DDoS concepts d'attaque

Les attaques par déni de service distribué (DDos, Distributed Denial of Service) représentent la forme d'attaque Internet la plus courante contre les sites Web ou les hôtes.

Une attaque par déni de service distribué (DDoS) est une tentative de perturbation du trafic normal d'un serveur, d'un service ou d'un réseau qui consiste à saturer la cible ou ses infrastructures environnantes via un volume de trafic Internet important. D'une efficacité redoutable, ces attaques s'appuient sur une multitude de machines infectées comme sources du trafic d'attaque. Les machines exploitées peuvent inclure des ordinateurs et d'autres ressources réseau, telles que les équipements IoT. D'un point de vue général, une attaque de type DDoS s'apparente à un embouteillage qui bloque une autoroute, empêchant ainsi le trafic normal d'atteindre sa destination.

Comment les attaquants génèrent le trafic DDoS

Une attaque DDoS implique qu'un pirate prenne le contrôle d'un réseau de machines en ligne à l'insu des véritables propriétaires des ordinateurs. Les ordinateurs et autres machines (comme les appareils IoT) sont infectés par un logiciel malveillant qui transforme chaque appareil en bot (ou zombie). Le pirate contrôle le groupe de bots, appelé réseau de bots.

Une fois qu'un botnet a été mis en place, le pirate est en mesure de diriger les machines en envoyant des instructions mises à jour à chaque bot via une méthode de contrôle à distance. Lorsqu'une adresse IP est prise pour cible, elle reçoit des requêtes de la part d'un multitude de bots, ce qui peut saturer le serveur ou le réseau ciblé, Ce débordement provoque un déni de service pour le trafic normal. Chaque bot étant un périphérique Internet légitime, il peut s'avérer difficile de séparer le trafic malveillant du trafic normal.

Types courants d'attaques DDoS

Différents vecteurs d'attaque DDoS ciblent des composants distincts d'une connexion réseau. Si la majorité des attaques DDoS impliquent de submerger de trafic une unité ou un réseau cible, ces attaques peuvent toutefois être divisées en trois catégories. Un attaquant peut utiliser un ou plusieurs vecteurs d'attaque, et peut même alterner entre ces différents vecteurs en fonction des contre-mesures mises en place par la cible.

Les trois grandes familles d'attaques DDoS sont les suivantes :

  • Attaques au niveau des applications (Couche 7)
  • Attaques au niveau des protocoles (Couches 3 et 4)
  • Attaques au niveau de la volumétrie (attaques par amplification)

attaques au niveau des applications

Une attaque de couche d'application est parfois appelée Attaque de déni de service distribué (DDoS) Couche-7 (en référence à la couche 7 du modèle OSI). L'objectif de ces attaques est d'épuiser les ressources de la victime, en ciblant la couche où les pages Web sont générées sur le serveur et transmises aux visiteurs en réponse à des requêtes HTTP (la couche application). Les attaques de la couche 7 sont difficiles à contrecarrer, car il peut être difficile d'identifier le trafic comme malveillant.

Attaques au niveau des protocoles

Les attaques de protocole exploitent les failles des couches 3 et 4 de la pile de protocoles ISO pour rendre la cible inaccessible. Ces attaques, également connues sous le nom d'attaques d'épuisement d'état, provoquent une interruption de service en consommant toutes les capacités du tableau d'état disponibles des serveurs d'applications Web, ou de ressources intermédiaires telles que les pare-feu et les équilibreurs de charge.

Attaques volumétriques

Ce type d'attaque vise à provoquer une congestion en accaparant toute la bande passante disponible entre la cible et l'Internet au sens large. De grandes quantités de données sont envoyées à une cible à l'aide d'une technique d'amplification ou par d'autres moyens permettant de générer un trafic massif, tels que des requêtes provenant d'un botnet.

Comment CIS atténue les attaques au niveau du réseau et de l'application

En règle générale, les attaques peuvent être classées en deux catégories :

Types d'attaques de réseau
Attaques de couche 3 ou 4 Attaques de couche 7
Ces attaques consistent en un afflux massif de trafic au niveau de la couche 3 de la norme ISO (la couche réseau), comme les inondations ICMP, ou au niveau de la couche 4 (la couche transport), comme les inondations SYN de type TCP ou les inondations réfléchies de type UDP. Ces attaques envoient des requêtes ISO malveillantes ( Layer-7, au niveau de la couche application), telles que des inondations de requêtes GET.
Bloqué automatiquement au niveau de la passerelle d' CIS CIS gère ces attaques grâce au mode Defense, au WAF et aux paramètres de sécurité.

Que faire en cas d'attaque DDoS ?

  1. Activez le "mode défense" à partir de la page de présentation.
  2. Définissez les enregistrements DNS pour une sécurité maximale.
  3. Ne limitez pas le débit et ne réglez pas la vitesse des requêtes provenant de IBM CIS. La bande passante est nécessaire pour vous aider à résoudre votre problème.
  4. Bloquez certains pays et visiteurs si nécessaire.