DDoS (Distributed Denial of Service)

Définition

Une attaque DDoS (Distributed Denial of Service, ou déni de service distribué) vise à rendre un service, un site web ou une infrastructure indisponible en le submergeant d'un volume de trafic malveillant provenant simultanément de multiples sources géographiquement dispersées, généralement orchestrées via un botnet composé de milliers voire de millions d'appareils compromis (ordinateurs, objets connectés IoT vulnérables). On distingue trois grandes catégories d'attaques : volumétriques, saturant la bande passante disponible par un flot massif de paquets (amplification DNS, NTP ou memcached pouvant atteindre plusieurs térabits par seconde) ; par épuisement de protocole, exploitant les mécanismes de connexion réseau (SYN flood exploitant la poignée de main TCP incomplète) pour épuiser les ressources des équipements réseau ; et applicatives (couche 7), ciblant des fonctionnalités spécifiques d'une application web (requêtes HTTP coûteuses, recherches complexes) avec un volume de requêtes apparemment légitimes mais destiné à épuiser les ressources serveur. Le botnet Mirai, ayant exploité des millions de caméras et routeurs IoT à identifiants par défaut, illustre l'ampleur que peuvent atteindre ces attaques, ayant provoqué en 2016 l'indisponibilité de services majeurs via le fournisseur DNS Dyn. La défense repose sur des services de mitigation spécialisés (Cloudflare, AWS Shield, Akamai) filtrant le trafic en périphérie avant qu'il n'atteigne l'infrastructure cible, combinés à des mécanismes de limitation de débit et de détection anormale du trafic.