Qu’est-ce qu'une attaque DDoS ? Comment protéger votre site ?

DDoS est l’acronyme de Distributed Denial of the Server. Son nom signifie donc Déni distribué du serveur, ce qui n’est pas nécessairement plus clair au premier abord. Cet acronyme est toutefois surtout synonyme de danger et de menace depuis les tout débuts d’Internet.

Une attaque DDoS est une stratégie visant l’atténuation et l’interruption de service. Elle utilise plusieurs serveurs ou machines fonctionnant à partir de différents emplacements physiques, afin d’attaquer un seul serveur web.

La cible est donc bombardée d’une charge importante de trafic afin d’interrompre ses opérations. Ces attaques sont lancées pour nuire ou pour obtenir une rançon pour que les services soient restaurer.

Ces attaques peuvent parfois durer des heures, voire plusieurs jours. L’attaque DDOS la plus longue enregistrée a eu lieu en 2009, et a duré plus 509 heures. Cela représente plus de 21 jours!

Voyons maintenant un peu plus en détails ce qu’est une attaque DDoS. Vous serez ainsi mieux équipé pour protéger votre site web de cette menace persistante.

Types courants d’attaques DDOS

Inondation UDP

Un protocole de datagramme utilisateur est utilisé dans les attaques DDoS. Il permet d’envoyer un certain nombre de paquets UDP à l’hôte victime sur des ports aléatoires. L’objectif est de vérifier si l’hôte est occupé en observant la liste suivante.

• Écoute de l’application sur le port demandé.
• Voir qu’aucune application n’écoute
• Répondre avec un paquet que l’hôte est inaccessible

Lorsque l’hôte victime reçoit plusieurs demandes, il sera occupé à répondre à tous les paquets. Il sera alors inaccessible aux autres clients.

Inondation du ICMP

L’Internet Control Message Protocol, communément appelé ping, est utilisé dans les attaques DDoS.

Il permet aux attaquants d’envoyer plusieurs requêtes de ping à des hôtes ciblés et de recevoir en retour les paquets transmis.

Habituellement, ces demandes de ping sont utilisées pour tester si un hôte dans le réseau fonctionne ou pas. Un grand nombre de demandes de ping envoyées à un seul serveur peuvent toutefois causer une panne.

Il existe plusieurs commandes qui peuvent aggraver ce type d’attaque DDoS. Celles-ci incluent notamment ping -n, ping -t et ping -I.

Inondation SYN

Dans une mise en place de connexion régulière, un client envoie un paquet de synchronisation au serveur à la 1ère étape. Le serveur répond alors avec un paquet dit sync-acknowledgment, ce qui représente la seconde étape

Lorsque l’hôte reçoit ce paquet, il répond dans la 3ème étape avec un « ack« , soit un accusé de réception. Mais dans le cas d’une attaque DDoS, la troisième étape est ignorée par l’hôte.

Pour ce faire, les pirates utilisent une adresse IP usurpée ou des algorithmes qui les aident à ne pas recevoir les accusés de réception envoyés par l’hôte ciblé.

Ping of Death

Dans ce type d’attaque DDoS, les attaquants envoient une demande de ping contenant un paquet surdimensionné à l’hôte ciblé. L’objectif est de saturer le système de la victime pour le planter ou le geler.

Un paquet IPV4 correctement formé comprend un en-tête IP standardisé et ne dépasse pas la taille de 65 535 octets. S’il est plus volumineux, il viole le protocole Internet. L’attaquant doit donc envoyer les octets souhaités par fragments.

Lorsque l’hôte cible assemble le paquet reçu, il provoque un débordement de mémoire. Cela fait alors parfois planter l’hôte cible. C’est ce qui vaut à ce ping le nom de « ping de la mort ».

SlowLoris

SlowLoris est un type de logiciel qui attaque le serveur hôte et non les machines. Pour ce faire, il envoie plusieurs requêtes HTTP et garde les sockets ouverts aussi longtemps que possible au serveur qu’il envoie des requêtes. Il attend alors aussi longtemps que les sockets du serveur sont occupés.

Amplification NTP

Le protocole de temps réseau est le plus ancien protocole sur internet. Il est là pour que les différents systèmes sur internet puissent synchroniser leur horloge.

Lorsqu’une attaque DDoS de ce type se produit, elle envoie plusieurs requêtes au serveur NTP en utilisant l’adresse IP usurpée ou celle d’une victime.

Inondation HTTP

Plusieurs requêtes HTTP sont faites à l’hôte ciblé dans cette attaque. Celles-ci utilisent les méthodes GET et POST.

Une requête GET est utilisée pour récupérer du contenu statique standard comme des images. D’autre part, les requêtes POST peuvent accéder à des ressources générées dynamiquement.

Attaques DDoS de jour zéro

Des tentatives de piratages sont très souvent lancée dès le lancement des sites et applications web. Les attaquants tentent alors de tester les mesures de sécurité avant qu’elles ne soient consolider.

Ce phénomène est à l’origine du nom « attaque de jour zéro, dont l’usage s’est toutefois élargit. Toutes les attaques DDoS qui sont inconnues ou nouvelles tombent désormais dans cette catégorie.

Comment arrêter une attaque DDoS

Il existe plusieurs mesures préventives pouvant vous aider à protéger votre site des attaques DDoS. Celles-ci comprennent notamment la vérification de votre trafic réseau et les simulations d’attaques.

Vous pouvez vérifier votre réseau à l’aide de Google Analytics pour surveiller tout pic de trafic. Vous serez ainsi prêt à agir immédiatement lorsqu’il y a une attaque DDoS active sur votre site

Les simulations d’attaques DDoS peuvent être utilisées pour tester si votre système peut résister à l’attaque DDoS ou non. D’autres mesures peuvent aussi être mises en place:

Installation du pare-feu

La mise en œuvre d’un pare-feu peut aider à réduire les risques d’une attaque DDoS. Vous pouvez ainsi choisir entre un pare-feu matériel ou logiciel, qui sont tous deux efficaces.

Journal des activités

Vous devez confirmer que vous êtes attaqué en utilisant la commande netstat de l’invite de commandes pour ce processus.

Vous pourrez ensuite télécharger n’importe quel analyseur de réseau et voir les anomalies dans votre trafic.

Installer un outil de détection des logiciels malveillants

L’installation d’un logiciels anti-malware peut également aider à analyser toutes les données entrantes avant de les introduire dans le système. De plus, il génère une alerte lorsqu’il trouve certaines données suspectes.

Externalisation

Vous pouvez également externaliser pour protéger votre site web contre les attaques DDoS malveillantes. Plusieurs CDN, comme Cloudlare, offre des outils permettant d’amortir l’impact d’une attaque DDoS.

Vous pouvez aussi contacter votre hébergeur et prendre des mesures telles que la fermeture temporaire de votre site web pour arrêter des attaques DDoS.

Pour conclure sur la notion d’attaque DDoS et comment s’en protéger

Les attaques DDoS posent des menaces pour les sites depuis les tout débuts d’Internet. Différentes mesures ont été créées pour s’en protéger, mais elles continuent malgré tout de faire des ravages.

Il existe plusieurs types d’attaque DDoS, mais tous visent le même objectif: saturer un système pour le faire inaccessible. Vous devez donc vous assurer de prendre les mesures nécessaires pour éviter que votre site ne soit ciblé.

Nous espérons que cet article vous a plu et vous a éclairé sur les attaques DDoS. Si c’est le cas, nous vous invitons à consulter nos autres articles et tutoriels.

Notre base de connaissance contient aussi sans doute des réponses à toutes vos questions en liens avec vos projets web.