Dos contre. Attaques DDoS : quelles sont les différences ?

Avec le flux constant de données à travers les réseaux et les systèmes d'entreprise, le risque de menaces cybernétiques s'intensifie également. Bien que les cyberattaques se présentent sous de nombreuses formes, les attaques DoS et DDoS sont deux catégories qui se distinguent par leur ampleur, leur mode opératoire et leurs conséquences, tout en poursuivant des objectifs analogues.

Nous allons clarifier les différences entre ces deux types d'attaques informatiques afin de vous aider à renforcer la protection de vos systèmes.

Qu'est-ce qu'une attaque DoS ?

Une attaque par déni de service (DoS) est une action malveillante dirigée contre un service dans le but de perturber son fonctionnement normal ou d'empêcher l'accès des utilisateurs légitimes. Cela se manifeste par l'envoi d'un volume de requêtes supérieur à ce que le service est capable de gérer, ce qui entraîne un ralentissement ou un blocage.

Le principe d'une attaque DoS est de submerger un système ciblé avec un trafic excessif, dans le seul but de le rendre inaccessible aux utilisateurs visés. Une attaque DoS est généralement exécutée à partir d'une seule machine.

Qu'est-ce qu'une attaque DDoS ?

Une attaque par déni de service distribué (DDoS) ressemble à une attaque DoS, mais elle utilise un ensemble d'appareils en ligne interconnectés, souvent appelés botnets, pour inonder un système cible avec un flux de trafic internet anormalement élevé, perturbant ainsi son bon fonctionnement.

Les attaques DDoS agissent comme un bouchon de circulation inattendu sur une autoroute, empêchant les autres véhicules d'arriver à destination en temps voulu. De la même manière, un système d'entreprise est bloqué par un trafic illégitime, l'empêchant de fonctionner normalement.

Principaux types d'attaques DDoS

De nouvelles formes d'attaques DoS/DDoS émergent avec l'évolution de la technologie, mais nous allons examiner les principales catégories d'attaques existantes. Ces attaques ciblent généralement le volume, le protocole, ou la couche application d'un réseau.

#1. Attaques basées sur le volume

Chaque réseau ou service est limité par la quantité de trafic qu'il peut traiter simultanément. Les attaques basées sur le volume visent à saturer un réseau avec un trafic factice, le rendant incapable de traiter de nouvelles requêtes ou le ralentissant pour les utilisateurs légitimes. Les attaques ICMP et UDP sont des exemples de ce type.

#2. Attaques basées sur le protocole

Les attaques basées sur le protocole cherchent à épuiser les ressources du serveur en envoyant des paquets de grande taille aux réseaux ciblés, ainsi qu'aux outils de gestion de l'infrastructure tels que les pare-feu. Ces attaques exploitent les faiblesses des couches 3 et 4 du modèle OSI. L'inondation SYN est un exemple typique d'attaque basée sur le protocole.

#3. Attaques de la couche application

La couche application du modèle OSI génère la réponse à une requête HTTP d'un client. Un attaquant cible la couche 7 du modèle OSI, responsable de la livraison des pages à l'utilisateur, en envoyant de multiples requêtes pour une même page. Le serveur se retrouve alors surchargé par ces requêtes répétitives et devient incapable de livrer les pages correctement.

Ces attaques sont difficiles à détecter, car il est ardu de différencier une requête légitime d'une requête malveillante. Les attaques slowloris et les inondations HTTP sont des exemples de cette catégorie.

Différents types d'attaques DDoS

#1. Attaques UDP

Le protocole de datagramme utilisateur (UDP) est un type de communication sans connexion caractérisé par un mécanisme protocolaire minimal. Il est principalement utilisé pour les applications en temps réel, où un retard dans la réception des données est inacceptable, comme la visioconférence ou les jeux. Ces attaques consistent à envoyer un grand nombre de paquets UDP à une cible, ce qui rend le serveur incapable de répondre aux demandes légitimes.

#2. Attaques par inondation ICMP

Les attaques par inondation ICMP (Internet Control Message Protocol) sont des attaques DoS qui consistent à envoyer un nombre excessif de paquets de requête d'écho ICMP à un réseau. Cela provoque une congestion et gaspille la bande passante, entraînant un retard des temps de réponse pour les autres utilisateurs, voire une panne complète du réseau ou du service attaqué.

#3. Attaques par inondation SYN

Source de l'image : Cloudflare

Ce type d'attaque peut être illustré par un serveur dans un restaurant. Lorsqu'un client passe une commande, le serveur transmet la commande à la cuisine, puis la cuisine prépare la commande du client, et le client est servi.

Dans une attaque par inondation SYN, un seul client ne cesse de passer commande après avoir reçu sa précédente commande, jusqu'à ce que la cuisine soit débordée par le nombre de commandes, et devienne incapable de répondre aux demandes des autres clients. L'attaque par inondation SYN exploite les faiblesses de la connexion TCP.

L'attaquant envoie de multiples requêtes SYN sans répondre aux réponses SYN-ACK, ce qui contraint l'hôte à attendre une réponse à la requête et monopolise les ressources, jusqu'à ce qu'il devienne incapable de traiter de nouvelles demandes.

#4. Attaques par inondation HTTP

Source de l'image : Cloudflare

L'une des méthodes les plus courantes et les plus simples d'attaque est l'attaque par inondation HTTP, qui consiste à envoyer de multiples requêtes HTTP à un serveur à partir d'adresses IP différentes. Le but est de consommer la puissance, la bande passante du réseau et la mémoire du serveur avec des requêtes d'apparence légitime, le rendant inaccessible pour le trafic des utilisateurs réels.

#5. Attaque de Slowloris

Une attaque slowloris est exécutée en établissant de multiples requêtes partielles vers une cible, en gardant la connexion ouverte et en attendant la requête complète, qui n'est jamais envoyée. Le serveur dépasse sa capacité maximale de connexion et un déni de service est provoqué pour les autres utilisateurs.

D'autres types d'attaques comprennent le ping de la mort, les attaques par amplification, en forme de larme, par fragmentation IP et par inondation. L'objectif de ces attaques est de surcharger le service/serveur, l'empêchant de traiter les demandes légitimes des utilisateurs réels.

Pourquoi les attaques DoS se produisent-elles ?

Contrairement à d'autres attaques visant à obtenir des données du serveur, l'attaquant DoS vise à entraver le fonctionnement du serveur en épuisant ses ressources, le rendant insensible aux demandes des utilisateurs légitimes.

Avec les progrès technologiques, de plus en plus d'entreprises proposent leurs services via le cloud sur le web. Pour rester compétitives, il est quasiment indispensable pour ces entreprises d'avoir une présence en ligne. Des concurrents peuvent exploiter les attaques DDoS pour discréditer leurs rivaux en interrompant leurs services et en les faisant paraître peu fiables.

Les attaques DoS peuvent également être utilisées à des fins de rançonnage. Les attaquants inondent un serveur d'entreprise avec des requêtes non pertinentes et exigent le paiement d'une rançon avant d'arrêter leurs attaques et de rétablir l'accès des utilisateurs légitimes au serveur.

Certains groupes ciblent également des plateformes avec lesquelles ils sont en désaccord idéologique pour des raisons politiques ou sociales. En résumé, les attaques DoS ne cherchent pas à falsifier les données stockées sur le serveur, mais à empêcher son utilisation par les autres utilisateurs.

Atténuation des attaques DoS/DDoS

Étant donné la possibilité d'être attaqué, les entreprises doivent prendre des mesures pour s'assurer que leurs systèmes ou serveurs ne sont pas facilement vulnérables. Voici quelques actions que les entreprises peuvent entreprendre pour renforcer leur sécurité :

Surveillez votre trafic

La compréhension de votre trafic réseau joue un rôle crucial dans l'atténuation des attaques DoS. Chaque serveur reçoit un flux de trafic qui lui est propre. Un pic soudain qui s'écarte de vos schémas de trafic habituels signale une anomalie, qui pourrait être une attaque DoS. En comprenant votre trafic, vous pouvez réagir rapidement dans de telles situations.

Limitation de débit

La limitation du nombre de requêtes qui peuvent être envoyées à un serveur ou un réseau dans un laps de temps donné permet d'atténuer les attaques DoS. Les attaquants envoient généralement un grand nombre de requêtes simultanées pour submerger le serveur. Avec une limite de débit, lorsque le nombre autorisé de requêtes est atteint, le serveur retarde automatiquement les demandes excédentaires, ce qui complique l'attaque.

Serveur distribué

La distribution de serveurs dans différentes régions géographiques est une bonne pratique. Cela aide également à atténuer les attaques DoS. Si un attaquant parvient à attaquer un serveur, les autres serveurs de l'entreprise ne sont pas affectés et continuent de répondre aux demandes légitimes. L'utilisation d'un réseau de diffusion de contenu pour mettre en cache des serveurs à proximité des utilisateurs est aussi une méthode de protection contre les attaques DoS.

Préparer un plan d'attaque DoS/DDoS

Être préparé à toute forme d'attaque est essentiel pour limiter l'ampleur des dommages. Chaque équipe de sécurité doit avoir un plan d'action détaillé sur les mesures à prendre en cas d'incident afin d'éviter d'avoir à chercher des solutions pendant une attaque. Ce plan doit préciser les actions à mener, les personnes à contacter et les moyens de maintenir les demandes légitimes, entre autres.

Surveillance de votre système

La surveillance continue du serveur pour détecter toute anomalie est essentielle pour la sécurité. Une surveillance en temps réel permet de détecter rapidement les attaques et d'y remédier avant qu'elles ne s'aggravent. Elle permet également de savoir d'où provient le trafic normal ou anormal et de bloquer les adresses IP qui envoient des requêtes malveillantes.

Une autre méthode pour atténuer les attaques DoS/DDoS consiste à utiliser des outils de pare-feu d'application web et des systèmes de surveillance conçus pour détecter et empêcher rapidement l'exécution d'une attaque réussie. Ces outils sont automatisés et offrent une protection complète en temps réel.

Sucuri

Sucuri est un pare-feu d'application web (WAF) et un système de prévention des intrusions (IPS) pour les sites web. Sucuri bloque les attaques DoS ciblant les couches 3, 4 et 7 du modèle OSI. Ses principales fonctionnalités sont le service proxy, la protection DDoS et l'analyse rapide.

Cloudflare

Cloudflare est l'un des outils d'atténuation DDoS les plus réputés. Cloudflare propose également des réseaux de diffusion de contenu (CDN) ainsi que trois couches de protection : la protection DDoS du site web (L7), la protection DDoS des applications (L4) et la protection DDoS du réseau (L3).

Imperva

Imperva WAF est un serveur proxy qui filtre tout le trafic entrant, vérifie qu'il est sûr avant de le transmettre au serveur web. Parmi les principales caractéristiques d'Imperva WAF, on retrouve le service proxy, les correctifs de sécurité et la continuité de la disponibilité du site.

Stack WAF

Stack WAF est facile à configurer et permet une identification précise des menaces. Stack WAF offre une protection des applications, des sites web, des API, des produits SaaS, une protection du contenu et une protection contre les attaques DDoS de la couche application.

AWS Shield

AWS Shield surveille le trafic en temps réel en examinant les données de flux afin de détecter un trafic suspect. Il utilise également le filtrage de paquets et la hiérarchisation du trafic pour aider à contrôler le trafic via le serveur. Il est important de noter qu'AWS Shield est uniquement disponible dans l'environnement AWS.

Nous avons passé en revue certaines pratiques qui peuvent contribuer à atténuer une attaque DoS/DDoS réussie. Il est essentiel de ne négliger aucun signe de menace/anomalie sans l'avoir correctement analysé.

Attaques DoS vs DDoS

Au premier abord, les attaques DoS et DDoS semblent très semblables. Dans cette section, nous aborderons certaines des différences significatives qui les distinguent.

Conclusion

Les entreprises doivent prioriser la sécurité de leurs systèmes, car une violation ou une interruption de service peut entraîner une perte de confiance de la part des utilisateurs. Les attaques DoS et DDoS sont illégales et nuisibles pour le système cible. Par conséquent, toute mesure visant à détecter et à gérer ces attaques doit être prise au sérieux.

N'hésitez pas à explorer les solutions de protection DDoS basées sur le cloud, adaptées aux petites et grandes entreprises.