Attaques par déni de service

Une attaque par déni de service (DoS) tente de rendre un service indisponible pour les utilisateurs légitimes en le saturant. Contrairement aux attaques qui volent des données, une attaque par déni de service cible la disponibilité, le troisième pilier de la triade CIA.

En submergeant un serveur ou un réseau de trafic ou de requêtes qu’il ne peut pas traiter, l’attaquant épuise ses ressources jusqu’à empêcher les vrais utilisateurs d’accéder au service.

Une attaque DoS classique provient d’une seule source. Une attaque DDoS (déni de service distribué) provient simultanément de nombreuses sources, souvent des milliers, ce qui la rend beaucoup plus difficile à arrêter.

Bloquer une adresse IP attaquante est facile ; bloquer le trafic provenant de dizaines de milliers d’adresses dispersées, dont beaucoup appartiennent à des machines détournées à l’insu de leurs propriétaires, constitue le véritable défi qui rend les attaques DDoS si dangereuses.

Les attaques DDoS sont généralement menées par un réseau de zombies : un réseau d’ordinateurs et d’appareils IoT infectés par des logiciels malveillants que l’attaquant contrôle à distance. Chaque machine infectée, appelée bot ou zombie, envoie du trafic d’attaque sur commande.

Les propriétaires ignorent souvent que leurs appareils participent à l’attaque. Les appareils IoT peu sécurisés, comme les caméras, ont permis de créer d’immenses réseaux de zombies capables de générer des volumes d’attaque considérables.

Les attaques volumétriques submergent simplement la cible d’un trafic énorme afin de saturer sa bande passante Internet. Si le canal est rempli de données indésirables, le trafic légitime ne peut plus passer.

Les exemples comprennent les saturations UDP et les saturations ICMP (ping). La défense consiste à disposer d’une capacité suffisante ou à utiliser un nettoyage en amont pour absorber ou filtrer le flot avant qu’il ne remplisse votre liaison.

Les attaques contre les protocoles épuisent les ressources des serveurs ou des appareils en exploitant le fonctionnement des protocoles. L’exemple classique est la saturation SYN : l’attaquant démarre de nombreuses connexions TCP (en envoyant des paquets SYN), mais ne les termine jamais, remplissant la table des connexions du serveur.

Le serveur attend des négociations qui ne se terminent jamais, jusqu’à ne plus pouvoir accepter de nouvelles connexions et à refuser ainsi le service aux utilisateurs réels.

Les attaques de la couche applicative ciblent le logiciel lui-même avec des requêtes apparemment légitimes, mais coûteuses à traiter, comme des recherches complexes ou des chargements répétés de pages. Elles utilisent beaucoup moins de bande passante et sont donc plus discrètes.

Comme chaque requête semble normale, il est difficile de distinguer le trafic d’attaque de celui des vrais utilisateurs. Ces attaques sont donc particulièrement difficiles à détecter et à filtrer sans nuire aux visiteurs légitimes.

Les attaques par amplification démultiplient la puissance de frappe de l’attaquant. Celui-ci envoie de petites requêtes avec une adresse source usurpée (celle de la victime) à des serveurs qui répondent par des messages beaucoup plus volumineux, comme des serveurs DNS ou NTP mal configurés.

Une minuscule requête déclenche une réponse massive destinée à la victime. L’attaquant amplifie ainsi son trafic à plusieurs reprises tout en se dissimulant derrière l’usurpation.

Les signes d’une attaque par déni de service comprennent des pics soudains de trafic, des services qui ralentissent ou atteignent le délai d’attente, une utilisation inhabituellement élevée des ressources et un flot de connexions provenant de nombreuses adresses. La surveillance et les valeurs de référence aident à repérer rapidement cette hausse anormale.

Une détection rapide est essentielle : plus tôt vous identifiez une attaque plutôt qu’un pic normal de trafic, plus tôt les mesures d’atténuation peuvent commencer et plus les temps d’indisponibilité peuvent être limités.

Les défenses se complètent :

• La limitation du débit plafonne le nombre de requêtes par source.
• Les pare-feu et les IPS filtrent les schémas d’attaque connus.
• Les services de nettoyage DDoS dans le nuage absorbent les flots massifs en amont.
• Les réseaux de diffusion de contenu (CDN) répartissent la charge entre de nombreux serveurs.

Le filtrage anti-usurpation sur Internet réduit également les attaques par amplification à leur source.

Les attaques par déni de service sont particulièrement difficiles, car le trafic d’attaque peut ressembler à du trafic légitime et provenir d’innombrables sources. Vous ne pouvez pas simplement tout bloquer, au risque de refuser vous-même le service.

La défense la plus résiliente associe une capacité suffisante, un nettoyage en amont, un filtrage efficace et un plan d’intervention, en admettant qu’une prévention absolue est impossible et que la résilience constitue l’objectif réaliste.

Une attaque par déni de service vise la disponibilité en saturant une cible ; une attaque DDoS fait de même depuis de nombreuses sources au moyen d’un réseau de zombies. Les types comprennent les attaques volumétriques, contre les protocoles (comme les saturations SYN), de la couche applicative et par amplification. Les défenses associent limitation du débit, pare-feu, réseaux de diffusion de contenu et nettoyage dans le nuage, ainsi que mesures anti-usurpation pour limiter l’amplification.

Testez vos connaissances sur les attaques par déni de service.

Une attaque par déni de service sature un service pour en empêcher la disponibilité ; une attaque DDoS utilise de nombreuses sources provenant d’un réseau de zombies. Les types d’attaque comprennent les saturations volumétriques, les attaques contre les protocoles comme les saturations SYN, les attaques discrètes de la couche applicative et l’amplification par usurpation. Les défenses combinent limitation du débit, pare-feu, réseaux de diffusion de contenu et nettoyage DDoS dans le nuage.