Scaricare i siti web che utilizzano DDoS-Guard

Informazioni su DDoS-Guard

Quando una richiesta raggiunge un sito protetto, la prima macchina a rispondere non è il sito. Davanti si colloca una rete di filtraggio, che assorbe il traffico giudicato ostile e lascia passare il resto, il che significa che la tecnologia che rileviamo è lo scudo e non il server. Ogni riga relativa a DDoS-Guard va letta in questo modo. Il dominio è servito attraverso il fornitore, e dove si trovino davvero i contenuti è una questione distinta, a cui il nostro rilevamento non risponde.

La parte più sorprendente di questo record è la geografia. A ottobre 2026 il file contiene 676.532 siti protetti dal servizio, e 564.307 di questi si trovano in Russia, mentre l’estensione di dominio che vediamo più spesso è .ru. Una concentrazione di questo livello fa del fornitore un segnale di infrastruttura regionale più che un segnale tecnologico. La presenza indica in quale mercato opera un sito, quali rapporti di pagamento e di assistenza erano praticabili per il suo proprietario e spesso sotto quale giurisdizione chi lo gestisce si sente a proprio agio.

Il fornitore ha attirato l’attenzione anche fuori dal proprio mercato d’origine, perché dietro di esso sono comparsi siti rifiutati o rimossi da altre reti, e per questo gli analisti che monitorano le infrastrutture usate per abusi ne osservano la diffusione. In un rilevamento non c’è nulla che implichi qualcosa su un dominio in particolare, e l’uso onesto dell’elenco è l’opposto della colpa per associazione. Ciò che l’elenco offre è una popolazione da esaminare, non un verdetto da applicare a un nome. Fondata nel 2011, l’azienda ha costruito attorno al filtraggio il consueto stack di protezione, che comprende un web application firewall, la terminazione dei certificati e la distribuzione dei contenuti, per cui un cliente acquista prestazioni e comodità oltre che protezione.

C’è un ulteriore motivo per cui la diffusione del servizio merita di essere misurata anziché presunta. I servizi di protezione si acquistano sotto pressione, di solito dopo un incidente, per cui i loro elenchi di clienti registrano dove gli attacchi sono effettivamente arrivati e non dove i proprietari pensavano che potessero arrivare. Una mappa di chi è protetto è una mappa indiretta di chi è stato preso di mira, un’informazione che nessun sito pubblica su se stesso.

Qui due limiti contano più che nella maggior parte delle categorie. I siti passano rapidamente da un fornitore di protezione all’altro, a volte durante un attacco e a volte a pochi giorni di distanza, per cui una riga è un’istantanea scattata al momento della scansione e la data della scansione pesa quanto il valore contenuto nella riga. Inoltre, poiché il proxy termina la connessione, l’analisi del dominio basata sull’indirizzo restituisce il fornitore e non il server di origine, il che appiattisce configurazioni davvero diverse sotto un’unica etichetta e rende le colonne di infrastruttura associate meno affidabili per questi domini che per quelli non serviti tramite proxy.

I team di threat intelligence, i gruppi che si occupano di tutela del marchio, le funzioni di compliance che verificano i fornitori e i ricercatori che mappano quali servizi si collocano davanti ai siti web hanno tutti bisogno dello stesso materiale, e una ricerca puntuale su un dominio non ne fornisce nulla. Un elenco scaricabile permette di contare la popolazione, suddividerla per paese e per estensione di dominio, incrociarla con una lista di sorveglianza già in uso e confrontare istantanee consecutive per vedere quali domini sono arrivati e quali se ne sono andati. In questa categoria la vera scoperta è il movimento tra fornitori, e il movimento diventa visibile solo quando si dispone dell’intero insieme invece che di una risposta alla volta.