Déni de service et DDoS

Une attaque par déni de service (DoS) tente de rendre un système ou une ressource réseau indisponible pour les utilisateurs légitimes en le submergeant de trafic ou en exploitant des vulnérabilités qui provoquent l’arrêt du service.

Une attaque DoS provient d’une seule source. Une attaque DDoS (DoS distribué) utilise des milliers ou des millions d’appareils compromis (réseaux de zombies) ou des mécanismes d’amplification pour générer le trafic d’attaque. Les attaques DDoS sont beaucoup plus difficiles à bloquer, car leur source est répartie dans le monde entier.

Les attaques volumétriques saturent la bande passante de la cible avec du trafic brut :

• Inondations UDP — des paquets UDP usurpés saturent la bande passante
• Inondations ICMP — des paquets ping submergent la cible
• Amplification DNS — de petites requêtes DNS renvoient de grandes réponses à la victime

La mesure s’effectue en Gbit/s — certaines attaques dépassent 1 Tbit/s.

Les attaques de protocoles exploitent les faiblesses des protocoles réseau :

• Inondation SYN — envoie des milliers de paquets TCP SYN et épuise les tables de connexions du serveur
• Ping de la mort — envoie des paquets ICMP surdimensionnés qui font planter les systèmes vulnérables
• Attaque Smurf — des paquets ICMP usurpés sont envoyés à la diffusion du réseau et tous les hôtes répondent à la victime

Les attaques au niveau applicatif (couche 7) ciblent des fonctions précises d’une application au moyen de requêtes qui semblent légitimes :

• Inondation HTTP — envoie des millions de requêtes GET/POST
• Slowloris — envoie lentement des en-têtes HTTP partiels et occupe toutes les connexions du serveur
• Épuisement de SSL — exploite le coût en CPU de l’établissement de liaison TLS

L’amplification exploite des protocoles qui renvoient beaucoup plus de données qu’ils n’en ont reçu :

• Amplification DNS : facteur d’amplification de 60 fois
• Amplification NTP : facteur d’amplification de 556 fois
• Amplification Memcached : facteur d’amplification de 51 000 fois (en 2018 : attaque de 1,7 Tbit/s)

Les attaquants usurpent l’IP de la victime comme adresse source — les réflecteurs lui envoient d’énormes réponses.

Les centres de nettoyage sont des infrastructures spécialisées qui absorbent et filtrent le trafic DDoS avant qu’il n’atteigne la cible. Les principaux fournisseurs (Cloudflare, Akamai, AWS Shield) disposent de centaines de Tbit/s de capacité de nettoyage.

Défenses au niveau applicatif :

• Limitation du débit par IP et par utilisateur
• Défis CAPTCHA pour les schémas de trafic suspects
• Limitation des connexions
• Blocage fondé sur la réputation des IP (adresses IP de réseaux de zombies connus)

Anycast répartit le trafic d’attaque entre plusieurs centres de données répartis dans le monde. Au lieu qu’une seule cible absorbe tout le trafic, la charge est répartie. Cloudflare et d’autres réseaux de diffusion de contenu utilisent Anycast pour gérer des attaques volumétriques massives.

Les DDoS sont couramment utilisés comme outil de cyberguerre. Incidents majeurs :

• 2007, Estonie — des sites gouvernementaux et bancaires mis hors ligne pendant une crise politique
• 2022, Ukraine — des sites du gouvernement ukrainien ciblés pendant l’invasion russe
• Des hacktivistes utilisent les DDoS pour faire des déclarations politiques

Les organisations peuvent tester leur résilience avec des outils autorisés de test de charge :

• siege — test de charge HTTP
• ab (Apache Bench) — test simple des performances HTTP
• Services commerciaux de test de résistance (avec autorisation)

Ne testez jamais des systèmes qui ne vous appartiennent pas ou pour lesquels vous n’avez pas d’autorisation écrite.

Quel type d’attaque envoie très lentement des en-têtes HTTP incomplets afin d’occuper toutes les connexions disponibles du serveur ?

Les attaques DoS et DDoS empêchent un service de fonctionner en submergeant les cibles de trafic ou en exploitant les faiblesses des protocoles. Les types d’attaques comprennent les attaques volumétriques (inondations UDP/DNS), les attaques de protocoles (inondation SYN) et les attaques au niveau applicatif (Slowloris, inondations HTTP). Les défenses incluent les centres de nettoyage, Anycast, la limitation du débit et les CAPTCHA. Les attaques par amplification multiplient la puissance d’une attaque en exploitant des réflecteurs.