Qu'est-ce qu'une attaque par déni de service distribué (DDoS) ?

Qu'est-ce qu'une attaque par déni de service distribué (DDoS) ?

Une attaque par déni de service distribué (DDoS) cherche à rendre un site web, un serveur ou un réseau indisponible en l'inondant de trafic provenant de nombreuses machines à la fois. Selon la CISA, les sources sont généralement un botnet, un groupe d'appareils connectés à internet détournés dont les propriétaires ignorent souvent qu'ils sont infectés. Comme le trafic vient de nombreux endroits, bloquer une adresse n'arrête pas l'attaque, et elle est plus difficile à remonter qu'une simple attaque par déni de service (DoS) depuis une seule source.

Fonctionnement d'une attaque DDoS

L'attaquant contrôle un botnet et ordonne à chaque appareil d'envoyer des requêtes à la même cible. La cible manque de bande passante, de connexions disponibles ou de capacité de traitement, ralentit, et les utilisateurs légitimes obtiennent des erreurs ou des délais dépassés. Les botnets peuvent aussi être loués : lancer une attaque n'exige donc pas de compétence technique, ce qui explique en partie que ces attaques restent courantes.

Principaux types d'attaque DDoS

On regroupe généralement les attaques selon la couche qu'elles surchargent. Chaque type a sa propre fiche :

• Les inondations volumétriques saturent le lien réseau lui-même. Exemples : inondation UDP, amplification DNS et réflexion Memcached, où une petite requête à l'adresse usurpée pousse un serveur à envoyer une réponse bien plus grosse à la victime.
• Les attaques de protocole épuisent l'état des connexions dans les serveurs et équipements réseau, par exemple une inondation SYN qui laisse des demandes de connexion inachevées.
• Les attaques de la couche applicative ressemblent à des requêtes normales mais visent un travail coûteux : le DDoS de couche applicative en général et l'inondation HTTP en particulier.
• Les attaques contre le DNS visent la résolution de noms pour que les utilisateurs ne trouvent plus votre site : voir DDoS contre le DNS.
• L'extorsion associe une attaque, ou sa menace, à une demande de paiement : voir DDoS avec rançon.

Signes d'une attaque

La CISA cite des performances réseau anormalement lentes, un site précis indisponible ou aucun site accessible. Ces symptômes peuvent aussi venir d'une maintenance ou de pannes ordinaires : c'est la surveillance du trafic qui permet de confirmer une attaque. Cherchez un bond soudain des requêtes, concentré sur une URL ou venant d'un petit nombre de réseaux, sans raison commerciale comme une campagne.

Défense

La CISA recommande un service de protection DoS qui filtre le trafic malveillant, un plan de reprise après sinistre couvrant communication, atténuation et rétablissement, un pare-feu limitant le trafic, des paramètres de sécurité solides et une surveillance avec alertes en cas de charge anormale. Les étapes pratiques sont dans comment arrêter les attaques DDoS, protection contre le déni de service et l'aperçu des attaques DDoS.

Où se placent les tests de charge et la surveillance

Un test de charge n'est pas une défense contre les DDoS, et LoadFocus ne simule pas d'attaques DDoS. Il vous donne la limite de capacité sous trafic normal : où les temps de réponse montent et où les erreurs commencent, donc la marge dont vous disposez avant n'importe quel afflux, hostile ou non. Lancez un test de charge cloud pour la trouver et consultez les tests de pic pour les montées brutales. Ne testez que des systèmes qui vous appartiennent ou pour lesquels vous avez une autorisation explicite. Ne dirigez jamais de trafic vers le service d'un tiers.

Questions fréquentes : attaques DDoS

Quelle est la différence entre DoS et DDoS ?

Une attaque DoS vient d'une seule source. Une attaque DDoS vient de nombreuses sources à la fois, en général un botnet : elle est plus massive et bloquer une adresse ne l'arrête pas.

Pourquoi les attaquants utilisent-ils un botnet ?

Un botnet multiplie le volume de trafic et masque la vraie source, car les requêtes arrivent de milliers d'appareils d'apparence ordinaire.

Une attaque DDoS peut-elle voler mes données ?

Le but d'une attaque DDoS est de rendre un service indisponible, pas de prendre des données. Elle peut toutefois servir de diversion pendant qu'autre chose se produit : consultez donc vos journaux pendant un incident.

Puis-je tester mon site contre une attaque DDoS ?

Ne générez pas vous-même de trafic d'attaque. Faites appel à un prestataire de protection proposant des exercices autorisés et contrôlés, et utilisez des tests de charge ordinaires, avec autorisation, pour connaître votre capacité.