere un modo per aggiornarlo, cambiarne le credenziali, limitarne l’esposizione, monitorarlo e infine sostituirlo quando non può più essere mantenuto in sicurezza.
Vale per una videocamera come per un router, un NAS o un server.
Conclusione
La caratteristica che rende pericolosa una botnet non è un malware particolare, ma la capacità di trasformare molte compromissioni individuali in un’infrastruttura coordinata.
Per evitare che un tuo dispositivo diventi uno dei nodi devi lavorare su aggiornamenti, credenziali, software affidabile, esposizione dei servizi, firmware e monitoraggio. Se sospetti una compromissione, serve invece passare dai semplici sintomi alle evidenze e rimuovere sia il malware sia la causa che ne ha permesso l’ingresso.
Se il problema è opposto e stai subendo traffico prodotto da dispositivi compromessi altrove, la strategia cambia: la difesa deve intervenire nel punto in cui quel traffico può essere filtrato prima di consumare la risorsa che vuoi proteggere. Per un sito significa combinare, in base al tipo di attacco, mitigazione a monte, edge, controlli di rete, WAF, rate limiting e monitoraggio.
È questa distinzione — impedire di diventare parte della rete oppure difendersi dalla rete — che rende davvero utile capire come funziona una botnet.