Cours Protection DoS en PDF (Intermédiaire)
La protection des réseaux contre les attaques DoS : notions essentielles. Le déni de service (DoS) regroupe les méthodes visant à rendre indisponible une ressource ou un service en saturant ses ressources ou en exploitant une vulnérabilité logicielle. Les attaques DDoS (Distribuées) mobilisent plusieurs sources (botnets, infrastructures compromises) pour multiplier l'impact et compliquer l'attribution. Auteurs : Amarir Hakim, Danes Adrien et Doffe Sidney — contributeurs techniques ; la méthodologie s'appuie sur des tests en environnement contrôlé et des bonnes pratiques industrielles, avec une attention portée à la conformité (référentiels tels qu'ISO 27001).
Objectifs pédagogiques
- Typologie des attaques DoS et DDoS — identification des formes classiques (SYN flood, Ping flood, Smurf, Teardrop, worms comme Slammer) et compréhension de leur logique d'impact sur les ressources TCP/UDP/ICMP. Focus sur les vecteurs ciblant les couches réseau et transport (OSI 3 et 4) et distinctions entre saturation de la bande passante, épuisement d'état TCP et exploitation applicative.
- Nature distribuée des botnets — fonctionnement des botnets (IoT, postes clients, serveurs) et conséquences pour la détection : diversité géographique, hétérogénéité des sources, techniques d'amplification et d'usurpation d'adresses IP. Méthodes de corrélation d'indicateurs réseau (volumes, diversité d'IP, empreintes de protocole) pour alimenter des règles d'atténuation adaptées.
- Mécanismes d'amplification et d'usurpation — analyse des techniques d'amplification (réflexion via UDP/ICMP) et d'usurpation d'adresses pour masquer la source et augmenter la puissance d'attaque. Règles d'atténuation applicables au bord réseau et chez les transitaires.
- Outils et vecteurs d'attaque — examen des outils opérationnels cités (hping, TFN2K, dsniff, ettercap) et reconnaissance d'empreintes dans des captures pour prioriser les risques selon le vecteur exploité.
- Détection et prévention en production — bonnes pratiques : mises à jour, sondes IDS/IPS, filtres firewall, corrélation d'événements et combinaison de détection signature/comportementale pour réduire les faux positifs.
- Script de détection basé sur tshark et mode opératoire — principes du script fourni en PDF, intégration dans un workflow d'alerte et exploitation comme base d'automatisation pour la collecte de traces et la production d'indicateurs réseau.
Différences entre attaques DoS et DDoS
DoS provient d'une seule source ; DDoS implique plusieurs sources coordonnées issues d'équipements compromis. Face à un DoS isolé, le filtrage local et les limites de connexion peuvent suffire. Pour des attaques DDoS de grande ampleur, l'atténuation exige souvent la coordination avec les upstreams, l'usage de scrubbing centers ou de services d'atténuation volumétrique pour préserver la disponibilité.
Dans le contexte des infrastructures critiques (télécommunications, énergie, santé), les attaques DDoS présentent des risques accrus : perturbation prolongée des services essentiels, exigences réglementaires de continuité et besoin de procédures de coordination inter‑opérateurs. La réponse doit inclure des plans d'escalade préétablis, des accords opérationnels avec les fournisseurs de transit et des mécanismes d'atténuation capables de différencier trafic légitime et malveillant sans compromettre les services critiques.
Impact sur le modèle OSI
Les attaques ciblent essentiellement les couches 3 (réseau) et 4 (transport) en perturbant le routage, en saturant la bande passante ou en épuisant les états TCP/UDP. Certaines attaques visent la couche application (OSI 7) pour induire des charges élevées sur des ressources logicielles. La couche ciblée oriente les stratégies : filtrage et rate‑limiting pour la couche transport, caches et équilibrage de charge pour la couche application, ainsi que mesures d'infrastructure pour absorber ou redistribuer les flux malveillants.
Stratégies d'atténuation des attaques DDoS
Les stratégies combinent protections locales et actions coordonnées en amont : filtrage au niveau du bord réseau, QoS et rate‑limiting, recours à des services d'absorption (scrubbing), et règles BGP pour diriger ou isoler le trafic malveillant. En cas d'attaques volumétriques, il est essentiel de contacter l'opérateur de transit ou le fournisseur d'accès pour activer des mesures upstream. L'intégration de ces procédures dans une politique de protection réseau permet une activation rapide des mesures d'atténuation DDoS et la continuité opérationnelle.
Cas pratique : Analyse d'une attaque DDoS
Scénario opérationnel : saturation d'un lien de production via une attaque d'amplification UDP combinée à une forte diversité d'IP source. Symptômes : latence élevée, paquets perdus et augmentation soutenue du trafic entrant. Étapes d'analyse : collecte de captures (tshark), identification des ports d'amplification, calcul du volume par préfixe source et validation d'IP spoofées. Mesures : filtres temporaires, activation d'un scrubbing center et coordination BGP avec le transitaire. Après atténuation, conduire une revue post‑incident, mettre à jour les signatures et organiser des exercices de rétablissement.
Recommandations de sécurité et conformité
Pour renforcer la sécurité réseau et la conformité, s'appuyer sur des guides opérationnels et des référentiels reconnus. Les recommandations couvrent la préparation (inventaire des points d'attache, plans d'escalade), la détection (sondes, règles corrélées) et la réponse (partenariats avec fournisseurs d'atténuation, procédures BGP). Intégrer ces mesures dans la gestion des risques et la gouvernance (alignement avec ISO 27001) garantit une approche structurée de l'atténuation DDoS et facilite la traçabilité des décisions. Mots-clés : DDoS, atténuation DDoS, sécurité réseau, tutoriel PDF.
Ressources complémentaires
Consulter les recommandations publiques pour adapter les procédures d'atténuation aux bonnes pratiques nationales. L'ANSSI publie des guides et retours d'expérience qui détaillent les mesures préventives et opérationnelles adaptées aux différents types d'attaques par déni de service. Ces ressources sont utiles pour compléter ce tutoriel PDF et pour concevoir des politiques de défense alignées sur les standards nationaux.
Avantages pédagogiques
Approche équilibrée entre contexte historique et application technique : cas concrets d'incidents, description d'outils opérationnels et script basé sur tshark comme point de départ pour la détection. Le contenu privilégie des mesures pratiques applicables en production et la combinaison de protections réseau et applicatives. Tester tout script en environnement isolé avant déploiement pour éviter tout impact sur l'infrastructure.
L'alignement avec des standards de sécurité (par exemple ISO 27001) et la conformité des procédures d'atténuation renforcent la résilience opérationnelle ; la documentation inclut des recommandations pour intégrer les contrôles DoS/DDoS dans une démarche de gestion des risques structurée.
Public cible et prérequis
- Public cible : administrateurs réseau, ingénieurs sécurité, opérateurs d'infrastructure et étudiants souhaitant approfondir la détection et l'atténuation des attaques DoS/DDoS.
- Prérequis : connaissance du modèle TCP/IP et des protocoles TCP/UDP/ICMP, familiarité avec la ligne de commande Linux/UNIX, concepts de capture de paquets et notions de configuration de pare‑feu et d'IDS/IPS.
❓ Foire Aux Questions (FAQ)
Comment distinguer un SYN flood d'un pic légitime de connexions ?
L'analyse des drapeaux TCP, des délais de connexion et de la distribution des adresses sources permet d'isoler un SYN flood. Indicateurs fiables : ratio SYN/SYN‑ACK, nombre de connexions en demi‑ouverture et diversité d'IP source, mesurés par des sondes et corrélés aux logs.
Le script basé sur tshark peut-il remplacer une solution IDS/IPS en production ?
Non. Le script sert d'outil d'alerte et d'investigation pour collecter et pré‑filtrer des traces. La mitigation en production nécessite l'intégration avec des IPS/firewalls et, si nécessaire, la coordination du filtrage avec les upstreams ou opérateurs transitaires. Pour aller plus loin, consultez notre Cours Kali Linux pour maîtriser les outils d'analyse réseau.
Exemple de commande d'extraction (illustration)
tshark -i eth0 -Y "udp || tcp" -T fields -e frame.time -e ip.src -e ip.dst -e tcp.flags -e udp.length
