Una botnet DDoS è un gruppo di dispositivi compromessi che un attaccante controlla centralmente per inviare grandi volumi di traffico verso un bersaglio. Il traffico può consistere in semplici flood di connessioni, richieste applicative o abuso di amplificazione, ma l'obiettivo è lo stesso: esaurire banda, CPU, memoria o limiti di sessione in modo che un servizio diventi lento o non disponibile.
Le botnet DDoS sono importanti perché trasformano molti host a bassa potenza - spesso router, telecamere o altri sistemi IoT - in un'infrastruttura di attacco scalabile. Di solito vengono create tramite password deboli, servizi di accesso remoto esposti o malware che aggiunge il dispositivo a una rete di command-and-control. I difensori cercano segnali come connessioni in uscita insolite, ripetuti tentativi di accesso e picchi di traffico da diversi IP sorgente. Le mitigazioni includono la modifica delle impostazioni predefinite, la disattivazione dei servizi di gestione non necessari come Telnet, la segmentazione dei dispositivi, il rate limiting e il monitoraggio del traffico di comando persistente.