DDoS : définition du déni de service distribué et protections

Caractéristiques principales d’une attaque DDoS

Une attaque contre la disponibilité : elle cherche à empêcher les utilisateurs légitimes d’accéder à un service, ou à dégrader fortement son fonctionnement.
Plusieurs sources de trafic : le caractère distribué complique l’identification et le filtrage des échanges malveillants.
Plusieurs ressources peuvent être visées : la capacité du réseau, les équipements ou les traitements d’une application.
Une panne ne suffit pas à la prouver : une surcharge normale, un défaut logiciel ou un problème réseau peuvent produire des symptômes proches.

Quelle différence entre DoS et DDoS ?

DoS, pour Denial of Service, désigne le déni de service : rendre un service indisponible. DDoS précise que l’attaque est distribuée, avec plusieurs sources participant au trafic dirigé contre la cible. Le terme DoS reste donc le terme général.

Le but est de bloquer ou de perturber l’accès, pas nécessairement de prendre le contrôle du serveur. Subir un DDoS ne prouve pas qu’un mot de passe ou des données ont été volés. Une autre attaque peut cependant se produire en parallèle, notamment pour profiter de la diversion.

D’où vient le trafic d’une attaque distribuée ?

Il peut provenir d’un botnet, c’est-à-dire d’un ensemble d’appareils compromis et pilotés à distance. Ordinateurs, caméras connectées ou routeurs peuvent alors participer à une attaque à l’insu de leur propriétaire.

Toutes les sources ne sont toutefois pas des appareils infectés. Dans une attaque par réflexion, des serveurs intermédiaires sont amenés à envoyer leurs réponses vers l’adresse IP de la victime. On parle d’amplification lorsque les réponses génèrent davantage de trafic que les demandes initiales.

Le DNS, ou système de noms de domaine, peut ainsi être détourné comme intermédiaire. Il peut aussi être lui-même la cible d’une attaque : perturber la résolution des noms rend alors plus difficile l’accès aux services qui en dépendent.

Quels sont les principaux types de DDoS ?

Les attaques volumétriques cherchent à saturer la capacité des liaisons réseau avec du trafic indésirable. Les échanges utiles ne disposent plus de suffisamment de capacité.
Les attaques protocolaires épuisent les ressources utilisées pour gérer les communications, par exemple le suivi des connexions. Elles ne nécessitent pas toujours une faille logicielle non corrigée.
Les attaques applicatives surchargent un service précis, comme un site web, en sollicitant des traitements coûteux. Elles peuvent produire un déni de service sans saturer toute la liaison Internet.

Ces catégories peuvent se combiner. Une attaque se décrit donc selon la ressource visée : débit du trafic en bit/s, nombre de paquets par seconde ou nombre de requêtes par seconde. Un chiffre en Gbit/s ne suffit pas à comparer sa gravité avec celle d’une attaque applicative.

Quelles conséquences pour les utilisateurs ?

Une attaque peut rendre un site lent, empêcher une connexion à un jeu en ligne, interrompre une application ou provoquer des délais d’attente. Une infrastructure partagée peut aussi affecter plusieurs services, même si un seul était initialement visé.

La connexion d’un particulier peut également subir une saturation du trafic qui lui est destiné. Cela ne signifie pas que les appareils du logement sont infectés. À l’inverse, un appareil compromis peut participer à une attaque contre un tiers sans que son propriétaire le sache.

Un ralentissement isolé n’établit pas le diagnostic. L’analyse repose notamment sur le trafic, les journaux des équipements et la charge des serveurs, en les comparant au fonctionnement habituel.

Comment les protections anti-DDoS fonctionnent-elles ?

Elles cherchent à laisser passer les usages légitimes tout en réduisant le trafic de l’attaque. Selon le cas, elles combinent filtrage réseau, limitation de requêtes, vérifications contre les robots et répartition de la charge. Un service de « dépollution » analyse le trafic en amont pour écarter une partie des échanges malveillants.

Un WAF, pour Web Application Firewall ou pare-feu applicatif web, peut filtrer des demandes adressées à un site. La limitation de requêtes agit sur leur fréquence ; elle ne se confond pas avec une limite du nombre de connexions simultanées. Des règles trop strictes peuvent aussi gêner de vrais utilisateurs.

Un CDN, ou réseau de diffusion de contenu, et la mise en cache peuvent répartir la charge et éviter certaines sollicitations du serveur d’origine. Mais la présence d’un CDN ne garantit pas une protection complète : les fonctions anti-DDoS, les services couverts et la configuration doivent correspondre à l’infrastructure à protéger.

Si la liaison est déjà saturée avant l’arrivée du trafic sur le pare-feu local, bloquer les paquets à cet endroit ne libère pas la capacité occupée en amont. L’intervention du FAI, ou fournisseur d’accès à Internet, de l’hébergeur ou d’un prestataire spécialisé peut alors être nécessaire. Aucune protection ne garantit une disponibilité absolue.