Attacco DDoS e attacco DoS: le differenze principali

TL;DR

• Un attacco DoS proviene da un unico sistema. Un attacco DDoS coinvolge più sistemi e proviene quindi da più fonti.
• In un attacco DoS, l'autore inonda il bersaglio di traffico eccessivo e sfrutta le vulnerabilità per interrompere il servizio. In un attacco DDoS, distribuisce l'attacco su scala più ampia, da diverse aree geografiche.
• Gli attacchi DDoS sono molto più potenti e complessi degli attacchi DoS. Ogni attacco DDoS è un attacco DoS, ma non ogni attacco DoS è un attacco DDoS. Gli autori di attacchi DDoS usano le botnet per amplificare la potenza degli attacchi DoS.
• Un semplice attacco DoS può mandare in crisi i server DNS. Un attacco DDoS, invece, usa la forza bruta: la sola crittografia o la convalida degli input non bastano a difendervi.

Di recente, Ubuntu ha subito un'interruzione del servizio a seguito di un attacco DDoS. L'infrastruttura esposta al pubblico è stata completamente messa fuori servizio. Anche Bluesky ha attribuito ad attacchi DDoS le interruzioni dei suoi server. E non riguarda solo queste grandi aziende: anche startup e piccole imprese in tutto il mondo faticano a garantire la continuità operativa. I clienti perdono fiducia e si allontanano quando la reputazione subisce un colpo e i servizi non sono disponibili. Esistono modi corretti e modi sbagliati per mitigare queste minacce. Gli attacchi DDoS hanno inoltre molte somiglianze con gli attacchi DoS e chi si avvicina per la prima volta a questo ambito può confondere le due metodologie.

Se non conoscete la differenza tra attacchi DoS e DDoS, questa guida fa per voi. Esaminiamo anche le implicazioni legali e tutto ciò che dovete sapere su questi attacchi.

Che cos'è un attacco DoS?

Un attacco Denial-of-Service (DoS) è un attacco informatico che rende un dispositivo, una rete o un sito web indisponibile per gli utenti. Lo sommerge di traffico e richieste, rallentando i siti e i sistemi fino a bloccarli o a renderli incapaci di rispondere.

Ecco i principali tipi di attacchi DoS da conoscere.

Tipi di attacchi DoS

Un attacco DoS proviene sempre da un unico sistema. La fonte satura il bersaglio di traffico malevolo o sfrutta una debolezza di un protocollo finché il servizio non smette di rispondere. Gli autori usano diverse tecniche per riuscirci. Queste sono le quattro più comuni.

Attacchi Teardrop

Gli attacchi Teardrop frammentano i pacchetti IP e inviano frammenti sovrapposti e malformati che il bersaglio non riesce a riassemblare. I sistemi operativi meno recenti si bloccano o si riavviano quando ricevono questi pacchetti. I sistemi moderni in genere li rifiutano, ma i server legacy non protetti all'interno di una rete restano bersagli interessanti.

Attacchi flooding

Gli attacchi flooding dirigono un volume elevato di traffico verso un server, un collegamento di rete o un'applicazione. Gli autori possono usare richieste ICMP echo (ping flood), pacchetti UDP o richieste HTTP. Il traffico esaurisce tutta la larghezza di banda o le risorse del server disponibili. Un solo dispositivo che invia richieste HTTP GET continue può esaurire le risorse di un server web configurato male in pochi minuti.

Attacchi di frammentazione IP

Questi attacchi sfruttano il modo in cui i dispositivi di rete riassemblano i pacchetti IP frammentati. L'autore invia frammenti con offset sovrapposti o sequenze incomplete. I router e i firewall che memorizzano i frammenti per riassemblarli esauriscono la memoria e bloccano il traffico legittimo. Gli attacchi di frammentazione spesso eludono l'ispezione dei pacchetti perché i motori di ispezione vedono solo dati parziali.

Attacchi SYN flood

Un SYN flood sfrutta l’handshake TCP a tre vie. L’attaccante invia un flusso di pacchetti SYN, spesso con indirizzi IP di origine falsificati. Il sistema bersaglio alloca risorse per ogni connessione semiaperta e attende un ACK che non arriva mai. Quando la tabella delle connessioni si riempie, il server rifiuta tutte le nuove richieste. I SYN flood restano tra le tecniche DoS più comuni da un’unica origine. Gli attaccanti ricorrono anche al ping of death e agli attacchi DoS a livello applicativo, sfruttando le funzioni di un’applicazione web che consumano molte risorse per renderla indisponibile da un singolo endpoint.

Che cos'è un attacco DDoS?

Un attacco Distributed Denial-of-Service (DDoS) ha lo stesso obiettivo di un attacco DoS, ma coinvolge centinaia o migliaia di sistemi compromessi. Gli autori creano botnet infettando i dispositivi con malware e usandoli per generare traffico. Amplificano anche il traffico facendo rimbalzare le richieste su server DNS, NTP o Memcached configurati male. I sistemi che riflettono e amplificano il traffico trasformano una piccola richiesta in una risposta molto più grande diretta alla vittima.

Il traffico proveniente da più fonti rende più difficili il rilevamento e la mitigazione. Quando il traffico entra nella vostra rete da un solo IP, lo bloccate. Quando arriva da 50.000 IP residenziali e indirizzi falsificati in tutto il mondo, i filtri basati sulle firme e i semplici limiti di frequenza non bastano.

Tipi di attacchi DDoS

Gli attacchi DDoS colpiscono diversi livelli della vostra infrastruttura e possono raggiungere una scala molto ampia. Ecco i tipi di attacchi DDoS da conoscere:

Attacchi DDoS al livello applicativo

Gli attacchi al livello applicativo colpiscono il livello 7. Gli autori inviano lente richieste HTTP POST, chiamate API che consumano molte risorse o flussi di richieste HTTP che imitano il comportamento degli utenti legittimi. Poiché le richieste sembrano valide, questi attacchi sfuggono alle semplici soglie basate sul volume. Un server che gestisce i tentativi di accesso può sembrare occupato, non sotto attacco.

Attacchi volumetrici

Gli attacchi volumetrici puntano a consumare tutta la larghezza di banda disponibile. Gli autori usano le botnet per dirigere enormi quantità di traffico UDP, flussi di richieste ICMP o risposte DNS amplificate verso il perimetro della vostra rete. Se la connessione si satura, i pacchetti legittimi vengono scartati prima di raggiungere il data center. Il traffico di questi attacchi si misura in gigabit o terabit al secondo.

Attacchi ai protocolli

Gli attacchi ai protocolli sfruttano le debolezze dei livelli 3 e 4. Rientrano in questa categoria gli attacchi SYN flood, Smurf e ping of death. Gli autori esauriscono le tabelle delle connessioni dei server o sovraccaricano i firewall stateful e i bilanciatori di carico. Poiché questi attacchi colpiscono l'infrastruttura di rete, dovete filtrarli a monte o con apparati dedicati alla pulizia del traffico.

Attacchi DDoS e DoS: esempi reali

Gli incidenti reali mostrano la differenza tra attacchi DoS e DDoS. Vediamo alcuni esempi recenti:

Differenze chiave tra attacchi DoS e DDoS
• Nel primo trimestre del 2026 si sono verificati Operation Sindoor e i conflitti in Medio Oriente. Le tensioni geopolitiche hanno innescato ondate di attacchi DDoS riconducibili a gruppi allineati a Stati. In appena 72 ore, oltre 149 attacchi DDoS di hacktivisti hanno colpito 110 aziende in 16 Paesi. Gli autori hanno usato una strategia di attacco diffuso contro gli istituti finanziari. Un istituto finanziario mediorientale ha ricevuto oltre 1,25 bilioni di richieste in 6 giorni. Sembravano tutte traffico legittimo e hanno quindi eluso i filtri tradizionali.
• Oggi gli attacchi DoS a bassa intensità si verificano ogni 15 minuti. L'anno scorso, gli attacchi DoS sono aumentati di 4 volte a causa di minacce legate al probing di ricognizione. Gli aggressori hanno usato singole istanze VPN per lanciare attacchi SYN flood e colpire endpoint specifici per l'autenticazione e il login. Hanno esaurito le risorse dei server, causato errori di autenticazione e fatto scadere gli handshake TLS degli utenti legittimi. Quando si usa l'IA per lanciare attacchi DDoS anziché DoS, la situazione si complica. Questi esempi reali di attacchi DDoS e DoS sono solo la punta dell'iceberg di ciò che attende le organizzazioni nel prossimo futuro (se non si preparano a difendersi e a mitigarli).

Differenze principali tra attacchi DoS e DDoS

Confrontando le caratteristiche degli attacchi DDoS e DoS, emergono quattro fattori. Ecco le differenze principali:

Distribuzione delle fonti e volume di traffico

Un attacco DoS coinvolge un solo dispositivo o IP. Con un attacco DDoS, invece, gli autori impiegano bot e sistemi che amplificano e riflettono il traffico per generarlo da aree geografiche diverse. Il volume di un attacco DoS può raggiungere i gigabit al secondo, mentre quello di un attacco DDoS può arrivare a diversi terabit.

Velocità e impatto

L'effetto di un attacco DoS dipende dalla rapidità con cui degrada i servizi o dalla presenza di una vulnerabilità che ne causa l'interruzione immediata. Un attacco DDoS, invece, può interrompere il servizio in pochi minuti, a seconda dell'enorme volume di richieste che investe i sistemi. Può anche danneggiare le reti degli ISP, colpendo altri clienti.

Tracciabilità e gestione degli aspetti legali

Un attacco DoS coinvolge un solo IP, che può essere falsificato ma anche tracciato dalle forze dell'ordine. In un attacco DDoS è difficile identificare il server di comando e controllo. Risalire dall'IP alla persona responsabile è complesso: richiede indagini in più giurisdizioni e analisi forensi di molti dispositivi. Il processo richiede quindi più tempo ed è più complicato rispetto a un attacco DoS.

Strumenti e requisiti di mitigazione

Per prevenire un attacco DoS potete bloccare l'IP dell'autore, scartare il traffico proveniente da quell'indirizzo o correggere i bug dell'applicazione. Per prevenire un attacco DDoS servono centri di pulizia del traffico, strumenti di filtraggio basati sul cloud, WAF e collaborazione con l'ISP. Occorre inoltre reindirizzare il traffico attraverso reti di pulizia e inoltrare solo quello legittimo.

DoS e DDoS: differenze principali

Consultate questa tabella per una panoramica immediata delle differenze tra attacchi DoS e DDoS. Confronta i fattori principali a colpo d'occhio:

Impatto degli attacchi DoS e DDoS

Ogni interruzione comporta una perdita di fatturato. Un sito di e-commerce inattivo per un'ora può perdere centinaia di migliaia di dollari di ricavi e violare gli SLA, con conseguente obbligo di riconoscere crediti ai clienti. Queste cifre aumenteranno da quest'anno, man mano che le aziende dipenderanno sempre di più dai servizi digitali in tempo reale. Ogni interruzione influisce anche sulla percezione del pubblico e può comportare problemi legali se danneggia indirettamente i dati dei clienti.

Oltre alle conseguenze finanziarie, un attacco DoS o DDoS colpisce tutti gli altri servizi. Un attacco DDoS volumetrico su larga scala non solo mette fuori uso il collegamento Internet principale, ma interrompe anche le connessioni al vostro sito tramite VPN o servizi API cloud, rendendoli inutilizzabili. I vostri dipendenti non possono accedere alle applicazioni interne e i sistemi di monitoraggio automatico smettono di inviare segnalazioni. Gli attacchi DDoS creano una cortina fumogena che nasconde le vere intrusioni.

Distolgono l'attenzione e rendono difficile ripristinare le reti. Gli hacker creano il caos per penetrare più a fondo e condurre violazioni dei dati più gravi. Possono anche installare malware e causare interruzioni in più aree geografiche. Tutto questo compromette la fiducia dei clienti a lungo termine. Ne risentono le infrastrutture e i servizi aziendali e critici, come i portali governativi, i servizi bancari e le relative app.

Best practice per prevenire e rilevare gli attacchi DoS e DDoS nel 2026

Una mitigazione efficace degli attacchi DDoS e DoS parte dall'architettura di rete e dal monitoraggio continuo. Servono controlli capaci di individuare sia gli attacchi provenienti da una singola origine sia i flussi distribuiti. Ecco le best practice da seguire quest'anno per prevenire e rilevare entrambi i tipi di attacco:

Come rispondere ad attacchi DoS vs. DDoS attivi
• Distribuite il traffico tramite una rete anycast, così viene assorbito in più punti geografici anziché colpire un solo server di origine.
• Integrate un servizio cloud di pulizia del traffico che elabori e filtri il traffico prima che raggiunga il perimetro della vostra rete.
• Posizionate un web application firewall (WAF) davanti alle applicazioni critiche per filtrare le richieste dannose di livello 7.
• Configurate la vostra CDN per assorbire i picchi e distribuire contenuti memorizzati nella cache quando i server di origine sono sotto pressione.
• Definite i modelli di traffico di riferimento e usate il rilevamento delle anomalie per segnalare picchi improvvisi di richieste, distribuzioni geografiche insolite o incongruenze nei protocolli.
• Rafforzate l'infrastruttura DNS con resolver ridondanti distribuiti tramite anycast e attivate la limitazione della frequenza delle risposte.
• Eseguite regolarmente stress test ed esercitazioni red team che simulino sia attacchi DoS sia scenari DDoS multivettore.
• Preparate procedure operative che definiscano quando deviare il traffico verso i servizi di pulizia e come comunicare con il vostro ISP.
• Monitorate la telemetria degli endpoint e dei carichi di lavoro per individuare intrusioni opportunistiche durante un attacco DDoS in corso: spesso gli aggressori sfruttano il rumore per nascondersi.

Come rispondere agli attacchi DoS e DDoS in corso

Se non sapete come rispondere a un attacco DoS o DDoS in corso, seguite questi consigli:

In che modo SentinelOne migliora la resilienza a DoS e DDoS?
• Contattate il vostro ISP o provider cloud e condividete campioni di traffico affinché possa iniziare a filtrarlo a monte.
• Deviate il traffico in ingresso attraverso il vostro centro di pulizia del traffico o servizio di mitigazione DDoS, se disponibile.
• Per un attacco DoS proveniente da un'unica fonte, bloccate l'IP responsabile o instradatelo verso una blackhole ai margini della vostra rete.
• Conservate log, dati di flusso e acquisizioni dei pacchetti; serviranno per le indagini forensi successive all'incidente e per le segnalazioni alle forze dell'ordine.
• Avvisate i referenti interni - SOC, team di rete, responsabili delle applicazioni e comunicazione; potranno preparare aggiornamenti sullo stato o decidere come procedere.
• Se i servizi rivolti ai clienti sono interessati, pubblicate un breve aggiornamento fattuale sulla pagina di stato, indicando il tempo stimato per il ripristino.
• Bloccate le firme di attacco evidenti con regole WAF o ACL e monitorate eventuali cambiamenti nel vettore di attacco.
• Dopo l'attacco, raccogliete la catena delle prove e decidete se presentare una denuncia alle forze dell'ordine o una segnalazione al CERT nazionale.
• Conducete una revisione dell'incidente entro 48 ore. Aggiornate i runbook, rendete più restrittivi i limiti di frequenza e adeguate le soglie degli avvisi in base a quanto osservato.

In che modo SentinelOne rafforza la resilienza agli attacchi DoS e DDoS?Singularity™ Endpoint include firewall integrati e sistemi di prevenzione delle intrusioni (IPS) che filtrano autonomamente il traffico di rete e bloccano in modo proattivo modelli di attacco DoS come le scansioni delle porte.

La Singularity Platform di SentinelOne si basa su Autonomous Security Intelligence (ASI) — il tessuto di intelligence integrato nelle fondamenta della piattaforma che identifica i comportamenti dannosi, automatizza le attività critiche e risponde alle minacce alla velocità delle macchine. ASI offre ai team di sicurezza gli strumenti per rilevare e bloccare le minacce DoS e DDoS prima che si aggravino, su endpoint, cloud, identità e superfici di attacco dell'IA. usa AI e machine learning per rilevare modelli di comportamento insoliti alla velocità delle macchine. Correla la telemetria proveniente dagli endpoint, i dati di identità e la visibilità cloud per identificare quali dispositivi si stanno comportando come nodi relay di botnet e quando. include firewall e sistemi di prevenzione delle intrusioni (IPS) integrati, che filtrano autonomamente il traffico di rete e bloccano in modo proattivo schemi di attacco DoS come le scansioni delle porte.

Se i tuoi attaccanti stanno usando strumenti di AI per lanciare attacchi DDoS o DoS, allora usa l'intelligenza artificiale e il machine learning per rilevare comportamenti anomali alla velocità delle macchine. Correla la telemetria degli endpoint, i dati delle identità e la visibilità sul cloud per individuare quali dispositivi si comportano come nodi di inoltro di una botnet e quando. può individuarli ed evitare che eseguano azioni agentic AI non autorizzate.

Se gli aggressori usano strumenti di intelligenza artificiale per lanciare attacchi DDoS o DoS, può monitorare il traffico di rete e identificare dispositivi non autorizzati o rogue che partecipano ad attacchi distribuiti. SentinelOne si integra anche con partner terzi come Imperva per offrire funzionalità specializzate di scrubbing DDoS e protezione API per attacchi volumetrici su larga scala. può individuarli e impedire loro di eseguire azioni agentiche non autorizzate tramite l'IA.

Per indagini più approfondite, può monitorare il traffico di rete e individuare i dispositivi non autorizzati o non gestiti che partecipano agli attacchi distribuiti. SentinelOne si integra anche con partner terzi come Imperva per offrirvi servizi specializzati di filtraggio DDoS e protezione delle API contro attacchi volumetrici su larga scala. consente agli analisti di porre query in linguaggio naturale sull’intero stack di sicurezza, facendo emergere modelli di attacco, segnali comportamentali e workflow di risposta senza dover conoscere linguaggi di query complessi. Secondo una ricerca IDC, Purple AI aiuta le organizzazioni a identificare le minacce alla sicurezza il 63% più velocemente, a ridurre il tempo di remediation fino al 55% e a ottenere fino al 338% di ROI in tre anni (IDC, luglio ’25). Offre inoltre ai team la visibilità più ampia sull’intero stack di sicurezza aziendale con funzionalità integrate di threat hunting.

Per indagini più approfondite, Purple AI permette agli analisti di formulare query in linguaggio naturale sull’intero stack di sicurezza — individuando schemi di attacco, segnali comportamentali e flussi di lavoro per la risposta senza conoscere linguaggi di query complessi. Secondo una ricerca IDC, con Purple AI le organizzazioni identificano le minacce alla sicurezza il 63% più rapidamente, riducono i tempi di remediation fino al 55% e ottengono un ROI fino al 338% in tre anni (IDC, luglio ‘25). Offre inoltre ai team la massima visibilità sull’intero stack di sicurezza aziendale, con funzionalità integrate di ricerca delle minacce.

Conclusione

Conclusione

Gli attacchi DoS partono da un unico sistema mentre quelli DDoS sfruttano migliaia di dispositivi compromessi, risultando molto più potenti e difficili da rintracciare. Per bloccarli servono difese più rapide degli attacchi stessi — una protezione autonoma che copra rete, endpoint, cloud e identità senza lasciare lacune tra gli strumenti. SentinelOne unisce rilevamento AI-native, risposta alla velocità delle macchine e visibilità unificata in un'unica piattaforma affinché il vostro team intervenga prima che un attacco provochi danni duraturi. Prenotate una demo in diretta per scoprire come SentinelOne protegge dalle minacce DoS e DDoS.