Parmi les plus courantes attaques pouvant menacer l’infrastructure informatique d’une entreprise, on retrouve les attaques contre les réseaux distribués. Elles sont également connues sous le nom d’attaques DDoS (Distributed Denial of Service).
Cette attaque consiste à envoyer une multitude de requêtes à la ressource web attaquée, dans l’objectif d’entraver la performance du site web et empêcher son fonctionnement.
Mais, qu’est-ce qu’une attaque DDoS exactement ? Comment fonctionne-t-elle ? Comment peut-on l’identifier ?
Attaque DDoS : définition
De nos jours, le système d’Information est devenu un élément crucial pour une entreprise. De plus en plus d’échanges avec l’écosystème de partenaires, de fournisseurs, de clients et de salariés passent par Internet, que ce soit à travers les sites Web, la messagerie, les outils collaboratifs ou d’autres services spécifiques.
Même la gestion des entrepôts et le suivi des stocks se font en ligne. Parfois, il suffit d’un petit empêchement pour gripper ce mécanisme, que ce soit intentionnellement ou non. Et parmi ces empêchements, on peut citer l’attaque par déni de service (DDoS). Il s’agit de l’une des cyberattaques préférées des criminels, car elle est très facile à mettre en œuvre. L’objectif de cette attaque est de surcharger votre infrastructure informatique de requêtes jusqu’à la faire tomber.
Comment fonctionne une attaque DDoS ?
Les ressources réseau, comme les serveurs Web, ne peuvent gérer qu’un nombre limité de requêtes. Outre la limite de capacité de ressources réseau, le canal qui relie le serveur à Internet dispose lui-même d’une capacité limitée.
Quand le nombre de requêtes dépasse la capacité maximale de serveur web, on peut rencontrer les ennuis suivants :
- La réponse aux requêtes devient beaucoup plus lente que la normale.
- Les requêtes de l’un ou de tous les utilisateurs peuvent être ignorées.
En général, le principal objectif de l’attaquant est de bloquer le fonctionnement des ressources Web (déni de service général). Le criminel peut également demander de l’argent pour arrêter l’attaque. Dans des cas particuliers, une attaque par déni de service peut prendre la forme d’une action malveillante à l’égard de l’activité d’un concurrent.
Comment peut-on identifier une attaque DDoS ?
Bien qu’il soit bien connu que différentes raisons, telles qu’un pic de trafic légitime, peuvent engendrer des problèmes de performances similaires, il est obligatoire de réaliser des diagnostics approfondis et d’élaborer une carte des attaques DDoS. Il existe des outils d’analyse du trafic qui peuvent aider à révéler certains signes d’une attaque DDoS :
- Des volumes suspects de trafic provenant d’une seule adresse IP
- Un flot de trafic provenant d’utilisateurs dont le profil comportemental est identique (même géolocalisation, même type d’appareil utilisé, même version de navigateur web)
- Une augmentation inexpliquée de nombre de requêtes vers un seul point de terminaison ou une seule page web
- Des modèles de trafic étranges avec des schémas a priori peu naturels ou des pics réguliers à des heures inhabituelles de la journée (un pic toutes les 5 minutes par exemple)
Il existe, bien évidemment, d’autres signes beaucoup plus spécifiques qui varient selon le type d’attaque, et qui peuvent suggérer une attaque par déni de service.
Quelles sont les attaques DDoS les plus fréquentes ?
Les attaques par déni de service peuvent prendre de nombreuses formes. Cependant, elles ont toutes le même objectif : rendre un service, un serveur ou une partie de l’infrastructure informatique d’une entreprise. En fait, on peut distinguer trois grandes familles d’attaques par déni de service.
1. Surcharge de la bande passante
Ces attaques volumétriques peuvent tremper l’intégralité du système d’information en faisant de nombreuses demandes simultanément. L’objectif est de consommer la bande passante au sein d’un service ou d’un réseau cible. Ce type d’attaque est le plus fréquent.
2. Surcharge des ressources systèmes
Les attaques par épuisement d’état ont pour objectif de consommer les tables d’état de connexion existantes dans des divers composants d’infrastructure, comme les équilibreurs de charge, les firewalls et les serveurs d’applications eux-mêmes. En épuisant les ressources-systèmes de l’appareil, les attaques DDoS peuvent empêcher celui-ci de répondre au trafic légitime.
3. Failles de sécurité et erreurs de systèmes
Les attaques de couches d’application ciblent des protocoles, tels que DNS (Domain Name System), HTTP (HyperText Transfer Protocol) ou VOIP (Voice over Internet Protocol) et des applications bien spécifiques.
En exploitant les vulnérabilités dans ces protocoles et applications, les attaques DDoS génèrent de nombreux messages d’erreur sur le serveur cible. Malheureusement, ce type d’attaques est difficile à détecter.
Comment se protéger des attaques par déni de service ?
Pour se protéger des attaques DDoS, on peut privilégier différentes méthodes. Il est possible de les associer les unes aux autres pour qu’elles puissent répondre à tout type d’attaque par déni de service en même temps.
Le déploiement d’outils de filtrage en bordure s’avère très utile pour empêcher les attaques de DdoS dont le volume ne dépasse pas la capacité des réseaux. Ce filtrage peut se faire en se servant de différents pare-feux (ou firewall) ou de répartiteurs de charge. L’objectif est d’inspecter le trafic en provenance du Web.
Il ne faut pas oublier d’intégrer les logiciels d’attaques DDoS dans tous les équipements connectés de votre infrastructure informatique, notamment les serveurs, les webcams, les capteurs sur vos lignes de fabrication, les postes de travail, les imprimantes, les caisses des magasins, les terminaux de paiement, etc.
Par ailleurs, il existe des prestataires qui proposent des solutions de protection contre les attaques DDoS. Il est donc conseillé de passer par un CDN (Content Delivery Network) pour répartir ses ressources web sur un grand nombre de serveurs à travers le monde. En effet, en balançant la charge d’un serveur à l’autre, vous minimisez les chances de succès des attaques DDoS. Le CDN est à la fois un outil de mitigation et de prévention de tout attaque de type DDoS. Dès qu’un appareil commence à faire des requêtes sur votre système d’information, il peut devenir une cible d’attaque DDoS. Cela peut sembler une évidence, mais on peut gérer la situation en mettant à jour périodiquement l’intégralité de votre système d’information (logiciels comme matériels). Cela peut-être une solution efficace pour minimiser les risques d’attaques DDoS.