Qu'est-ce qu'une attaque DoS ?

Une attaque par déni de service (DoS) consiste à tenter de perturber les services réseau et d'empêcher l'accès aux utilisateurs légitimes en submergeant la cible d'un trafic inutile provenant d'une ou plusieurs sources, afin d'épuiser ses ressources matérielles et logicielles jusqu'à ce qu'elle ne puisse plus répondre.

Points clés à retenir

• Une attaque par déni de service (DoS) consiste à inonder une cible de trafic jusqu'à ce qu'elle épuise ses ressources.
• Les attaques visent la bande passante, l'état de la connexion ou le traitement des applications.
• Les attaques DDoS consistent à lancer simultanément le même flux massif à partir de nombreuses sources réparties.
• Versa Les politiques DoS filtrent le trafic en fonction de la zone, de l'adresse, du protocole et de l'heure.
• Les profils permettent de définir des seuils de paquets par seconde et d'effectuer des actions telles que le rejet, l'alerte ou la limitation du débit.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DoS et Versa · FAQ

Pourquoi le DoS est-il important ?

Une seule attaque DoS réussie peut mettre hors ligne une application destinée aux clients, une passerelle VPN ou une succursale entière tant que le déluge de trafic se poursuit, et chaque minute d’indisponibilité se traduit directement par une perte de chiffre d’affaires, des transactions manquées et des tickets d’assistance. Comme l’objectif est l’épuisement des ressources plutôt que le vol de données, une attaque DoS ne nécessite pas de franchir un pare-feu ni de voler des identifiants : il suffit d’envoyer plus de trafic, de sessions ou de paquets mal formés que la cible ne peut en traiter, ce qui met en danger tout service exposé à Internet, quelle que soit la qualité de la configuration de ses contrôles d’accès.

La menace est également devenue moins coûteuse et plus facile à mettre en œuvre. Les botnets à louer et les techniques de réflexion permettent à un attaquant de générer des volumes de trafic qui dépassent de loin ce qu’une seule source pourrait produire, tandis que les attaques par inondation au niveau de la couche application peuvent submerger un serveur avec un nombre relativement faible de requêtes bien conçues. Pour les équipes réseau et de sécurité, la protection contre les attaques par déni de service (DoS) est une mesure de contrôle fondamentale, et non un complément facultatif : elle doit être intégrée en ligne, distinguer le trafic d'attaque des pics de trafic légitimes et réagir automatiquement, car une réponse humaine est trop lente une fois que l'inondation de requêtes a commencé.

Qu'est-ce qu'une attaque DoS ?

Toutes les techniques de déni de service (DoS) visent le même objectif – épuiser une ressource dont la cible a besoin pour continuer à servir les utilisateurs légitimes – mais y parviennent de différentes manières. Certaines attaques par inondation ciblent la bande passante brute, saturant une liaison pour empêcher tout autre trafic de passer. D’autres ciblent la table de sessions ou le processeur d’un périphérique : elles ouvrent un grand nombre de sessions TCP sans jamais les mener à terme, scannent des ports, balayent les hôtes d’un sous-réseau ou envoient des paquets mal formés ou surdimensionnés conçus pour consommer plus de ressources de traitement qu’ils ne le devraient. Un périphérique aux ressources limitées – un petit pare-feu de succursale, une passerelle IoT – peut être mis hors ligne par des volumes de trafic qu’un équipement de centre de données absorberait sans s’en apercevoir ; c’est pourquoi la protection doit être dimensionnée en fonction de ce que le périphérique ou la liaison en question est réellement capable de gérer.

Détecter une attaque en cours implique de comparer le trafic en temps réel à des valeurs de référence attendues, par protocole et souvent par adresse source ou de destination ; ainsi, un pic de trafic qui ressemble à un « flood » pour un petit serveur ne doit pas nécessairement en avoir l’apparence pour un grand serveur. Une fois qu’un seuil de débit est franchi, la réponse est généralement automatique : alerte, limitation du débit du flux incriminé ou rejet pur et simple des paquets – car le temps qu’une personne soit prévenue, la ressource attaquée risque déjà d’être épuisée.

Types d'attaques par déni de service (DoS)

Les attaques par déni de service (DoS) sont généralement classées en fonction de la couche de la pile qu’elles ciblent. Les attaques volumétriques – inondations de trafic et techniques de réflexion/amplification qui exploitent des protocoles tels que DNS ou NTP pour multiplier le trafic de l’attaquant – saturent la bande passante disponible, ne laissant ainsi aucune capacité pour les connexions légitimes. Les attaques au niveau des protocoles exploitent la manière dont les protocoles des couches réseau et transport gèrent l’état ; un déluge de paquets TCP SYN ouvre un grand nombre de connexions semi-ouvertes afin d’épuiser la table de connexions de la cible sans mener à bien une seule poignée de main. Les attaques au niveau de la couche application envoient un volume relativement faible de requêtes d’apparence légitime – un déluge de requêtes HTTP GET, ou une requête délibérément lente – qui sont peu coûteuses à envoyer mais coûteuses à traiter pour l’application, ce qui les rend plus difficiles à distinguer d’un véritable pic de trafic.

Chacune de ces attaques peut être lancée à partir d’une seule source (attaque DoS) ou de plusieurs sources distribuées simultanément, généralement un botnet – ce qui constitue alors une attaque par déni de service distribué (DDoS). La distribution est désormais la norme : elle multiplie le volume d’attaques disponibles et rend le blocage basé sur la source bien moins efficace, puisqu’il n’y a pas d’adresse unique à filtrer.

DoS et Versa

Versa intègre directement la protection contre les attaques par déni de service (DoS) dans VOS sous la forme d’une paire « politique + profil ». Un profil de protection contre les attaques DoS définit des seuils par protocole – pour l’ICMP, l’ICMPv6, le TCP, l’UDP, le SCTP et d’autres types de trafic IP – sous la forme d’un taux d’alarme, d’un taux actif (de réponse) et d’un taux maximal, chacun exprimé en paquets par seconde, ainsi que l’action à entreprendre dès que le taux actif est dépassé : rejets aléatoires précoces ou cookies TCP SYN. Il existe deux types de profils : un profil agrégé applique un seuil commun à l’ensemble du trafic correspondant, ce qui convient aux inondations à l’échelle d’un sous-réseau provenant de nombreuses adresses IP sources ; un profil classifié suit les seuils par adresse IP source, par adresse IP de destination, ou les deux, ce qui convient aux attaques visant un terminal spécifique. Une politique DoS fait correspondre le trafic entrant en fonction de la zone source et de destination, de l’adresse, des champs d’en-tête IP, du service TCP/UDP et de l’heure de la journée, puis applique les actions « Autoriser », « Refuser » ou « Protéger » – la mesure d’atténuation dictée par le profil – à tout ce qui correspond.

Cette configuration s'effectue sous Services > Pare-feu nouvelle génération (ou Pare-feu avec suivi d'état) > DoS dans Versa Director, et sous Sécurité > Politique de déni de service (DoS) pour les déploiements de pare-feu dans le cloud gérés via Concerto, ce qui nécessite une licence d'optimisation sécurisée des applications ou une licence de sécurité avancée. Le trafic correspondant et les dépassements de seuil sont consignés dans Versa Analytics, avec un tableau de bord DoS dédié permettant d'analyser en détail les principales menaces. Consultez les sections « Configurer la protection DoS », « Configurer la protection DoS (NGFW) » et « Configurer la sécurité » pour obtenir la référence de configuration complète.

Questions fréquentes

Quelle est la différence entre une attaque DoS et une attaque DDoS ?

Une attaque par déni de service (DoS) provient d'une seule source ; une attaque par déni de service distribué (DDoS) submerge une cible à partir de nombreuses sources simultanément, généralement un botnet. Les attaques DDoS sont plus difficiles à bloquer car il n'y a pas d'adresse unique à filtrer, et elles génèrent des volumes d'attaques bien plus importants que ceux d'une seule machine.

Quelle est la différence entre une attaque par déni de service et une fuite de données ?

Une attaque par déni de service (DoS) vise la disponibilité – c'est-à-dire la mise hors service d'un service – et non la confidentialité ou l'intégrité des données, qui sont les éléments compromis lors d'une violation de sécurité. Ces deux types d'attaques ne s'excluent pas mutuellement : certains pirates utilisent une attaque par déni de service de type « flood » comme diversion pendant qu'une intrusion distincte se déroule ailleurs.

Un pare-feu peut-il à lui seul bloquer une attaque par déni de service ?

Un pare-feu standard effectue un filtrage par règle (port, adresse, application), mais ne limite pas de lui-même le débit en cas d'attaques par saturation ; un trafic à haut débit peut saturer sa table de sessions avant même que les règles ne s'appliquent. Des profils DoS spécialement conçus apportent les seuils de débit et la classification qui font défaut à un pare-feu seul.

Qu'est-ce qu'une attaque par inondation de paquets SYN ?

Une attaque SYN flood est une attaque par déni de service (DoS) au niveau de la couche protocole qui consiste à ouvrir un grand nombre de connexions TCP sans jamais mener à bien la procédure d'établissement de la connexion, ce qui remplit la table de connexions de la cible de sessions à moitié ouvertes jusqu'à ce qu'elle ne puisse plus accepter de connexions légitimes. Les « SYN cookies » constituent la mesure d'atténuation standard.

La protection contre les attaques par déni de service (DoS) affecte-t-elle le trafic légitime ?

Une protection contre les attaques par déni de service (DoS) correctement configurée ne devrait pas en causer, car les profils définissent des seuils supérieurs aux schémas de trafic normaux et n’interviennent que lorsqu’un seuil est dépassé. Comme cette protection mobilise beaucoup de ressources, il est recommandé de l’activer de manière sélective, c’est-à-dire sur les systèmes critiques et les sous-réseaux qui en ont réellement besoin, et non pas partout par défaut.

En savoir plus sur les attaques par déni de service (DoS)

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux attaques par déni de service (DoS), voici quelques liens qui pourraient vous intéresser.