Attaques DDoS

Qu'est-ce qu'une attaque DDoS ?

Une attaque par déni de service distribué (DDoS) utilise de nombreux appareils compromis, souvent un botnet, pour envoyer à une cible plus de trafic ou de requêtes qu'elle ne peut en traiter, de sorte que les vrais utilisateurs ne peuvent plus y accéder. Contrairement à une simple attaque DoS, le trafic provient de nombreuses sources à la fois, ce qui le rend plus difficile à tracer et à bloquer.

Comment fonctionne une attaque DDoS

L'attaquant prend le contrôle de milliers d'appareils et leur ordonne de viser la même cible au même moment. On distingue en général trois familles :

• Volumétriques : elles saturent la bande passante en amont de la cible. Une attaque par amplification DNS en est l'exemple classique.
• De protocole : elles épuisent les tables de connexions ou les répartiteurs de charge avec des connexions malformées ou à moitié ouvertes.
• Couche application : elles envoient des requêtes d'apparence légitime mais coûteuses à traiter, comme dans une attaque DDoS de la couche application ou une inondation HTTP.

Signes d'une attaque

• Le site ou un service devient soudain lent ou inaccessible.
• Le trafic augmente sans campagne, lancement ni actualité pour l'expliquer.
• De nombreuses requêtes visent la même URL ou viennent de quelques réseaux ou de clients identiques.
• Les erreurs et les délais d'attente augmentent alors que les commandes ou connexions réelles baissent.

Ces signes correspondent aussi à un simple pic de visites ou à un bug, ils ne prouvent donc pas une attaque. Selon la CISA, la meilleure façon de la confirmer est d'observer le trafic réseau via un pare-feu ou un système de détection d'intrusion.

Impact sur une entreprise

Le coût direct est l'indisponibilité : pas de ventes, pas d'inscriptions, pas de support. S'y ajoutent des coûts indirects : perte de confiance, charge pour le support, dépenses d'urgence. Une attaque peut aussi servir de diversion pendant qu'autre chose se passe ailleurs : vérifiez aussi le reste de vos systèmes.

Se préparer et réagir

• Placez un service de protection DDoS ou un CDN devant le serveur d'origine. Voir protection contre le DoS et comment arrêter les attaques DDoS.
• Limitez le débit des endpoints coûteux et mettez en cache ce qui peut l'être.
• Rédigez un plan de réponse : qui décide, qui contacte le fournisseur, comment communiquer.
• Gardez les adresses d'origine privées et limitez l'accès direct aux plages de votre fournisseur.
• Connaissez votre trafic habituel pour repérer vite une anomalie.

Où se placent les tests de charge et la surveillance

Un test de charge ne simule pas une attaque DDoS, et LoadFocus ne propose pas de simulation d'attaque. Il montre en revanche votre limite de capacité avec un trafic normal : à partir de quand les temps de réponse montent et les erreurs apparaissent. Vous savez ainsi de quelle marge vous disposez avant qu'un pic, hostile ou non, ne fasse tomber votre système. Trouvez cette limite avec un test de charge dans le cloud et lisez les articles sur les tests de pic et sur test de charge ou test de stress pour préparer vos scénarios. Ne testez que des systèmes qui vous appartiennent ou pour lesquels vous avez une autorisation.

Questions fréquentes sur les attaques DDoS

Quelle est la différence entre DoS et DDoS ?

Une attaque DoS vient d'une seule source. Une attaque DDoS vient de nombreuses sources à la fois, en général un botnet : bloquer une seule adresse ne l'arrête donc pas.

Un test de charge me protège-t-il d'une attaque DDoS ?

Non. Un test de charge ne bloque pas les attaques. Il montre quel trafic normal votre système supporte avant de ralentir ou de tomber, ce qui aide à dimensionner la capacité et à régler des alertes. La protection vient d'un service d'atténuation DDoS, de la limitation de débit et d'un plan de réponse.

Comment savoir si un pic de trafic est une attaque ?

Regardez le profil. Un pic légitime correspond en général à une campagne ou à un événement et se répartit sur de nombreuses pages et régions. Une attaque vise souvent une URL, vient de peu de réseaux ou de clients et provoque des erreurs sans commandes en plus.

Un CDN arrête-t-il les attaques DDoS ?

Un CDN absorbe et filtre une grande partie des inondations volumétriques et de requêtes, mais ce n'est pas une protection complète. Gardez l'origine privée, ajoutez des limites de débit et vérifiez ce que votre fournisseur inclut.