Piratage éthique - Attaques DDOS

Une attaque par déni de service distribué (DDoS) est une tentative de rendre un service en ligne ou un site Web indisponible en le surchargeant d'énormes flux de trafic générés à partir de plusieurs sources.

Contrairement à une attaque par déni de service (DoS), dans laquelle un ordinateur et une connexion Internet sont utilisés pour inonder une ressource ciblée de paquets, une attaque DDoS utilise de nombreux ordinateurs et de nombreuses connexions Internet, souvent distribuées à l'échelle mondiale dans ce que l'on appelle un botnet.

Une attaque DDoS volumétrique à grande échelle peut générer un trafic mesuré en dizaines de Gigabits (et même en centaines de Gigabits) par seconde. Nous sommes sûrs que votre réseau normal ne pourra pas gérer un tel trafic.

Que sont les botnets?

Les attaquants construisent un réseau de machines piratées appelées botnets, en diffusant un morceau de code malveillant via des e-mails, des sites Web et des réseaux sociaux. Une fois ces ordinateurs infectés, ils peuvent être contrôlés à distance, à l'insu de leurs propriétaires, et utilisés comme une armée pour lancer une attaque contre n'importe quelle cible.

Une inondation DDoS peut être générée de plusieurs manières. Par exemple -

  • Les botnets peuvent être utilisés pour envoyer plus de demandes de connexion qu'un serveur ne peut en traiter à la fois.

  • Les attaquants peuvent demander aux ordinateurs d'envoyer à une ressource victime d'énormes quantités de données aléatoires pour utiliser la bande passante de la cible.

En raison de la nature distribuée de ces machines, elles peuvent être utilisées pour générer un trafic élevé distribué qui peut être difficile à gérer. Il en résulte finalement un blocage complet d'un service.

Types d'attaques DDoS

Les attaques DDoS peuvent être globalement classées en trois catégories -

  • Attaques basées sur le volume
  • Attaques de protocole
  • Attaques de couche d'application

Attaques basées sur le volume

Les attaques basées sur le volume incluent les inondations TCP, les inondations UDP, les inondations ICMP et d'autres inondations de paquets usurpés. Ceux-ci sont également appelésLayer 3 & 4 Attacks. Ici, un attaquant tente de saturer la bande passante du site cible. L'ampleur de l'attaque est mesurée enBits per Second (bps).

  • UDP Flood - Une inondation UDP est utilisée pour inonder des ports aléatoires sur un hôte distant avec de nombreux paquets UDP, plus spécifiquement le port numéro 53. Des pare-feu spécialisés peuvent être utilisés pour filtrer ou bloquer les paquets UDP malveillants.

  • ICMP Flood- Ceci est similaire à UDP flood et utilisé pour inonder un hôte distant avec de nombreuses demandes d'écho ICMP. Ce type d'attaque peut consommer de la bande passante sortante et entrante et un volume élevé de requêtes ping entraînera un ralentissement global du système.

  • HTTP Flood - L'attaquant envoie des requêtes HTTP GET et POST à ​​un serveur Web ciblé dans un volume important qui ne peut pas être géré par le serveur et conduit au refus de connexions supplémentaires de clients légitimes.

  • Amplification Attack - L'attaquant fait une requête qui génère une réponse volumineuse qui inclut des requêtes DNS pour des enregistrements TXT volumineux et des requêtes HTTP GET pour des fichiers volumineux tels que des images, des PDF ou tout autre fichier de données.

Attaques de protocole

Les attaques de protocole incluent les inondations SYN, Ping of Death, les attaques par paquets fragmentés, Smurf DDoS, etc. Ce type d'attaque consomme des ressources de serveur réelles et d'autres ressources telles que des pare-feu et des équilibreurs de charge. L'ampleur de l'attaque est mesurée enPackets per Second.

  • DNS Flood - Les inondations DNS sont utilisées pour attaquer à la fois l'infrastructure et une application DNS pour submerger un système cible et consommer toute sa bande passante réseau disponible.

  • SYN Flood- L'attaquant envoie les demandes de connexion TCP plus rapidement que la machine ciblée ne peut les traiter, provoquant une saturation du réseau. Les administrateurs peuvent modifier les piles TCP pour atténuer l'effet des inondations SYN. Pour réduire l'effet des inondations SYN, vous pouvez réduire le délai d'expiration jusqu'à ce qu'une pile libère la mémoire allouée à une connexion, ou en supprimant sélectivement les connexions entrantes à l'aide d'un pare-feu ouiptables.

  • Ping of Death- L'attaquant envoie des paquets mal formés ou surdimensionnés à l'aide d'une simple commande ping. IP permet d'envoyer des paquets de 65 535 octets, mais l'envoi d'un paquet ping de plus de 65 535 octets viole le protocole Internet et pourrait provoquer un débordement de mémoire sur le système cible et finalement planter le système. Pour éviter les attaques Ping of Death et ses variantes, de nombreux sites bloquent complètement les messages ping ICMP au niveau de leurs pare-feu.

Attaques de couche d'application

Les attaques de la couche d'application incluent Slowloris, les attaques DDoS Zero-day, les attaques DDoS qui ciblent les vulnérabilités Apache, Windows ou OpenBSD, etc. Ici, le but est de planter le serveur Web. L'ampleur de l'attaque est mesurée enRequests per Second.

  • Application Attack - Cela s'appelle aussi Layer 7 Attack, où l'attaquant fait des demandes de connexion, de recherche de base de données ou de recherche excessives pour surcharger l'application. Il est vraiment difficile de détecter les attaques de couche 7 car elles ressemblent à du trafic de site Web légitime.

  • Slowloris- L'attaquant envoie un grand nombre d'en-têtes HTTP à un serveur Web ciblé, mais ne termine jamais une requête. Le serveur ciblé maintient chacune de ces fausses connexions ouvertes et finit par déborder le pool de connexions simultanées maximal, et conduit au refus de connexions supplémentaires de la part de clients légitimes.

  • NTP Amplification - L'attaquant exploite des serveurs NTP (Network Time Protocol) accessibles au public pour submerger le serveur ciblé de trafic UDP (User Datagram Protocol).

  • Zero-day DDoS Attacks- Une vulnérabilité zero-day est une faille du système ou de l'application jusqu'alors inconnue du fournisseur, et qui n'a pas été corrigée ou corrigée. Ce sont de nouveaux types d'attaques qui se produisent jour après jour, par exemple, exploitant des vulnérabilités pour lesquelles aucun correctif n'a encore été publié.

Comment réparer une attaque DDoS

Il existe de nombreuses options de protection DDoS que vous pouvez appliquer en fonction du type d'attaque DDoS.

Votre protection DDoS commence par identifier et fermer toutes les vulnérabilités possibles au niveau du système d'exploitation et de l'application dans votre système, en fermant tous les ports possibles, en supprimant les accès inutiles du système et en cachant votre serveur derrière un proxy ou un système CDN.

Si vous constatez une faible ampleur du DDoS, vous pouvez trouver de nombreuses solutions basées sur un pare-feu qui peuvent vous aider à filtrer le trafic basé sur DDoS. Mais si vous avez un volume élevé d'attaques DDoS comme en gigabits ou même plus, vous devriez alors faire appel à un fournisseur de services de protection DDoS qui offre une approche plus holistique, proactive et authentique.

Vous devez être prudent lorsque vous approchez et sélectionnez un fournisseur de services de protection DDoS. Il existe un certain nombre de prestataires de services qui souhaitent profiter de votre situation. Si vous les informez que vous êtes sous attaque DDoS, ils commenceront à vous proposer une variété de services à des coûts déraisonnablement élevés.

Nous pouvons vous proposer une solution simple et fonctionnelle qui commence par la recherche d'un bon fournisseur de solution DNS suffisamment flexible pour configurer les enregistrements A et CNAME pour votre site Web. Deuxièmement, vous aurez besoin d'un bon fournisseur de CDN capable de gérer un gros trafic DDoS et de vous fournir un service de protection DDoS dans le cadre de leur package CDN.

Supposons que l'adresse IP de votre serveur est AAA.BBB.CCC.DDD. Ensuite, vous devez effectuer la configuration DNS suivante -

  • Créer un A Record dans le fichier de zone DNS comme indiqué ci-dessous avec un identifiant DNS, par exemple, ARECORDID et gardez-le secret du monde extérieur.

  • Demandez maintenant à votre fournisseur CDN de lier l'identifiant DNS créé à une URL, quelque chose comme cdn.someotherid.domain.com.

  • Vous utiliserez l'URL CDN cdn.someotherid.domain.com pour créer deux enregistrements CNAME, le premier à pointer vers www et le deuxième enregistrement pour pointer vers @ comme indiqué ci-dessous.

Vous pouvez demander l'aide de votre administrateur système pour comprendre ces points et configurer votre DNS et CDN de manière appropriée. Enfin, vous aurez la configuration suivante au niveau de votre DNS.

Maintenant, laissez le fournisseur CDN gérer tous les types d'attaques DDoS et votre système restera en sécurité. Mais ici, la condition est que vous ne devez divulguer l'adresse IP de votre système ou un identifiant d'enregistrement à personne; sinon les attaques directes recommenceront.

Solution rapide

Les attaques DDoS sont devenues plus courantes que jamais et, malheureusement, il n'existe pas de solution miracle à ce problème. Cependant, si votre système est soumis à une attaque DDoS, ne paniquez pas et commencez à examiner la question étape par étape.