Différences entre les attaques DoS et DDoS
Une attaque par déni de service (Denial-of-Service, DoS) sature un serveur, rendant ainsi un site Web ou une ressource indisponible. Une attaque par déni de service distribué (Distributed Denial-of-Service, DDoS) est une attaque DoS qui utilise plusieurs ordinateurs ou machines pour saturer une ressource ciblée. Les deux types d’attaques surchargent un serveur ou une application Web dans le but d’en interrompre les services.
Comme le serveur est saturé de plus de paquets de protocoles de contrôle de transmission/protocoles de datagramme utilisateur (Transmission Control Protocol/User Datagram Protocol, TCP/UDP) qu’il ne peut traiter, il peut tomber en panne, les données peuvent être corrompues et les ressources peuvent se trouver mal dirigées ou même épuisées au point de paralyser le système.
Quelle est la différence entre les attaques DoS et DDoS ?
La principale différence entre un DoS et un DDoS est que le premier est l’attaque d’un système par un système, tandis que le second implique plusieurs systèmes attaquant un seul système. Il existe cependant d’autres différences, portant sur leur nature ou leur détection, notamment :
- Facilité de détection/neutralisation: puisqu’un DoS provient d’un site unique, il est plus facile de détecter son origine et de couper la connexion. En fait, un pare-feu compétent peut y parvenir. En revanche, une attaque DDoS provient de plusieurs sites distants et déguise son origine.
- Rapidité de l’attaque : comme une attaque DDoS provient de plusieurs sites, elle peut être déployée beaucoup plus rapidement qu’une attaque DoS provenant d’un site unique. La vitesse accrue de l’attaque rend sa détection plus difficile, ce qui signifie une augmentation des dommages ou même un résultat catastrophique.
- Volume de trafic : une attaque DDoS emploie plusieurs machines distantes (zombies ou robots), ce qui signifie qu’elle peut envoyer simultanément des quantités de trafic beaucoup plus importantes à partir de divers sites, surchargeant ainsi rapidement un serveur d’une manière qui échappe à la détection.
- Gestion de l’exécution : une attaque DDoS coordonne plusieurs hôtes infectés par des malware (robots) et crée ainsi un réseau zombie géré par un serveur de commande et contrôle (Command-and-control, C&C). En revanche, une attaque DoS utilise généralement un script ou un outil pour exécuter l’attaque à partir d’une seule machine.
- Suivi de source(s) : l’utilisation d’un réseau zombie dans une attaque DDoS signifie que le suivi de l’origine réelle est beaucoup plus compliqué que dans le cas d’une attaque DoS.
Types d’attaques DoS et DDoS
Les attaques DoS et DDoS peuvent prendre de nombreuses formes et être utilisées à des fins diverses. Il peut s’agir de faire perdre des clients à une entreprise, de paralyser un concurrent, de distraire l’attention d’autres attaques, ou simplement de causer des problèmes ou de faire une déclaration. Voici quelques formes courantes prises par ces attaques.
Attaque Teardrop
Une attaque Teardrop est une attaque DoS qui envoie d’innombrables fragments de données de protocole Internet (Internet Protocol, IP) à un réseau. Lorsque le réseau tente de recompiler les fragments dans leurs paquets d’origine, il n’y parvient pas.
Par exemple, l’attaquant peut prendre des paquets de données très volumineux et les diviser en multiples fragments que le système ciblé va réassembler. Cependant, l’attaquant change la façon dont le paquet est désassemblé pour induire en erreur le système ciblé, qui est alors incapable de réassembler les fragments en paquets d’origine.
Attaque par saturation
Une attaque par saturation est une attaque DoS qui envoie plusieurs demandes de connexion à un serveur, mais ensuite ne répond pas pour établir la liaison.
Par exemple, l’attaquant peut envoyer diverses demandes de connexion en tant que client, mais lorsque le serveur tente de communiquer pour vérifier la connexion, l’attaquant refuse de répondre. Après avoir répété le processus d’innombrables fois, le serveur devient tellement saturé de demandes en attente que les clients réels ne peuvent pas se connecter, et le serveur devient « occupé » ou même tombe en panne.
Attaque par fragmentation IP
Une attaque par fragmentation IP est un type d’attaque DoS qui fournit des paquets de réseaux altérés que le réseau récepteur ne peut pas réassembler. Le réseau est alors encombré de paquets volumineux non assemblés qui utilisent toutes ses ressources.
Attaque volumétrique
Une attaque volumétrique est un type d’attaque DDoS utilisé pour cibler les ressources de largeur de bande. Par exemple, l’attaquant utilise un réseau zombie pour envoyer un volume élevé de paquets de requêtes à un réseau, submergeant sa largeur de bande de requêtes d’écho d’Internet Control Message Protocol (ICMP). Cela entraîne un ralentissement ou même l’arrêt total des services.
Attaque de protocole
Une attaque de protocole est un type d’attaque DDoS qui exploite les faiblesses des couches 3 et 4 du modèle OSI. Par exemple, l’attaquant peut exploiter la séquence de connexion TCP en envoyant des requêtes, mais en ne répondant pas comme prévu ou en répondant avec une autre requête en utilisant une adresse IP source usurpée. Les requêtes sans réponse utilisent les ressources du réseau jusqu’à ce qu’il devienne indisponible.
Attaque au niveau de l’application
Une attaque au niveau de l’application est un type d’attaque DDoS qui cible la couche 7 du modèle OSI. Un exemple de ce type d’attaque est Slowloris, dans laquelle l’attaquant envoie des requêtes Hypertext Transfer Protocol (HTTP) partielles, mais ne les termine pas. Des en-têtes HTTP sont envoyés périodiquement pour chaque requête, ce qui entraîne l’immobilisation des ressources réseau.
L’attaquant continue l’assaut jusqu’à ce qu’aucune nouvelle connexion ne puisse être établie par le serveur. Ce type d’attaque est très difficile à détecter, car plutôt que d’envoyer des paquets corrompus, il envoie des paquets partiels et utilise peu de largeur de bande, voire aucune.
Comment améliorer la protection contre les attaques DDoS et DoS
Voici quelques pratiques d’excellence pour la protection contre les DoS et les DDoS :
1. Surveillez votre réseau en permanence : cela est très utile pour identifier les modèles de trafic normaux et crucial pour la détection et la neutralisation précoces.
2. Effectuez des tests pour simuler des attaques DoS : cela permettra d’évaluer les risques, d’exposer les vulnérabilités et de former les employés à la cybersécurité.
3. Créez un plan de protection : créez des listes de contrôle, constituez une équipe d’intervention, définissez les paramètres de réponse et déployez une protection.
4. Identifiez les systèmes critiques et les modèles de trafic normaux : les premiers permettent de planifier la protection et les seconds permettent la détection précoce des menaces.
5. Prévoyez une largeur de bande supplémentaire : elle n’arrêtera peut-être pas l’attaque, mais elle aidera le réseau à faire face aux pics de trafic et à réduire l’impact de toute attaque.
Les attaques DDoS évoluent et se font de plus en plus sophistiquées et puissantes ; les organisations ont donc besoin de solutions qui font appel à des stratégies complètes, telles que des outils de reporting avancés et des analyses, pour surveiller simultanément d’innombrables paramètres de menace. Pour protéger une organisation des attaques connues et se préparer à d’éventuelles attaques « zero day », une protection contre les DDoS multicouche, telle que FortiDDoS, est nécessaire.
FortiDDoS inclut le dispositif de neutralisation des attaques DDoS de Fortinet, qui fournit une évaluation continue des menaces et une protection de sécurité pour les couches 3, 4 et 7.
