Qu’est-ce qu’une attaque DDoS ?

En quoi consistent les attaques DDoS ? Pourquoi sont-elles si paralysantes ? Et comment pouvez-vous vous défendre contre elles ? Apprenez tout ce que vous devez savoir sur la prochaine attaque DDoS qui pourrait viser votre système, et sur la manière d’y répondre.

Qu’est-ce qu’une attaque par déni de service distribué ?

DDoS est l’abréviation de Distributed Denial of Service (déni de service distribué). Cela vous semble compliqué ? Ne vous inquiétez pas, il s’agit d’un concept assez simple à comprendre.

Lors d’une attaque par déni de service distribué, un grand nombre de « bots » attaquent les ordinateurs cibles. De nombreuses entités attaquent donc une cible, ce qui explique la partie « distribuée ». Les « bots » sont des ordinateurs infectés répartis sur plusieurs sites. Il n’y a pas d’hôte unique. Vous hébergez peut-être un robot en ce moment même sans le savoir.

Lorsque les auteurs d’attaques DDoS dirigent leurs robots contre une certaine cible, cela a des effets assez désagréables. Le plus important est qu’une attaque DDoS vise à déclencher un « déni de service » pour les personnes qui utilisent le système cible. Le réseau cible est alors mis hors ligne. S’il vous est arrivé à plusieurs reprises d’avoir du mal à accéder à un site web de vente au détail, il se peut que vous ayez été confronté à un déni de service. Et il faut parfois des heures, voire des jours, pour s’en remettre.

Comment fonctionne une attaque DDoS ?

Pourquoi les attaques DDoS causent-elles autant de dégâts ? C’est en partie une simple question de ressources. Les serveurs ont une certaine capacité, ce ne sont pas des centres de traitement illimités. Lorsqu’ils dépassent leurs limites, les systèmes à l’intérieur du serveur agissent pour préserver le serveur dans son ensemble. Les sites web ou les utilisateurs ciblés sont alors mis hors ligne.

En général, les attaquants utilisent diverses techniques de déni de service pour bombarder leurs cibles, qu’il s’agisse de paquets de données, de messages ou de demandes de connexion. Toutes ces techniques ont pour effet de transformer les cibles en systèmes confus, lents et souvent dysfonctionnels.

Pour y parvenir, les auteurs d’attaques DDoS doivent contrôler une armée de robots (ou botnet). C’est là que le bât blesse. Cependant, en utilisant l’ingénierie sociale ou social engineering (comme le phishing) pour diffuser des malwares ou inciter les utilisateurs à les télécharger, les pirates peuvent créer les bots dont ils ont besoin.

Une fois que les attaquants ont infecté votre système, celui-ci devient un « bot ». Vous n’avez plus le contrôle total de ce que fait votre ordinateur en ligne. Au lieu de cela, le contrôle passe à un « maître » qui orchestre les attaques DDoS. Pour ce faire, les « maîtres » rassemblent les bots en réseaux de bots et les coordonnent à l’aide d’un logiciel spécial.

Ces réseaux de zombies peuvent être énormes. Par exemple, selon certaines estimations, le Srizbi aurait compté plus de 450 000 bots. Ces forces gigantesques continuent de faire la guerre aux internautes du monde entier, souvent avec des résultats dévastateurs.

Les principaux types d’attaques DDoS

Lorsqu’on parle d’attaque DDoS, il s’agit généralement d’une attaque à grande échelle visant à mettre hors service une cible particulière. Cependant, il existe plusieurs variantes dans la manière dont les attaques DDoS fonctionnent. En général, cela dépend de la partie du réseau qui subit l’attaque.

Les connexions réseau sont constituées de nombreux composants, de sorte qu’une attaque DDoS peut cibler n’importe lequel d’entre eux pour intercepter le service. Dans le modèle OSI d’architecture de réseau, ces composants sont plus communément appelés couches : et ils nous aident à décrire le processus de connectivité :

• Couche d’application (7ième couche) : couche supérieure qui spécifie les protocoles d’interaction avec le réseau.
• Couche de présentation (6ième couche) : elle veille à ce que les données soient présentées dans un format normalisé que les deux systèmes distincts comprennent.
• Couche session (5ième couche) : mécanisme qui gère les sessions ouvertes du réseau destinées à des échanges particuliers.
• Couche transport (4ième couche) : assure l’arrivée fiable des messages et confirme leur réception.
• Couche réseau (3ième couche) : responsable de l’acheminement des paquets de données par le biais d’intermédiaires tels que les routeurs et les serveurs.
• Couche liaison de données (2ième couche) : organise les données en paquets prêts à être envoyés.
• Couche physique (1ère couche) : définit la transmission de bits bruts sur des liaisons de données physiques.

En ce sens, les attaques DDoS se répartissent en trois catégories : les attaques de la couche application, les attaques de protocole et les attaques centrées sur le réseau, en fonction de la couche qu’elles ciblent. Voici ce que fait chacune d’entre elles.

Attaques de la couche application

Les attaques de la couche d’application (couche 7) sont une catégorie d’attaques DDoS qui cible la couche de communication la plus externe, qui spécifie les protocoles et les méthodes d’interface pour l’échange de données. L’objectif est de submerger ces points faibles pour mettre le réseau à genoux, le détourner ou perturber les échanges, en les rendant douloureusement lents.

Détournement BGP : cible le protocole Border Gateway Protocol utilisé pour normaliser les données de routage et d’échange d’informations. Cette attaque de la couche application vise à acheminer le trafic Internet vers une destination non souhaitée en usurpant la propriété de groupes d’adresses IP via des préfixes IP. Cette information peut rapidement se propager à d’autres réseaux, acheminant les utilisateurs vers des pages web incorrectes.

L’attaque Slowloris : cible les demandes de connexion HTTP afin de maintenir le plus grand nombre possible de connexions simultanées ouvertes. Elle exploite le fait que tous les serveurs ont une puissance de traitement limitée. Elle n’affecte que le serveur web, le ralentissant considérablement et annulant les demandes des utilisateurs réels. Elle rend le service douloureusement lent et rejette les demandes authentiques.

Attaque POST lente : une attaque POST lente fonctionne en envoyant des en-têtes HTTP POST correctement spécifiés au serveur web ciblé. Cependant, le corps de l’en-tête est intentionnellement envoyé à une vitesse très faible. Comme l’en-tête du message est légitime et qu’il n’y a rien d’anormal, le serveur répond à la demande. Si le serveur recevait des milliers de ces messages, il pourrait rapidement refuser toutes les autres demandes, saturant ainsi les ressources du serveur.

Attaque par lecture lente : on peut considérer l’attaque par lecture lente comme une attaque POST lente inversée. La différence est que dans le cas d’une attaque POST, la méthode envoie lentement le corps du message. Dans le cas d’une attaque par lecture lente, les requêtes HTTP sont intentionnellement acceptées et lues à une vitesse très lente. Le serveur cible doit garder ces requêtes ouvertes puisque le transfert est en cours, ce qui épuise ses ressources, en particulier dans le cas de réseaux de zombies massifs.

Attaque lente et faible : ce type d’attaque peut cibler le protocole de contrôle de transmission (TCP) via HTTP ou des sessions TCP à des taux très lents. Il s’agit d’une méthode permettant de submerger lentement et régulièrement les serveurs en inondant le pipeline et en refusant les demandes de connexion des utilisateurs authentiques. Cette attaque nécessite beaucoup moins de ressources pour être exécutée et est même possible sans réseau de zombies. De plus, elle contourne les méthodes habituelles d’atténuation des attaques DDoS car les paquets envoyés sont authentiques.

Attaque POST avec charge utile importante : ce type d’attaque exploite le codage XML (langage de balisage extensif) utilisé par les serveurs web pour échanger des données via HTTP. Dans ce cas, le serveur web reçoit des données encodées en XML. Les données sont toutefois modifiées par l’attaquant de sorte qu’une fois dans la mémoire, leur taille est multipliée. Si le serveur reçoit un grand nombre de ces demandes, sa mémoire s’épuise rapidement.

Imitation de la navigation d’un utilisateur : comme son nom l’indique, cette attaque DDoS imite les habitudes de navigation d’un utilisateur réel. Cependant, il s’agit en fait d’un réseau de zombies à grande échelle. Chaque bot imite des personnes réelles qui se rendent sur les sites web, ce qui génère des pics de fréquentation. Il rend impossible la transmission des données des utilisateurs réels, en refusant leurs requêtes.

Attaques protocolaires

Les attaques protocolaires ciblent le processus de transmission des données, en exploitant les couches transport et réseau. Elles visent les protocoles authentifiant des méthodes de connexion présélectionnées. Ce type d’attaque accumule la pression en déjouant les pare-feu et en envoyant des paquets défectueux qui font tomber les systèmes en panne.

SYN floods : cette attaque exploite les vulnérabilités du système d’échange TCP, qui nécessite une demande SYN, un paquet SYN-ACK et un paquet ACK pour authentifier l’échange. Le pirate envoie une demande SYN au serveur, qui répond par un message SYN-ACK, en attendant une confirmation ACK de la part du client. Cependant, le pirate configure son équipement de telle sorte que le paquet ACK n’arrive jamais, laissant le serveur en suspens. Le nombre d’interactions TCP pouvant avoir lieu simultanément sur un serveur donné étant limité, une augmentation du nombre de ces demandes peut rapidement provoquer un crash.

Attaque Fragmented packet : ce type d’attaque vise la capacité maximale possible du protocole Internet Control Message Protocol. Il existe une taille prédéterminée qu’un datagramme de communication Internet normal ne peut pas dépasser. L’attaquant fragmente alors le paquet et l’envoie en plusieurs parties. Une fois que le serveur de réception a réassemblé le paquet, il renvoie une erreur, ce qui fait planter le système.

Attaque par fragmentation IP/ICMP : cette attaque consiste à envoyer des paquets de datagrammes malveillants qui dépassent l’unité de transmission maximale. Le piège, dans ce cas, est que si un paquet est trop grand, il est transféré vers un stockage temporaire. Une fois sur place, il encombre la mémoire, ce qui a pour effet de refuser d’autres demandes.

Smurf DDoS : cette attaque exploite le protocole Internet Control Message Protocol avec une IP de la victime usurpée pour générer des boucles de requête infinies. L’attaquant utilise la victime comme appât, amplifiant les requêtes générées à partir du réseau du serveur. Cela fonctionne comme si la cible demandait des requêtes et était submergée de réponses.

Attaques centrées sur le réseau (volumétriques)

Les attaques centrées sur le réseau ou volumétriques consistent principalement à bombarder les cibles de paquets de données. Ce type d’attaque accumule une énorme quantité de trafic. Il le dirige vers des serveurs qui sont incapables de supporter une charge maximale pendant une période prolongée et qui tombent en panne.

Attaque HTTP flooding : ce type d’attaque submerge le serveur ciblé par un nombre massif de demandes HTTP. Un trop grand nombre de requêtes traitées laisse moins de places disponibles pour les utilisateurs réels. Ces derniers sont privés de service parce que le serveur est occupé à répondre aux requêtes des robots.

Attaque ICMP flood : le type d’attaque volumétrique le plus courant. Elle consiste à demander un grand nombre de requêtes ICMP (Internet Control Message Protocol), également connues sous le nom de pings. Chaque fois que le serveur reçoit une telle requête, il doit diagnostiquer la santé de son réseau. Cette opération épuise les ressources et prend un peu plus de temps que la génération d’une requête.

IPSec flood : cette attaque vise le serveur VPN de la victime, en essayant de le mettre hors service. L’attaquant envoie un grand nombre de requêtes IPSec IKE, obligeant le serveur à répondre par un trafic redirigé. La bonne nouvelle est que ce type d’attaque appartient au passé. Après l’introduction du protocole de tunnel IKEv2, cette vulnérabilité a été largement résolue.

Attaque UDP flood : ce type d’attaque utilise un grand nombre de requêtes UDP (User Datagram Protocol), envoyées plus rapidement que le serveur ne peut y répondre. En raison de l’effet cumulatif supplémentaire d’être bombardé de requêtes qui ne renvoient aucune destination, même le pare-feu du serveur peut s’effondrer. Cela empêche également le service de répondre aux demandes authentiques.

Attaques par amplification de la réflexion : cette attaque consiste à envoyer à un serveur DNS un grand nombre de paquets UDP contenant des adresses IP usurpées. Essentiellement, il les fait rebondir sur l’IP de la victime. La cible reçoit une multitude de réponses comme si elle avait contacté tous ces serveurs. Cela permet au pirate de rester anonyme, en harcelant des utilisateurs innocents avec d’énormes pointes qui encombrent la bande passante.

Les dangers des attaques DDoS

Il existe de nombreuses raisons de neutraliser la menace que représentent les attaques DDoS et les réseaux de zombies. Voici quelques exemples de ce qui peut arriver si vous laissez tomber vos défenses.

Les systèmes commerciaux peuvent tomber en panne : en 2018, l’opérateur ferroviaire danois DSB a été victime d’une attaque DDoS qui a décimé ses horaires d’acheminement. Les systèmes de billetterie sont tombés en panne et les trains ont ralenti pour assurer la sécurité des voyageurs.

Perturbation des serveurs de jeux : en 2016, le monde des jeux en ligne a été ébranlé par la découverte de ce que l’on a appelé l’attaque du botnet Mirai. Dans ce cas, les attaquants cherchaient à mettre hors service les serveurs Minecraft concurrents (qui étaient autrefois un moyen de gagner de l’argent). Cette attaque n’a pas seulement perturbé les joueurs de Minecraft dans le monde entier. Ce qui est encore plus grave, c’est que le réseau de zombies s’est mis à mal et a endommagé des serveurs dans l’est des États-Unis.

La faillite est possible : en 2014, la société Internet Code Spaces s’est avérée être un excellent exemple du pire scénario d’attaque DDoS. Après des attaques répétées, le centre de codage a fermé ses portes. Cela peut arriver à n’importe quelle organisation, il suffit de laisser la porte ouverte aux attaquants DDoS.

Quels sont les effets de l’hébergement d’un robot sur votre système ? L’un des pires aspects des attaques DDoS est la difficulté de détecter si votre système est compromis. Bien qu’il y ait des effets sur les vitesses de connexion, la plupart des utilisateurs ne s’en rendent pas compte. Au lieu de cela, ils poursuivent leurs activités en ligne normales, ignorant totalement les dommages qu’ils causent dans le monde entier.

Cependant, les utilisateurs quotidiens ne sont pas épargnés par les conséquences. Par exemple, les joueurs peuvent voir leur vitesse de connexion chuter et la latence augmenter considérablement lors d’attaques DDoS. Certains jeux comme Runescape ont été victimes de ces attaques, ce qui a entraîné un ping terrible pour de nombreux joueurs.

Carte des attaques DDoS

En ligne, vous pouvez trouver de nombreuses visualisations de flux de données qui mettent en évidence les groupes de cyberattaques. Ces cartes englobent souvent des réseaux de zombies, des centres d’attaque par réflexion, etc. La carte des attaques DDoS n’est donc qu’un des moyens de filtrer les données qui décrivent les directions des attaques DDoS à grande échelle, en les montrant sur une carte à l’aide d’enregistrements historiques. Voici quelques exemples connus.

Carte des attaques DDoS d’Arbor Networks

Le produit de la collaboration entre Google Ideas et Arbor Networks est une visualisation de données en direct qui sert également de source de données historiques et de tendances pour les attaques DDoS. Le projet utilise les données recueillies par le système propriétaire de renseignement sur les menaces ATLAS, en collaboration avec les fournisseurs de services Internet qui ont volontairement accepté de partager les données anonymes recueillies sur leurs utilisateurs.

Carte des menaces de Fortinet

Fortinet threat map est une version de démonstration gratuite de ce qui serait disponible si vous décidiez de vous inscrire et de devenir un utilisateur à part entière de Fortiguard. En affichant les données collectées auprès d’utilisateurs anonymes de produits Fortinet, elle montre les éruptions les plus violentes, indiquées par des codes de couleur différents. Les utilisateurs actuels de Fortiguard disposent d’une meilleure version. Ils peuvent plus facilement surveiller les menaces qui se profilent à l’horizon sur une carte personnalisée.

Carte des cybermenaces en direct de Bitdefender

Bien que Bitdefender soit plus connu pour son service antivirus, il propose également une carte des menaces de cybersécurité qui affiche les attaques DDoS en temps réel. Vous pouvez filtrer les rapports en fonction du type d’attaque et du pays ciblé.

Les plus grandes attaques DDoS

Les attaques DDoS de grande ampleur peuvent avoir des conséquences dévastatrices, même pour ceux qui disposent de la main-d’œuvre et des ressources nécessaires pour limiter les dégâts. Voici les exemples les plus pernicieux d’attaques DDoS passées. N’oubliez pas que cette liste est incomplète et qu’il est fort probable qu’une attaque aussi désastreuse puisse survenir à l’improviste.

1. Attaque DDoS de CloudFlare en 2014

En 2014, le poids lourd de la cybersécurité CloudFlare a été victime d’une attaque DDoS de grande ampleur. Il s’agissait au départ d’une attaque par réflexion contre l’un de ses clients. Cependant, grâce aux méthodes d’atténuation des cybermenaces de CloudFlare, leur autre serveur en Europe a subi les dommages, qui étaient massifs même lorsqu’ils étaient répartis sur plusieurs parcs. Cette attaque a exploité la vulnérabilité du protocole NTP (Network Time Protocol), en utilisant ces serveurs pour faire rebondir des requêtes usurpées vers les victimes, en frappant d’autres serveurs de CloudFlare sur son chemin.

2. L’attaque DDoS de GitHub en 2018

L’exemple de GitHub montre comment une alerte opportune peut aider à atténuer les attaques, même à grande échelle. Il n’y avait pas de grands botnets. Cependant, il envoyait des paquets de données à un taux de 126,9 millions par seconde. Cela représente près de 1,4 téraoctet par seconde. L’attaque a été exécutée en inondant les serveurs memcached de requêtes usurpées, ce qui a considérablement amplifié l’ampleur de l’attaque et redirigé les réponses vers le réseau GitHub. Prolexic Technologies, le fournisseur de solutions d’atténuation des attaques DDoS utilisé par GitHub, a réussi à intercepter les attaques.

3. L’attaque de Dyn en 2016

Le fournisseur de systèmes de noms de domaine (DNS) Dyn, Inc. a été la cible d’une attaque DDoS visant ses systèmes. En raison de la quantité de données que les serveurs DNS partagent, les perturbations ont provoqué une onde de choc sur Paypal, Amazon, Reddit et d’autres pages web, les rendant inaccessibles. L’attaque a perturbé les demandes de consultation DNS qui inondaient leurs serveurs DNS en utilisant le même botnet Mirai.

4. L’incident estonien de 2007

L’un des plus grands exemples d’attaque DDoS peut aussi être un exemple d’intervention d’un pays étranger. Il s’agit de l’un des célèbres exemples de pirates russes qui aggravent votre situation dans le cyberespace.

En 2007, l’Estonie a déplacé un monument de l’Union soviétique dédié aux soldats qui ont péri pendant la Seconde Guerre mondiale. Peu de temps après, le parlement estonien, les services gouvernementaux et même les médias et les diffuseurs se sont retrouvés au cœur d’une attaque DDoS de grande ampleur. De l’avis général, c’est la Russie qui a dirigé les attaques. Toutefois, comme la Russie n’a pas donné suite aux demandes de l’Estonie de poursuivre son enquête, le mystère reste entier quant à la manière dont cela s’est produit.

Comment prévenir et arrêter les attaques DDoS ?

La difficulté des attaques DDoS réside dans le fait qu’il n’existe pas de solution miracle pour vous protéger. Les attaques DDoS sont très répandues et il existe plusieurs moyens de contourner les mesures en imitant le trafic d’utilisateurs authentiques. Toutefois, les entreprises peuvent prendre plusieurs mesures pour réduire le risque d’une telle attaque.

• Surveillance. Si vous dirigez une entreprise, vous devez surveiller activement votre réseau pour détecter toutes sortes de menaces possibles, les attaques DDoS n’étant que l’une d’entre elles. Plus vite vous distinguerez un bombardement par un réseau de zombies d’une véritable augmentation du trafic des utilisateurs, plus vite vous pourrez limiter les dégâts avant que vos serveurs ne fondent sous l’effet de la surcharge.
• Préparez un bouclier. Vous seriez surpris de voir le nombre de chefs d’entreprise qui optent pour la solution la moins onéreuse lorsqu’ils installent leurs serveurs. Cela peut rapidement se retourner contre eux si la configuration des serveurs est défectueuse. L’ajout d’une barrière telle que des pare-feu avec des limites de trafic appropriées peut vous aider à éviter les attaques des auteurs de réseaux de zombies plus modestes.
• Si vous êtes sous le feu de l’ennemi, agissez rapidement. L’un des conseils classiques en matière de camping est le suivant : « En cas d’incendie, il faut s’arrêter, se laisser tomber et rouler ». Il en va de même lorsque vous êtes la cible d’un DDoS. Par conséquent, lorsque vous êtes attaqué, vous devez avoir un plan pour savoir quoi faire lorsque l’attaque est déjà en cours. Dans un cas, il peut s’agir de contacter votre fournisseur d’accès à Internet pour lui demander de réacheminer le trafic. Dans d’autres cas, il peut s’agir de contacter votre fournisseur de services d’atténuation des attaques DDoS. Tout dépend de la situation dans laquelle vous vous trouvez. Toutefois, ce qui est vrai dans tous les cas, c’est que plus vous réagissez rapidement, plus vous avez de chances d’arrêter le problème avant qu’il ne cause trop de dégâts.

Pour la plupart des utilisateurs individuels, la plupart de ces conseils ne seront probablement pas très utiles. Il n’est pas très rentable de payer un service d’atténuation des attaques DDoS si vous vous contentez de naviguer sur les médias sociaux et de regarder Netflix. Cependant, il y a aussi deux ou trois choses que vous pouvez faire pour jouer votre rôle.

• Protégez votre réseau. La principale chose que chaque utilisateur doit faire est de s’assurer que son système n’est pas pris en charge par un pirate informatique. Cela peut se produire en cliquant sur des liens suspects et en installant des malwares qui compromettent votre réseau, lequel est ensuite incorporé dans un réseau de zombies à grande échelle qui utilise vos ressources contre les cibles de l’attaquant. Pour cela, nous vous recommandons d’utiliser un VPN doté d’une protection DDoS.

FAQ DDoS