Les Dénis de service distribués (DDoS) ont évolué tant en complexification qu’en sophistication. Les menaces DDoS auxquelles sont confrontées toutes les entreprises, quelle que soit leur taille ou leur industrie, ont changé avec le temps. Si les attaques DDoS opportunistes sont encore une réelle menace, la plupart des attaques actuelles sont désormais ciblées. Il s’agit souvent de frappes brèves qui cherchent à échapper aux systèmes de mitigation traditionnelle. (Par Willie Georges, Ingénieur Réseaux et Sécurité Senior chez Corero Network Security)

Face à cette évolution, il est nécessaire que les entreprises aient une approche de la Défense contre les DDoS aussi sophistiquée que ces menaces. Les fournisseurs de services ont un rôle essentiel à jouer pour protéger leurs clients.

Les acteurs malveillants d’Internet lancent chaque jour des attaques DDoS pour protester, exercer des méfaits, des représailles, des actions de sabotage… On observe un éventail de plus en plus large de tactiques visant un nombre de cibles toujours plus important. Il est aujourd’hui facile pour n’importe qui de lancer une attaque paralysante pour très peu d’argent. Il existe par exemple des abonnements qui permettent de lancer plusieurs attaques DDoS de courte durée pour seulement quelques dizaines d’euros par mois. Il est aussi tout à fait possible d’installer des applications sur un smartphone pour lancer des DDOS.

L’Internet des Objets est un des vecteurs de la menace. Les téléviseurs intelligents, les voitures et maisons connectées, les capteurs de machine-à-machine, les villes intelligentes, les transports en commun et tous les matériels qui continuent à se connecter sont autant de points d’entrée pour les attaques. Ce sont ces dispositifs intelligents qui déjà en 2014 étaient utilisés comme vecteurs par un tiers des plus grandes attaques DDoS. Aujourd’hui, la fréquence des attaques augmente. Leur sophistication aussi. Au 4ème trimestre 2014, les clients de Corero Network Security ont connu en moyenne 3,9 tentatives d’attaque DDoS journalières, par client. Il s’agit d’une moyenne. L’un d’eux a subi une moyenne de 12 attaques par jour via son centre de données multi-environnement, pendant une période de trois mois !

Les motivations de ces attaques varient selon l’entreprise, le secteur économique auquel elle appartient ou l’image qu’elle véhicule. Il peut s’agir de cyber-terrorisme, d’un acte politique ou idéologique, de fraude, d’une demande de rançon, d’escroquerie, de cyber-espionnage, de sabotage numérique, de vol de données par exfiltration, de vengeance,… Les finalités sont multiples, les attaques se poursuivent et augmentent.

Certains événements, comme les attentats de Paris et les manifestations au Venezuela, en Arabie saoudite et aux Etats-Unis, sont très médiatisés. Par réaction, cette médiatisation a provoqué une légère hausse des actions hacktivistes. Par ailleurs, les cibles se sont élargies, incluant le monde des joueurs en ligne, des fournisseurs de cloud, des fournisseurs de vidéo en streaming et même des sites Web institutionnels…

Des frappes ciblées et répétées
Des techniques de réflexion et d’amplification augmentent le volume des attaques pour les rendre plus actives et paralyser totalement un site web par exemple. Les nouvelles attaques sont multi-vectorielles et leur durée est plus courte. Elles portent un coup rapide mais très efficace. 66% d’entre elles ont duré moins de cinq minutes et presque 96% moins de 30 minutes(1). Cette nouvelle approche complique le processus de nettoyage. Au moment où l’on active le service de mitigation chez le fournisseur, il est souvent trop tard et le mal est fait.

Les cybercriminels ont évolués, passant du pur volumétrique aux attaques DDOS multi-vecteurs. Des kits d’outils modernes peuvent lancer des attaques visant à la fois les infrastructures et les services. Ce sont des attaques SYN Flood, UDP Flood, DNS (Domain Name System) Flood avec un très grand nombre de requêtes pour obtenir une saturation. Le but ? Masquer une seconde vague de menaces qui vont bien au-delà des DDoS eux-mêmes.

Les acteurs de ces scénarios utilisent une saturation de lien partielle, laissant juste assez de bande passante disponible pour qu’une deuxième attaque puisse se produire. Dans ce cas, l’attaque DDoS sert à attirer l’attention et à concentrer les ressources de la victime sur le déni de service. Par exemple, un SYN flood pourrait remplir les tables des états de connexions pour faire tomber un pare-feu, tandis que l’amplification DNS serait utilisée pour attaquer les systèmes IPS. Entre les deux, des couches de sécurité compromises pour permettre une attaque ciblée par le biais de logiciels malveillants, avec l’objectif d’exfiltrer des données.

Les pirates effectuent des scans pour obtenir une cartographie du réseau ciblé. Puis, ils lancent une deuxième et éventuellement une troisième attaque qui contourneront la stratégie de protection. L’objectif étant le plus souvent l’exfiltration de données. Pour vaincre ces attaques sophistiquées, seule une analyse en temps réel est nécessaire et efficace, déterminant la nécessité de personnaliser les contremesures.

Les fournisseurs de service doivent agir
Il est aujourd’hui possible d’agir sur le trafic des attaques DDoS qui transitent sur les réseaux des fournisseurs de services mobiles et fixes – FAI, fournisseurs de convergence, opérateurs de systèmes multiples (MSO), etc. – sont bien placés pour changer fondamentalement l’impact des attaques DDoS en aval. De plus, c’est pour eux une nouvelle source de revenus que d’offrir une protection de nouvelle génération à leurs clients.

Avec les nouvelles solutions permettant des économies d’échelle pour une mitigation des DDoS modernes et sophistiqués, les fournisseurs de services sont désormais à même de relever ce défi. Ils doivent se focaliser sur cette bataille pour deux raisons majeures. D’abord le maintien de la bande passante nécessaire, fonction du nombre de leurs clients. Ensuite le fait qu’ils vont vers une architecture de réseau plus distribuée et plus chère pour fournir des services personnalisés à leurs abonnés.

Une protection locale instantanée devient alors capitale, ce qui contraint à s’éloigner de l’ancien modèle pour adopter une solution de protection moderne assise sur trois éléments stratégiques forts :
• Mettre en œuvre une technologie pour détecter, analyser et répondre aux attaques DDoS en inspectant le trafic Internet brut, puis pour identifier et bloquer les menaces dès les premiers paquets d’une attaque donnée.
• Mettre en place une stratégie de sécurité multicouche mettant l’accent sur la visibilité continue et l’application de la politique de sécurité pour installer une première ligne de défense proactive capable de lancer la mitigation des attaques DDoS, tout en assurant la disponibilité des services.
• Donner une visibilité totale des couches applicatives et du réseau lors d’attaques DDoS. Cette bonne pratique permet également l’analyse forensique des menaces passées et permet de disposer des rapports de conformité aux polices de sécurité.

La position des fournisseurs de services, au cœur de la circulation des données, de leur accessibilité ou de leur stockage les oblige désormais à intégrer dans leur projet d’entreprise cette stratégie de sécurité. Autant pour leur propre pérennité que pour la satisfaction et la tranquillité de leurs clients.

(1) Rapport trimestriel Tendances et analyse des DDoS de Corero Network Security.