Attaque par déni de service distribué (DDoS)

Comment fonctionnent les attaques DDoS

Une attaque DDoS commence par un réseau de zombies. Un botnet est un réseau d'ordinateurs infectés par un logiciel malveillant conçu pour les attaques DDoS et d'autres utilisations malveillantes. Les utilisateurs peuvent être incités à télécharger le logiciel infecté par le biais de courriels d'hameçonnage, de sites web infectés, voire de réseaux sociaux, en profitant d'exploits connus dans les logiciels et les systèmes d'exploitation.

Une fois ces ordinateurs infectés, le botnet "wrangler" peut contrôler toutes ces machines à l'insu de l'utilisateur et à distance à partir d'une seule application. Une fois que le réseau de zombies atteint une taille suffisante, il peut être utilisé pour lancer une attaque contre n'importe quelle cible.

Lorsqu'un réseau de zombies est prêt, l'attaquant peut envoyer une commande de démarrage qui permettra à chaque machine du réseau d'envoyer un flot de requêtes à la cible visée. Si l'attaque parvient à franchir les défenses, elle peut rapidement prendre le dessus sur la plupart des systèmes, provoquant des interruptions de service et éventuellement l'effondrement des serveurs.

De nombreux attaquants qui ont créé des réseaux de zombies proposent leurs services à prix d'or sur les marchés en ligne et le darknet, ce qui permet à n'importe qui de lancer une attaque DDoS.

Types d'attaques DDoS

Les attaques DDoS se présentent sous de nombreuses formes, en fonction de l'objectif poursuivi par l'attaquant. Les trois principales catégories sont les attaques basées sur le volume, les attaques de protocole et les attaques de la couche d'application.

Attaque basée sur le volume

Ce type d'attaque tente d'utiliser toute la bande passante disponible entre la cible et l'internet. L'un des moyens utilisés est l'amplification, qui consiste à inonder un serveur DNS d'une adresse IP usurpée (l'adresse IP de la cible), ce qui déclenche des réponses DNS beaucoup plus importantes vers la cible. Les protocoles SNMP et NTP sont également utilisés dans les attaques basées sur le volume. Les réponses que la cible reçoit finissent par engorger le réseau et bloquer le trafic entrant.

Attaque de protocole

Les attaques de protocole perturbent un service en épuisant les ressources des équipements de réseau tels que les équilibreurs de charge et les pare-feu. Ces attaques visent les couches réseau et liaison de données de la pile de protocoles. Un type d'attaque de protocole est appelé "SYN flood". Ce type d'attaque utilise la poignée de main TCP pour inonder un réseau. Le botnet envoie à la cible une quantité massive de paquets SYN de demande de connexion initiale TCP en utilisant des adresses IP usurpées. Les ressources de la machine cible s'épuisent, dans l'attente de l'étape finale de toutes ces demandes qui ne se produiront jamais.

Attaque de la couche d'application

Ce type d'attaque DDoS cible les applications fonctionnant sur votre réseau, en particulier les applications web qui répondent aux requêtes HTTP. Les requêtes HTTP sont légères pour le client mais peuvent nécessiter beaucoup de ressources de la part du serveur pour générer la réponse. Une demande peut impliquer l'exécution d'un code, plusieurs requêtes d'images et des requêtes de base de données. Un réseau de zombies utilisant une attaque au niveau de la couche d'application peut faire tomber un serveur en frappant simplement la même page web à partir de chacun de ses nœuds en même temps.

Symptômes d'une attaque DDoS

Un symptôme d'une attaque DDoS est un site ou un service qui, de manière évidente et soudaine, est devenu lent ou ne répond plus, mais tous les sites lents ne font pas l'objet d'une attaque. Les pics de trafic et les problèmes légitimes de serveur peuvent provoquer le même type de non-réponse.

Pour déterminer si vous êtes victime d'une attaque DDoS, vous devrez procéder à des recherches plus approfondies à l'aide d'outils d'analyse du trafic afin de déterminer le type de trafic que vous recevez, sa provenance et sa destination. Voici quelques signes d'une attaque DDoS :

• Quantités anormales de trafic provenant d'une seule adresse IP ou d'une série d'adresses.
• Des pics de trafic bizarres qui se produisent à des moments étranges de la journée, pendant une durée limitée, ou qui suivent un modèle.
• Un afflux soudain de trafic vers une seule page web ou un seul service
• Un afflux de trafic en provenance d'utilisateurs ayant un profil similaire, comme la géolocalisation, la version du navigateur ou le type d'appareil.

Prévenir les attaques DDoS

Protéger un réseau contre une attaque DDoS n'est pas la tâche la plus simple. Ce n'est pas comme les logiciels malveillants ou les virus que vous pouvez supprimer des systèmes infectés. Les attaques DDoS proviennent de l'extérieur d'un réseau et peuvent ressembler à du trafic normal jusqu'à ce que vous examiniez les détails. Il est important d'agir rapidement dès qu'une attaque DDoS est détectée, car ce type d'attaque peut mettre hors service un site web ou un service en quelques minutes.

Sécurisez votre routeur

Votre routeur est la passerelle d'entrée et de sortie de votre réseau. Si les robots d'un réseau de zombies ne peuvent pas passer par le routeur, ils ne peuvent pas affecter les services de ce dernier. Il constitue votre première ligne de défense et doit être configuré pour filtrer le trafic par priorité et bloquer toute donnée ou trafic menaçant.

Sécuriser les dispositifs IdO

De nombreuses personnes qui sécurisent leurs ordinateurs portables et leurs téléphones n'hésitent pas à laisser le mot de passe par défaut sur leurs appareils IoT. De nombreux appareils IoT utilisent des systèmes d'exploitation Linux complets qui peuvent être et ont été ciblés par des logiciels malveillants qui les transformeront en robots dans un réseau de zombies. C'est pour cette raison qu'ils sont une cible privilégiée. En sécurisant vos appareils IoT à l'aide d'un mot de passe fort, vous éviterez qu'ils ne deviennent un autre robot dans un réseau de zombies.

Utiliser l'apprentissage automatique

La détection d'une attaque DDoS passe par l'analyse du trafic. Il est possible de le faire manuellement, mais la technologie d'apprentissage automatique permet de détecter rapidement le trafic malveillant. Le trafic peut être analysé en temps réel pour détecter les schémas et les anomalies DDoS connus, et tout trafic suspect peut être bloqué avant qu'il n'ait une chance de ralentir un service ou un site web.

Conclusion

Une attaque par déni de service distribué ou DDoS est une tentative de bloquer l'accès à un site web ou à un service en l'inondant de requêtes afin de surcharger le système. Les attaquants y parviennent en infectant une armée de machines avec des logiciels malveillants qu'ils peuvent utiliser pour cibler n'importe quel site ou service de leur choix. Le dépannage et la prévention des attaques DDoS ne sont pas simples et impliquent l'analyse du trafic à la recherche d'anomalies, mais avec les bons outils, les attaques DDoS peuvent être marginalisées ou évitées.