Arbor Networks signale un pic sans précédent dans l’ampleur des attaques DDoS sous l’effet d’abus NTP. La plus forte attaque a atteint 325 Gbit/s au premier trimestre 2014. 72 attaques ont dépassé 100 Gbit/s et le nombre d’attaques dépassant 20 Gbit/s a été multiplié par 1,5 au cours de ce trimestre par rapport à l’ensemble de l’année 2013. NTP est un protocole reposant sur UDP et servant à synchroniser les horloges sur un réseau informatique. Tout service UDP (DNS, SNMP, NTP, chargen, RADIUS) est un vecteur potentiel d’attaques DDoS car il s’agit d’un protocole « sans connexion ». Les adresses IP sources peuvent ainsi être usurpées par des pirates ayant pris le contrôle de systèmes hôtes infectés par des botnets, sur les réseaux non protégés par des mesures « antispoofing » élémentaires. NTP est très répandu en raison de son facteur élevé d’amplification (de l’ordre de 1000). En outre, les outils d’attaque sont de plus en plus accessibles, ce qui facilite l’exécution de ces attaques.
ATLAS s’appuie sur une collaboration avec près de 300 opérateurs qui partagent des données anonymes de trafic avec Arbor Networks afin d’offrir une vue globale complète du trafic et des menaces. ATLAS collecte 80 Tbit/s de trafic et fournit les données de Digital Attack Map, un site créé par Google Ideas pour cartographier les attaques au niveau mondial.
Faits marquants sur les attaques NTP
Le trafic NTP moyen au niveau mondial, qui était de 1,29 Gbit/s en novembre 2013, a atteint 351,64 Gbit/s en février 2014. Si NTP intervient dans 14 % des attaques DDoS au total, cette méthode se retrouve dans 56 % et 84,7 % de celles dépassant respectivement 10 Gbit/s et 100 Gbit/s. Les Etats-Unis, la France et l’Australie ont été les cibles les plus fréquentes des attaques dans leur ensemble. Les Etats-Unis et la France ont été les pays les plus ciblés par les attaques de plus grande ampleur. « Arbor Networks surveille et neutralise les attaques DDoS depuis l’an 2000. Le pic dont la taille et la fréquence des attaques de grande ampleur observé jusqu’à présent en 2014 est sans précédent », commente Darren Anstee, directeur des solutions architecturales pour Arbor Networks. « Ces attaques atteignent une telle dimension qu’elles représentent une menace très sérieuse pour les infrastructures d’Internet, depuis les FAI jusqu’aux entreprises. »
