Qu'est-ce qu'une attaque DDoS ?

Une attaque par déni de service distribué (DDoS) consiste à inonder une cible – un serveur, une application ou un réseau – de trafic provenant simultanément de nombreuses sources réparties, épuisant ainsi la bande passante, les connexions ou les ressources de calcul jusqu’à ce que le trafic légitime ne puisse plus passer. Ces sources sont généralement des appareils compromis contrôlés par l’attaquant, ce qui rend ce déluge de trafic bien plus difficile à bloquer qu’une attaque provenant d’une seule source.

Points clés à retenir

• Une attaque DDoS inonde une cible de flux provenant de nombreuses sources réparties afin de la priver de service.
• Les attaques vont des inondations volumétriques à l'exploitation abusive des requêtes au niveau de la couche applicative.
• Versa La protection contre les attaques par déni de service (DoS) utilise des profils « agrégés » et « classés » pour bloquer les flux de trafic intenses.
• L'alarme « ddos-threshold » signale les attaques à Analytics, SNMP et syslog.
• Le tableau de bord « Détection des menaces » de Concerto surveille les attaques DDoS en temps réel.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DDoS et Versa · FAQ

Pourquoi les attaques DDoS sont-elles importantes ?

Les attaques DDoS comptent parmi les attaques les plus courantes et les plus perturbatrices visant les infrastructures connectées à Internet. Les attaquants n'ont pas besoin de contourner les défenses de leur cible : il leur suffit d'envoyer un volume de trafic supérieur à ce que la cible, ou les liaisons et pare-feu qui la protègent, sont capables d'absorber. Les techniques utilisées vont du balayage de ports aux inondations TCP et ICMP, en passant par le balayage d'hôtes et les inondations de petits paquets, réparties sur une ou plusieurs sources, ce qui rend inefficace le filtrage basé uniquement sur l'adresse source dès lors que l'attaque est distribuée.

Pour les entreprises, le coût se mesure en termes de disponibilité : une attaque DDoS réussie met hors ligne un service accessible au public, la connexion Internet d’une succursale ou un centre de données tout entier pendant toute la durée de l’attaque, avec des répercussions sur le chiffre d’affaires, le service client et la réputation qui augmentent proportionnellement à la durée de l’indisponibilité. Comme les succursales SD-WAN disposent souvent d’un accès Internet direct (DIA), le réseau local (LAN) et la liaison Internet d’une succursale non protégée sont tous deux exposés à des flux de trafic massifs provenant de l’extérieur du WAN. C’est la détection et le rejet automatiques du trafic malveillant, avant qu’il ne sature la liaison ou n’épuise les tables de session, qui permettent au trafic réel d’une succursale – voix, applications, accès au cloud – de rester utilisable pendant une attaque, plutôt que de simplement y survivre.

Qu'est-ce qu'une attaque DDoS ?

Une attaque par déni de service (DoS) submerge une cible à partir d’une seule source ; une attaque par déni de service distribué (DDoS) fait de même à partir de nombreuses sources simultanément – souvent des milliers d’hôtes compromis (un botnet) dirigés contre une seule victime. C’est cette distribution qui rend les attaques DDoS difficiles à contrer : bloquer une adresse source ne sert à rien lorsque les mille suivantes continuent d’envoyer des requêtes.

Le trafic malveillant revêt plusieurs formes. Les inondations volumétriques (TCP, UDP, ICMP) saturent la bande passante disponible par le volume brut de paquets. Les balayages de ports et d’hôtes recherchent des services ouverts et des adresses accessibles, souvent à titre de reconnaissance avant une attaque de plus grande ampleur. Les inondations de petits paquets à haut débit ciblent le coût de traitement par paquet des pare-feu, des routeurs et des tables de session plutôt que la bande passante brute, épuisant ainsi les ressources de calcul et de suivi des connexions même lorsque la bande passante elle-même ne constitue pas le goulot d’étranglement. Dans tous les cas, l’objectif est le même : consommer une ressource limitée (capacité de liaison, CPU, emplacements de session) plus rapidement que la cible ne peut la traiter, de sorte que les requêtes légitimes soient rejetées en même temps que le trafic d’attaque.

Types d'attaques DDoS

Les attaques DDoS se répartissent généralement en trois catégories, souvent combinées au sein d’une même campagne. Les attaques volumétriques – inondations UDP, inondations ICMP et attaques par réflexion/amplification qui usurpent l’adresse de la victime pour déclencher des réponses surdimensionnées provenant de serveurs tiers – visent à épuiser toute la bande passante disponible sur une liaison ou un circuit. Les attaques de protocole (épuisement des états) – inondations SYN, inondations de paquets mal formés et balayages de ports – ciblent la capacité de suivi et de traitement des connexions des pare-feu, des équilibreurs de charge et des tables de session plutôt que la bande passante ; ainsi, une liaison disposant d’une marge importante peut tout de même être mise hors service. Les attaques de la couche application envoient des requêtes qui ressemblent à du trafic légitime – inondations HTTP, requêtes DNS répétées ou requêtes de handshake TLS – à un débit conçu pour épuiser une application ou un service spécifique, ce qui les rend plus difficiles à distinguer d’un véritable pic de trafic sans inspection approfondie. Une protection DDoS efficace doit couvrir ces trois types d’attaques, car un attaquant bloqué à un niveau passe souvent à un autre.

DDoS et Versa

Versa Secure SD-WANLa protection contre les attaques par déni de service (DoS) fait partie des fonctionnalités du pare-feu avec suivi d’état (NGFW) et nécessite l’abonnement correspondant. Cette protection repose sur deux éléments : un profil DoS qui définit les seuils de saturation, et une règle de politique DoS qui identifie le trafic en fonction de la zone, de la source, de la destination, de l’en-tête IP ou du service TCP/UDP, et applique le profil avec une action « Protéger ». Il existe deux types de profils : le profil « Agrégé », qui surveille les seuils sur l’ensemble du trafic correspondant et convient aux attaques réparties sur un large éventail d’adresses sources, et le profil « Classifié », qui suit les seuils par paire d’adresses IP source-destination et convient aux attaques visant un terminal spécifique ou limitées à quelques sources. Un déploiement type protège le réseau local (LAN) d’une succursale ou un circuit d’accès direct à Internet (DIA) contre les inondations provenant d’Internet.

Lorsqu’un périphérique bloque une attaque, la session est marquée du module de rejet « ddos » et est visible depuis l’onglet « Monitor », l’interface CLI et Versa Analytics sous « Logs > Threat Detection > DDoS » et « Dashboard > Security > Threats > DDoS ». Les tableaux de bord de sécurité de Concerto offrent la même visibilité par locataire sous « Protection Internet > Détection des menaces > DDoS ». Par ailleurs, l’alarme de périphérique « ddos-threshold » se déclenche – et s’efface automatiquement dès que le trafic repasse en dessous du seuil – avec un niveau de gravité « Major » ou « Critical » ; elle est envoyée par défaut vers Analytics, SNMP et syslog.

Questions fréquentes

Quelle est la différence entre une attaque DoS et une attaque DDoS ?

Une attaque DoS provient d'une seule source ; il suffit donc de bloquer cette source pour y mettre fin. Une attaque DDoS, quant à elle, inonde la cible de trafic provenant simultanément de nombreuses sources – souvent un botnet composé d'appareils piratés – ; aucun blocage isolé n'est donc efficace. Pour y remédier, il faut plutôt recourir à une détection basée sur des seuils et sur le comportement.

Quelle est la différence entre les profils DoS « agrégés » et « classés » ?

Un profil « Agrégé » surveille les seuils pour l'ensemble du trafic correspondant à une politique DoS ; il est adapté aux attaques réparties sur de nombreuses adresses IP sources et ciblant un sous-réseau. Un profil « Classifié » suit les seuils par paire d'adresses IP source et destination ; il est adapté aux attaques visant un seul terminal ou quelques sources.

Comment « Versa » détecte-t-il une attaque DDoS en cours ?

Les sessions d'attaque bloquées sont identifiées par le module de blocage « ddos » et sont visibles depuis l'onglet « Monitor » et via l'interface CLI en temps quasi réel. Versa Analytics enregistre les détails dans la section « Logs > Threat Detection > DDoS », et aussi bien Analytics que l'onglet « Threat Detection > DDoS » de Concerto présentent un graphique des principales attaques.

Une alerte DDoS se désactive-t-elle automatiquement ?

Oui. L'alarme du dispositif « ddos-threshold » s'efface automatiquement : elle se déclenche lorsque le trafic agrégé ou classifié dépasse le seuil configuré, et s'efface d'elle-même dès que le trafic repasse en dessous de ce seuil. Aucune confirmation manuelle n'est requise, contrairement aux alarmes d'événement telles que celles liées à une modification de configuration.

Peut-on empêcher totalement les attaques DDoS ?

Pas tout à fait : le trafic distribué, usurpé ou réfléchi ne peut pas toujours être bloqué avant d'atteindre la périphérie d'un réseau. L'objectif réaliste est l'atténuation : des profils basés sur des seuils et un filtrage tenant compte des protocoles, qui détectent et rejettent le trafic malveillant suffisamment rapidement pour permettre au trafic légitime de continuer à circuler.

En savoir plus sur les attaques DDoS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux attaques DDoS, voici quelques articles qui méritent d'être consultés ensuite.