Les attaques par déni de service distribué (DDoS) : caractéristiques et atténuation

Une attaque par déni de service distribué (DDoS) est menée par un réseau de zombies et vise à mettre hors service un système cible. Plusieurs ordinateurs bombardent la victime de volumes considérables de trafic indésirable dans le but de la submerger et de dégrader sa capacité à répondre aux requêtes légitimes.

Les attaques DDoS se distinguent de la plupart des autres cyberattaques parce qu'elles n'exigent aucune vulnérabilité dans le système ciblé. Elles envoient plutôt à une application des requêtes légitimes, mais en volumes qu'elle ne peut absorber. Un site Web ou une application Web peut d'ailleurs subir un DDoS accidentel causé par des utilisateurs légitimes, comme l'a démontré l'incapacité de Ticketmaster à traiter les requêtes des admirateurs qui tentaient d'acheter des billets pour la tournée Eras de Taylor Swift.

Les attaques DDoS sont devenues une menace importante et peuvent nuire à la réputation d'une organisation ainsi qu'à sa capacité d'offrir des services à sa clientèle. Cet article explore la menace DDoS, y compris les caractéristiques, les répercussions et les stratégies d'atténuation possibles de ces attaques.

Comprendre les attaques DDoS

Le terme « distribué » dans DDoS renvoie au fait que l'attaque est menée par plusieurs systèmes différents. Dans la plupart des cas, il s'agit d'un réseau de zombies formé d'appareils compromis, souvent des objets connectés (IdO). Les cybercriminels utilisent toutefois de plus en plus l'informatique en nuage et les technologies de virtualisation pour mener des attaques DDoS de grande envergure.

L'objectif d'une attaque DDoS est de dégrader la capacité d'une victime à offrir des services à ses utilisateurs légitimes. Si certaines attaques DDoS visent à mettre le système cible hors service, d'autres cherchent uniquement à nuire à son rendement ou à faire grimper les coûts de l'entreprise. Ces attaques « lentes et discrètes » gagnent en popularité, car elles passent sous le radar des solutions de prévention DDoS conçues pour repérer les attaques de grande envergure.

Les attaques DDoS sont devenues beaucoup plus imposantes et beaucoup plus fréquentes ces dernières années. En février 2023, Cloudflare a signalé avoir bloqué plusieurs attaques DDoS atteignant de 50 à 71 millions de requêtes par seconde (rps). Ce volume dépassait de 54 % le record précédent, établi neuf mois plus tôt.

Les caractéristiques des attaques DDoS

Une attaque DDoS est conçue pour exploiter un goulot d'étranglement ou un point de défaillance unique dans un système cible. Voici des exemples courants de goulots d'étranglement visés par les attaques DDoS :

• La bande passante du réseau
• Le nombre de connexions TCP ou TLS que le serveur peut prendre en charge
• Le nombre de sessions qu'une application peut prendre en charge
• La mémoire et la mémoire vive
• Les cycles de processeur du serveur

Selon la cible, l'un de ces goulots d'étranglement potentiels peut avoir une capacité inférieure aux autres. Par exemple, un ordinateur peut théoriquement maintenir des milliers de connexions TCP et TLS; une application peut toutefois épuiser la mémoire ou la puissance de traitement disponible bien avant d'atteindre ce seuil.
Différentes attaques DDoS visent différents goulots d'étranglement. Les grandes catégories d'attaques DDoS sont les suivantes :

• Les attaques volumétriques : les attaques volumétriques — qui comprennent les inondations UDP et les attaques similaires — sont conçues pour envoyer à un système plus de trafic qu'il ne peut en traiter. Elles peuvent saturer la bande passante du réseau ou la capacité du serveur à gérer le trafic entrant.
• Les attaques de la couche applicative : les attaques de la couche applicative cherchent à épuiser les ressources d'une application ou d'un service en particulier. Les inondations HTTP et les attaques similaires peuvent consommer la mémoire vive et les cycles de processeur ou saturer les structures de données de suivi d'état de l'application elle-même.
• Les attaques protocolaires : les attaques protocolaires tirent parti des caractéristiques d'un protocole réseau. Par exemple, les inondations SYN créent un grand nombre de connexions TCP semi-ouvertes sur le serveur ciblé. Le maintien de ces connexions semi-ouvertes réduit la capacité du serveur à accepter de nouvelles demandes de connexion tant que les connexions existantes n'ont pas expiré.

Un attaquant peut mener l'une de ces attaques ou plusieurs à la fois : on parle alors d'attaque « en couches ». Une autre technique DDoS répandue est l'attaque « en rafale », où l'attaquant lance de courtes attaques DDoS à fort volume à intervalles aléatoires pour perturber le système ciblé.

DoS et DDoS : une comparaison

Les attaques par déni de service (DoS) et par déni de service distribué (DDoS) visent toutes deux à dégrader la disponibilité d'un système cible. Elles diffèrent toutefois sur quelques points cruciaux :

• Le nombre d'attaquants : les attaques DDoS tirent leur nom du fait qu'elles font intervenir plusieurs systèmes contre la cible. Une attaque DoS, en revanche, provient d'un seul attaquant.
• Les vecteurs d'attaque : les attaques DDoS s'exécutent uniquement en inondant la cible de volumes considérables de trafic indésirable. Une attaque DoS peut faire de même, mais elle peut aussi exploiter des vulnérabilités dans une application ciblée. Par exemple, exploiter une vulnérabilité de dépassement de tampon pour provoquer une erreur de segmentation est un autre moyen de faire planter une application.

Les outils et techniques des attaques DDoS

En résumé, une attaque DDoS est une tentative d'inonder une cible de requêtes indésirables afin de la mettre hors ligne ou de réduire sa capacité à traiter les requêtes légitimes des utilisateurs. Ces attaques sont menées par plusieurs systèmes attaquants et peuvent recourir à diverses techniques.

Les attaques DDoS sont souvent menées par un réseau de zombies exploité par l'attaquant. Ces réseaux sont généralement créés en infectant des systèmes vulnérables avec un maliciel spécialisé. Un attaquant pourrait par exemple exploiter des identifiants faibles ou des vulnérabilités non corrigées sur des appareils IdO pour installer un maliciel sur ces systèmes. Ce maliciel lui permettrait ensuite de commander aux appareils infectés d'exécuter des attaques automatisées, dont des attaques DDoS.

Certains exploitants de réseaux de zombies mènent eux-mêmes les attaques DDoS, tandis que d'autres louent leur réseau à d'autres utilisateurs. Sur le Web clandestin, la location d'une attaque DDoS coûte aussi peu que 5 $ l'heure. Ces attaques sont donc très abordables, ce qui élargit l'éventail des cibles potentielles.

Un attaquant peut mener une attaque DDoS de diverses façons. Dans certains cas, il tentera simplement de submerger une cible par le volume brut de trafic qu'un réseau de zombies peut produire.

Les attaquants peuvent aussi exploiter le fonctionnement des protocoles réseau pour accroître l'efficacité de leurs attaques. Par exemple, une attaque DDoS par amplification augmente le volume de trafic selon le processus suivant :

1. L'attaquant repère un service dont les réponses sont beaucoup plus volumineuses que les requêtes correspondantes. Par exemple, les résolutions DNS produisent des réponses plus volumineuses que les requêtes, puisque les données demandées s'ajoutent aux données de la requête d'origine.
2. L'attaquant envoie une requête au service en usurpant l'adresse IP de la cible. Cela suppose généralement le recours au protocole UDP, puisqu'il n'y a pas de poignée de main (contrairement au TCP).
3. Le service traite la requête et envoie une réponse à la victime, qui semble en être l'auteure.

À la suite d'une attaque par amplification, la victime reçoit beaucoup plus de données que l'attaquant n'en a envoyées. Par exemple, un service fonctionnant sur des systèmes Mitel vulnérables a permis une amplification de 4,3 fois des attaques DDoS en 2022. L'attaquant peut ainsi mener une attaque bien plus vaste que ne le permettrait son infrastructure de réseau de zombies.

Les répercussions et les conséquences des attaques DDoS

Une attaque DDoS peut avoir plusieurs répercussions sur une organisation. Parmi les plus courantes figurent les pertes financières, l'atteinte à la réputation et le risque de poursuites judiciaires.

Les pertes financières

Les attaques DDoS peuvent entraîner diverses pertes financières pour une organisation. Voici quelques façons dont une entreprise peut perdre de l'argent à cause d'une attaque DDoS :

• Ventes perdues : les attaques DDoS visent souvent des sites destinés à la clientèle. Pendant l'attaque, l'organisation peut perdre des ventes parce que les clients n'arrivent pas à accéder au site ou parce qu'ils sont exaspérés par sa lenteur.
• Attrition de la clientèle : ces problèmes peuvent aussi pousser des clients vers un concurrent. L'entreprise risque donc de perdre des clients à long terme, en plus de ceux perdus pendant l'attaque.
• Coûts d'infrastructure : une attaque DDoS consomme les ressources du système ciblé pendant qu'il traite les requêtes indésirables de l'attaquant. Ces ressources sont consommées sans générer le moindre profit pour l'organisation.
• Perte de productivité : une attaque DDoS peut viser des applications d'entreprise, empêchant les employés de faire leur travail. De plus, pendant l'attaque, l'équipe de sécurité se concentre sur l'atténuation plutôt que sur ses autres tâches.
• Paiements de rançon : certains cybercriminels mènent des attaques par déni de service avec rançon (RDoS). Ces attaques se poursuivent jusqu'à ce que la victime paie la rançon exigée.

L'atteinte à la réputation

Les attaques DDoS visent à mettre hors service le site Web d'une organisation ou à le rendre inutilisable. Si elles réussissent, elles peuvent nuire à l'image de marque de l'entreprise, puisque les clients pourraient croire que l'organisation est incapable d'offrir ses services ou de se protéger contre les cybermenaces.

Les poursuites judiciaires

Les attaques DDoS peuvent également exposer une organisation à des poursuites judiciaires. De nombreuses organisations ont des contrats et des ententes de niveau de service (SLA) qui garantissent un certain niveau de service à leur clientèle. Une attaque DDoS qui empêche l'organisation d'offrir ces services peut l'obliger à indemniser ses clients ou l'exposer à des recours judiciaires.

Les stratégies de protection et d'atténuation contre les DDoS

Les attaques DDoS représentent une menace croissante pour les entreprises, car elles sont peu coûteuses et faciles à exécuter. De façon générale, il est souvent moins coûteux d'intensifier une attaque DDoS que d'augmenter la bande passante, la mémoire vive et la puissance de traitement d'un service pour absorber la hausse des requêtes malveillantes. Voici certaines méthodes de protection contre la menace DDoS :

• La surveillance du trafic : la surveillance du trafic donne à une organisation une vue d'ensemble des schémas de trafic normaux sur son réseau et des anomalies potentielles. L'entreprise peut ainsi détecter rapidement une attaque DDoS et y réagir.
• La protection DDoS infonuagique : les services infonuagiques de prévention des DDoS ont la capacité de repérer et de filtrer le trafic malveillant avant qu'il n'atteigne le réseau de l'organisation. L'entreprise peut ainsi maintenir ses services normaux pendant une attaque DDoS.
• Les réseaux de diffusion de contenu (CDN) : les CDN mettent en cache du contenu Web statique dans des emplacements répartis géographiquement. En répartissant l'hébergement du site Web d'une organisation, ils répartissent le trafic et rendent les attaques DDoS plus difficiles à mener.
• La limitation de débit : la limitation de débit restreint la capacité d'un utilisateur à envoyer des requêtes à un site. En bloquant l'abus de requêtes gourmandes en ressources, elle aide à prévenir les attaques par épuisement des ressources.
• Les contrôles d'accès : les attaques DDoS sont souvent menées par des réseaux de machines compromises. Des contrôles d'accès sur les opérations gourmandes en ressources facilitent le repérage et le blocage des tentatives d'attaque.
• Les pare-feu d'applications Web (WAF) : les attaques DDoS peuvent chercher à exploiter des vulnérabilités pour amplifier leurs effets. Les WAF peuvent repérer le trafic d'attaque et l'empêcher d'atteindre les systèmes vulnérables.

La défense collaborative et la réponse aux incidents

Les attaques DDoS constituent une menace croissante : de nombreux réseaux de zombies de grande taille menacent de passer à l'action et des cybercriminels offrent des attaques à louer. La collaboration peut aider les entreprises à gérer le risque d'une attaque DDoS dommageable.

Par exemple, les attaques DDoS proviennent couramment de réseaux de zombies composés d'appareils compromis. Les victimes peuvent repérer et bloquer les adresses IP associées à ces attaques. En partageant cette information par l'entremise de fils de renseignement sur les menaces ou de forums, elles aident d'autres organisations à repérer et à bloquer rapidement les tentatives d'attaque.

La collaboration s'avère également précieuse pour suivre l'évolution du paysage des menaces. Les attaques DDoS sont un domaine d'innovation active, où les cybercriminels mettent au point de nouveaux outils et de nouvelles techniques pour rendre les attaques plus imposantes ou plus furtives. Le partage d'information sur les attaques DDoS passées permet aux organisations de concevoir et de mettre à l'épreuve des défenses adaptées à l'état de l'art en la matière.

Exemples récents, cas d'utilisation et statistiques

Les attaques DDoS peuvent avoir des répercussions étendues, qui débordent largement la victime visée. Voici quelques-unes des attaques DDoS les plus importantes et les plus célèbres :

• Dyn (2016) : en 2016, Dyn, un important fournisseur DNS, a subi une attaque DDoS lancée par le réseau de zombies Mirai, qui a rendu inaccessibles des sites populaires comme Airbnb, GitHub, Netflix, PayPal, Reddit et Twitter.
• GitHub (2018) : GitHub a subi une attaque DDoS en 2018 qui a mis le site hors ligne avec des volumes de 1,3 Tb/s. Cette attaque n'a pas eu recours à un réseau de zombies, mais bien aux capacités d'amplification de serveurs memcached.
• AWS (2020) : en 2020, AWS a subi une attaque DDoS atteignant 2,3 Tb/s, un record à l'époque. AWS est parvenue à atténuer l'attaque, mais celle-ci a marqué les esprits parce qu'elle visait un grand fournisseur de services infonuagiques.

Conclusion

Les attaques DDoS représentent une menace croissante pour la disponibilité des services en ligne d'une organisation. À mesure que les appareils IdO se sont répandus, les cybercriminels ont pu bâtir des réseaux de zombies plus vastes et plus puissants. Conjugué aux innovations en matière de DDoS — comme le recours à divers services pour l'amplification —, ce phénomène a contribué à une croissance marquée de l'ampleur des attaques DDoS ces dernières années.
Les attaques DDoS n'exploitent généralement pas de vulnérabilités : elles misent plutôt sur le volume brut pour submerger un système cible. La mise en place de stratégies d'atténuation — comme le filtrage du trafic DDoS et les contrôles d'accès — demeure la meilleure façon de s'en protéger.
Cependant, au moment de déployer des contrôles d'accès et une limitation de débit, il importe d'utiliser des méthodes d'authentification que des robots automatisés ne peuvent pas contourner. Un mot de passe compromis n'offre aucune protection réelle contre les attaques DDoS.
KZero Passwordless règle ce problème avec Multi-Pass, une authentification multifacteur résistante à l'hameçonnage et fondée sur des facteurs biométriques et de possession. Réservez une démonstration dès aujourd'hui pour en apprendre davantage sur Multi-Pass et sur la façon dont KZero Passwordless peut aider votre organisation à faire en sorte que ses contrôles d'accès et ses limites de débit offrent une protection réelle contre les menaces DDoS.

Howard Poston



Howard Poston est rédacteur, auteur et concepteur de cours, avec une expérience en cybersécurité, en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, compte une décennie d'expérience en cybersécurité et plus de cinq ans d'expérience comme consultant indépendant.