Alors, disons qu’un site que vous visitez régulièrement est soudainement et inexplicablement devenu indisponible. Il pourrait simplement être victime d’une attaque DDoS – un déni de service distribué.

Ce ne sera pas toujours le cas, bien sûr, étant donné que ces attaques malveillantes sont généralement ciblées, mais examinons de plus près les attaques DDoS et voyons ce qu’elles sont et pourquoi elles se produisent.

Qu’est-ce qu’une attaque DDoS?

L’architecte d’une attaque par déni de service distribué (DDoS) voudra généralement empêcher l’accès à un réseau, et il le fera en inondant le service de nombreuses fausses demandes. Et nous comptons beaucoup. En conséquence, le site ne fonctionnera pas comme il est censé le faire – il ne pourra pas répondre à votre demande légitime alors qu’il y en a tellement de fausses qui utilisent ses ressources!

Les attaques DDoS utilisent des machines compromises (ordinateurs et appareils IoT) afin de créer ces fausses requêtes, et en utiliseront plusieurs à la fois.

Si vous souhaitez une analogie moins technique, une attaque DDoS équivaudrait à 100 chiots debout autour de quelques bols de nourriture. Certains chiots veulent manger, mais la majorité aboie juste autour des bols et empêche les chiots affamés d’accéder à la nourriture. Et … attendez, de quoi parlions-nous?

Comment fonctionne une attaque DDoS?

L’architecte d’attaque voudra d’abord établir un botnet. Comme vous pouvez l’imaginer, un botnet est simplement une collection de bots, et ces bots sont les machines compromises mentionnées précédemment. Ces machines ont également généralement été infectées par des logiciels malveillants, ce qui leur permet d’être contrôlées à distance par l’attaquant.

L’utilisation de plusieurs machines facilite la création de plus de fausses demandes – et beaucoup plus difficile pour le réseau ciblé de lutter contre l’attaque DDoS. Plusieurs machines sont plus difficiles à retracer et à arrêter, et arrêter une machine ne fera pas grand-chose pour arrêter l’attaque.

Pourquoi les attaques DDoS se produisent-elles?

Une attaque DDoS peut rendre les sites insensibles ou carrément indisponibles – un attaquant peut chercher à extorquer un rival ou une vengeance exacte, en ciblant des passerelles de paiement ou des services bancaires. Certaines attaques DDoS sont également menées par des cyberactivistes.

Des événements DDoS non intentionnels peuvent également se produire. Ce ne sont pas des attaques – il n’y a pas d’architecte avec un botnet – mais à chaque fois qu’un site connaît un boom de popularité, la poussée de nouveau trafic qui en résulte peut surcharger les ressources du réseau avec les mêmes conséquences qu’une attaque DDoS. Cela se produit généralement si une célébrité publie un lien ou si un site plus petit est mentionné dans un reportage important.

Méthodes DDoS

Les attaques DDoS au niveau de la couche application sont relativement courantes et visent des fonctions spécifiques d’un site Web afin de les perturber. Les attaques de la couche application nécessitent moins de ressources que les attaques réseau et sont souvent utilisées à leurs côtés, généralement pour attirer l’attention des équipes informatiques et de sécurité. Une attaque de la couche application peut être intelligemment déguisée pour ressembler à du trafic normal, tout en faisant des ravages avec les fonctionnalités de navigation et de recherche d’un site.

De même, un flux SYN utilise un botnet pour tenter d’épuiser toutes les ressources d’un serveur cible et de le rendre indisponible. L’attaquant tentera d’initier de nombreuses connexions (apparemment légitimes) avec le serveur. Ces demandes de connexion ne seront pas finalisées, étant donné que les inondations SYN n’ont pas besoin de l’établissement de la liaison TCP à trois, ce qui signifie que le serveur n’aura pas les ressources nécessaires pour répondre au trafic réel des utilisateurs en attendant le faux. connexions à résoudre.

Atténuer les attaques DDoS

La partie la plus importante de la lutte contre les attaques DDoS consiste à déterminer quel trafic est légitime et quel trafic provient d’un attaquant et de son botnet. Cependant, c’est plus facile à dire qu’à faire.

Les attaques DDoS complexes sont incroyablement difficiles à discerner du trafic régulier – et c’est ce sur quoi l’attaquant compte! Ils voudront que leur attaque DDoS se mélange, ils voudront être indiscernables d’un utilisateur normal, car cela les rend beaucoup plus difficiles à identifier.

Une façon de passer au crible le trafic et de repérer les cyber-attaquants potentiels consiste à utiliser du matériel frontal physique. Ce matériel passe au crible les paquets de données et identifie les menaces potentielles, et s’avère particulièrement utile pour déterminer si le trafic en masse est un simple pic d’intérêt… ou quelque chose de plus malveillant.