Qu'est-ce qu'une attaque par déni de service distribué (DDos) ?

Contrairement à d’autres cyberattaques, les attaques DDoS n’exploitent pas les vulnérabilités des ressources en réseau pour pénétrer les systèmes informatiques. Au lieu de cela, les pirates s'appuient sur des protocoles de connexion réseau standard comme Hypertext Transfer Protocol (HTTP) et Transmission Control Protocol (TCP) pour inonder les terminaux, les applications et d'autres ressources avec plus de trafic qu’ils ne peuvent en gérer. En effet, les serveurs Web, routeurs et autres infrastructures réseau ne peuvent traiter qu’un nombre limité de requêtes et maintenir un nombre limité de connexions de manière simultanée. En accaparant la bande passante disponible d’une ressource, les attaques DDoS empêchent cette dernière de répondre aux paquets et requêtes de connexion légitimes.

Une attaque DDoS comporte trois grandes étapes.

Le choix de la cible d’une attaque DDoS dépend de la motivation de l’attaquant, qui peut être très variable. Des pirates ont déjà utilisé des attaques DDoS pour extorquer de l’argent à des entreprises, en exigeant une rançon pour mettre fin à l’attaque. D’autres encore utilisent ce type d’attaque à des fins d’activisme, en ciblant des organisations et des institutions avec lesquelles ils ne sont pas d’accord. Des acteurs peu scrupuleux ont aussi utilisé des attaques DDoS pour fermer des entreprises concurrentes, tandis que certains États s’appuient sur de telles tactiques dans le cadre de conflits. 

Voici quelques-unes des attaques DDoS les plus courantes :

• Détaillants en ligne. Les attaques DDoS peuvent causer un préjudice financier important aux détaillants en mettant hors service leur magasin numérique, ce qui empêche les clients de faire leurs achats pendant un certain temps.
  
  

• Fournisseurs de services cloud. Les fournisseurs de services cloud tels qu’Amazon Web Services (AWS), Microsoft Azure et Google Cloud Platform sont des cibles populaires pour les attaques DDoS. Comme ces services hébergent des données et des applications pour d’autres entreprises, les pirates peuvent provoquer des pannes généralisées en une seule attaque. En 2020, AWS a été victime d’une attaque DDoS massive (lien externe à ibm.com). À son apogée, le trafic malveillant a atteint 2,3 térabits par seconde.
  
  

• Institutions financières. Les attaques DDoS peuvent mettre des services bancaires hors ligne et empêcher ainsi les clients d’accéder à leurs comptes. En 2012, six grandes banques américaines ont été victimes d’attaques DDoS coordonnées dans le cadre de ce qui pourrait être un acte politiquement motivé (lien externe à ibm.com).
  
  

• Fournisseurs de logiciels en tant que service (SaaS). Comme pour les fournisseurs de services cloud, les fournisseurs SaaS comme Salesforce, GitHub et Oracle sont des cibles particulièrement attrayantes puisqu’elles permettent aux pirates d’atteindre plusieurs organisations à la fois. En 2018, GitHub a subi ce qui était, à l’époque, la plus grande attaque DDoS jamais enregistrée (lien externe à ibm.com).
  
  

• Sociétés de jeux vidéo. Les attaques DDoS peuvent perturber les jeux en ligne en inondant leurs serveurs de trafic. Ces attaques sont souvent lancées par des joueurs mécontents qui souhaitent se faire justice, comme ce fut le cas pour le botnet Mirai initialement conçu pour cibler les serveurs Minecraft (lien externe à ibm.com).

Une attaque DDoS implique généralement un botnet, c’est-à-dire un réseau d’appareils connectés à Internet qui ont été infectés par un logiciel malveillant, ce qui permet aux pirates de les contrôler à distance. Les botnets peuvent inclure des ordinateurs portables et de bureau, des téléphones mobiles, des appareils IoT et d’autres terminaux grand public ou commerciaux. Les propriétaires de ces appareils compromis ne savent généralement pas qu’ils ont été infectés ou sont utilisés pour une attaque DDoS. 

Certains cybercriminels construisent leurs botnets de toutes pièces, tandis que d’autres achètent ou louent des botnets préétablis dans le cadre d’un modèle appelé « déni de service en tant que service ».

(REMARQUE : toutes les attaques DDoS n’utilisent pas les botnets ; certaines exploitent les opérations normales d’appareils non infectés à des fins malveillantes. Voir « Attaques Smurf » ci-dessous.)

Les pirates commandent aux appareils du botnet d’envoyer des requêtes de connexion ou d’autres paquets à l’adresse IP du serveur, de l’appareil ou du service ciblé. La plupart des attaques DDoS s’appuient sur la force brute en envoyant un grand nombre de requêtes pour consommer la totalité de la bande passante de la cible. À l'inverse, d’autres attaques DDoS envoient un plus petit nombre de demandes plus complexes qui contraignent la cible à mobiliser beaucoup de ressources pour y répondre. Dans les deux cas, le résultat est le même : le trafic lié à l’attaque submerge le système ciblé, provoquant un déni de service et empêchant le trafic légitime d’accéder au site Web, à l’application Web, à l’ API ou au réseau.

Les hackers masquent souvent la source de leurs attaques en usurpant des adresses IP, une technique qui consiste à forger de fausses adresses IP source pour les paquets envoyés depuis le botnet. Dans une forme d’usurpation d’adresse IP, appelée « réflexion », les pirates font croire que le trafic malveillant a été envoyé à partir de l’adresse IP de la victime. 

Les types d’attaques DDoS sont souvent nommés ou décrits selon la terminologie du modèle de référence OSI (Open Systems Interconnection), une norme qui définit les sept « couches » du réseau (aussi parfois appelée le modèle OSI à 7 couches).

Comme leur nom l’indique, les attaques de la couche application ciblent la couche application (couche 7) du modèle OSI, c’est-à-dire la couche au niveau de laquelle les pages Web sont générées en réponse aux demandes des utilisateurs. Les attaques de la couche applicative perturbent les applications Web en les inondant de requêtes malveillantes.

L’une des attaques les plus courantes de la couche application est l’attaque par inondation HTTP (ou HTTP flood) : un pirate envoie en permanence un grand nombre de requêtes HTTP provenant de plusieurs appareils vers le même site Web. Dans l'incapacité de prendre en charge toutes ces requêtes HTTP, le site Web ralentit considérablement ou plante complètement. Les attaques par inondation HTTP s’apparentent à des centaines ou des milliers de navigateurs Web actualisant à plusieurs reprises la même page Web. 

Les attaques de la couche application sont relativement faciles à lancer, mais elles peuvent être difficiles à prévenir et à atténuer. À mesure que de plus en plus d’entreprises optent pour l’utilisation de microservices et d’applications basées sur des conteneurs, le risque d’attaques de la couche application désactivant des services Web et cloud critiques augmente. 

Les attaques par protocole ciblent la couche réseau (couche 3) et la couche transport (couche 4) du modèle OSI. Elles visent à submerger les ressources réseau critiques, telles que les pare-feux, les équilibreurs de charge et les serveurs Web, avec des requêtes de connexion malveillantes.

Les attaques par protocole les plus courantes incluent :

Attaques par inondation SYN. Une attaque par inondation SYN tire parti du protocole d’établissement de liaison TCP, le processus par lequel deux appareils établissent une connexion l’un avec l’autre.

Lors d’un établissement de liaison TCP standard, un dispositif envoie un paquet SYN pour initier la connexion, l’autre répond avec un paquet SYN/ACK pour confirmer la demande, puis le dispositif d’origine renvoie un paquet ACK pour finaliser la connexion.

Dans une attaque par inondation SYN, l’attaquant envoie au serveur cible un grand nombre de paquets SYN associés à des adresses IP source usurpées. Le serveur envoie sa réponse à l’adresse IP usurpée et attend le paquet ACK final. Comme l’adresse IP source a été usurpée, ces paquets n’arrivent jamais. Le serveur est bloqué par un grand nombre de connexions inachevées, ce qui le rend indisponible pour les établissements de liaison TCP légitimes.

Les attaques Smurf. Une attaque Smurf tire parti du protocole ICMP (Internet Control Message Protocol), un protocole de communication utilisé pour évaluer l’état d’une connexion entre deux appareils. Lors d'un échange ICMP typique, un appareil envoie une demande d’écho ICMP à un autre, puis ce dernier répond avec une réponse d’écho ICMP.

Lors d’une attaque Smurf, le pirate envoie une demande d’écho ICMP à partir d’une adresse IP usurpée correspondant à l’adresse IP de la victime. Cette demande d’écho ICMP est envoyée à un réseau de diffusion IP qui transmet la demande à chaque appareil d’un réseau donné. Chaque appareil qui reçoit la demande d’écho ICMP (soit plusieurs centaines ou milliers d’appareils potentiels) répond en envoyant une réponse d’écho ICMP à l’adresse IP de la victime, inondant l’appareil avec plus d’informations qu’il ne peut traiter. Contrairement à de nombreux autres types d’attaques DDoS, les attaques Smurf n’impliquent pas nécessairement de botnet. 

Les attaques DDoS volumétriques consomment toute la bande passante disponible au sein d’un réseau cible ou entre un service cible et le reste d’Internet, empêchant ainsi les utilisateurs légitimes de se connecter aux ressources du réseau. Les attaques volumétriques inondent souvent les réseaux et les ressources avec des volumes de trafic très élevés, même par rapport aux autres types d’attaques DDoS. Des attaques volumétriques sont déjà parvenues à submerger des mesures de protection DDoS telles que les « scrubbing centers », qui sont conçus pour filtrer le trafic malveillant au sein de trafic légitime.

Les types courants d’attaques volumétriques comprennent :

Inondations UDP. Ces attaques consistent à envoyer de faux paquets UDP (User Datagram Protocol) aux ports d’un hôte cible, invitant ce dernier à rechercher une application qui recevra les paquets. Or, comme les paquets UDP sont factices, aucune application ne peut les recevoir et l’hôte doit renvoyer un message ICMP « Destination inaccessible » à l’expéditeur. Les ressources de l’hôte sont accaparées par la réponse au flux constant de faux paquets UDP et l’hôte n’est donc plus disponible pour répondre aux paquets légitimes.

Inondations ICMP. Également appelées « attaques par inondation ping », ces attaques bombardent les cibles de demandes d’écho ICMP provenant de plusieurs adresses IP usurpées. Contraint de répondre à toutes ces requêtes, le serveur cible est surchargé et ne peut plus traiter les demandes d’écho ICMP valides. Les inondations ICMP se distinguent des attaques Smurf, car les pirates envoient un grand nombre de requêtes ICMP à partir de leurs botnets au lieu de détourner des appareils en réseau pour envoyer des réponses ICMP à l’adresse IP de la victime. 

Attaques par amplification DNS. Ici, le pirate envoie plusieurs requêtes de recherche DNS (Domain Name System) à un ou plusieurs serveurs DNS publics. Ces requêtes de recherche utilisent une adresse IP usurpée appartenant à la victime afin de demander aux serveurs DNS de renvoyer une grande quantité d’informations par demande. Le serveur DNS répond ensuite aux requêtes en inondant l’adresse IP de la victime avec de grandes quantités de données.  

Comme leur nom l’indique, les attaques multi-vectorielles exploitent plusieurs vecteurs d’attaque afin de maximiser les dommages et de contrecarrer les efforts d’atténuation des attaques DDoS. Les attaquants peuvent utiliser plusieurs vecteurs simultanément ou passer d’un vecteur à l’autre en cours d’attaque, lorsque l’un d’eux est contrecarré. Par exemple, les pirates peuvent commencer par une attaque Smurf, puis, une fois que le trafic provenant des appareils du réseau est coupé, lancer une inondation UDP à partir de leur botnet. 

Les menaces DDoS peuvent également être utilisées conjointement à d’autres cyberattaques. Par exemple, les auteurs d’attaques par ransomware peuvent faire pression sur leurs victimes en menaçant de lancer une attaque DDoS si la rançon n’est pas payée.