Mentionnez l’acronyme DDoS à un administrateur web et il risque fort de se mettre à transpirer à grosses gouttes. Les attaques DDoS, ou attaques par déni de service distribué, comptent parmi les attaques réseau les plus malveillantes et les plus difficiles à arrêter pouvant être lancées contre un site web ou tout autre service vulnérable aux DDoS, comme une plateforme SaaS. Ces attaques se produisent lorsque plusieurs systèmes compromis envoient un flot de requêtes à des serveurs ciblés afin de les saturer et de les faire tomber.
Alors, comment savoir si votre organisation est victime d’une attaque DDoS — plutôt que de connaître un afflux viral de trafic sur son site web — et existe-t-il des signes avant-coureurs pouvant vous aider à réagir plus rapidement aux attaques DDoS ?
Si vous êtes victime d’une attaque DDoS, consultez Comment arrêter les attaques DDoS en trois étapes.
Quels sont les signes courants d’une attaque DDoS ?
Si vous pensez être victime d’une attaque DDoS, plusieurs signes peuvent vous mettre sur la voie. Voici cinq des signes les plus courants d’une attaque DDoS :
1. Des pics inexpliqués du trafic web
L’un des signes les plus courants d’une attaque DDoS est un pic inexpliqué du trafic web. Vous pouvez le détecter en surveillant les journaux de votre serveur web ou à l’aide d’un outil d’analyse web. Si vous constatez une hausse soudaine du trafic depuis un emplacement ou une adresse IP spécifique, cela peut indiquer que votre site est attaqué.
2. Des temps de chargement élevés pour votre site web
Un autre signe courant d’une attaque DDoS est le ralentissement du chargement de votre site web. Cela est dû au fait que l’attaquant inonde votre serveur de requêtes, ce qui peut surcharger le système et le ralentir. Si vous constatez que votre site met plus de temps que d’habitude à se charger, cela peut être dû à une attaque DDoS.
3. Des erreurs inexpliquées, des délais d’attente et une inaccessibilité totale
Une attaque DDoS peut également se caractériser par des erreurs ou des délais d’attente inexpliqués. Cela se produit lorsque l’attaquant envoie tellement de requêtes à votre serveur que celui-ci ne peut plus toutes les traiter, ce qui entraîne des erreurs ou des délais d’attente pour les utilisateurs qui tentent d’accéder à votre site, avec parfois des codes d’erreur HTTP 503 Service Unavailable. Si vous constatez que les utilisateurs voient apparaître des erreurs ou des délais d’attente lorsqu’ils tentent d’accéder à votre site, cela peut être dû à une attaque DDoS. Dans certains cas, une attaque DDoS peut rendre votre site web complètement inaccessible.
4. Une baisse des performances des autres services sur le même réseau
Si vous constatez que d’autres services sur le même réseau que votre site web subissent une baisse de performances, cela peut indiquer que votre site est attaqué. En effet, les requêtes de l’attaquant peuvent consommer toute la bande passante du réseau, ralentissant les autres services ou les rendant indisponibles.
5. Une hausse de l’utilisation du processeur ou de la mémoire de votre serveur
Une hausse de l’utilisation du processeur ou de la mémoire du serveur peut indiquer que votre site est attaqué. Cela se produit parce que les requêtes de l’attaquant peuvent consommer toutes les ressources de votre serveur, le ralentissant ou le rendant non réactif.
Comment savoir si vous avez subi une attaque DDoS ?
Malheureusement, les signes typiques mentionnés ci-dessus peuvent également être causés par d’autres problèmes, dont certains sont positifs. Par exemple, si vous constatez un pic soudain du trafic web et que votre site se charge lentement, cela peut être dû à une hausse légitime du trafic utilisateur, par exemple parce qu’une campagne marketing devient virale ou qu’un site web populaire ou un profil de réseau social a mentionné votre site.
Si votre serveur peine à suivre le rythme d’un afflux de trafic légitime, cela peut entraîner une hausse de l’utilisation du processeur ou de la mémoire, ainsi que d’autres erreurs.
Alors, comment être certain d’avoir subi une attaque DDoS ?
Déterminer si le trafic provient d’une attaque DDoS ou s’il est légitime
Déterminer si le trafic provient d’une attaque DDoS ou s’il est légitime peut s’avérer délicat. Toutefois, les plateformes de protection contre les DDoS proposent généralement des outils d’analyse web qui vous aident à déterminer si le trafic provient ou non d’une attaque DDoS. Ces outils vérifient si une source de trafic spécifique continue à interroger un ensemble particulier de données longtemps après l’expiration du délai de vie (TTL) d’un site. Il s’agit de la période que vous définissez pour que votre site supprime les données conservées et libère des ressources. Si c’est le cas, il s’agit probablement d’une attaque DDoS, car une source légitime ne générerait plus de trafic à ce stade.
Outils d’analyse web DDoS populaires
Parmi les outils d’analyse web DDoS populaires figurent notamment :
- CloudFlare Web Application Firewall
- Sucuri Website Firewall
- Azure Web Application Firewall
- AWS WAF
- Imperva
Signes avant-coureurs d’une attaque DDoS
La mise en place d’outils tels que les pare-feu applicatifs web et les services de surveillance constitue votre meilleure défense contre une attaque DDoS. Ils sauront faire la différence entre, par exemple, un attaquant DDoS qui sonde vos défenses avec du trafic de test et quelque chose de plus bénin, comme un équilibreur de charge mal configuré qui pourrait saturer vos ressources.
Pouvoir détecter une attaque DDoS le plus tôt possible est essentiel pour une organisation dont l’activité dépend de la disponibilité de son site web. Il existe un large éventail de services DDoS à envisager ; consultez nos guides sur les meilleurs services de protection contre les DDoS et les meilleures solutions de protection contre les bots.
Combien de temps durent généralement les attaques DDoS ?
Les attaques DDoS peuvent durer de quelques minutes à plusieurs jours, selon leur complexité et leur intensité. Dans la plupart des cas, l’attaquant utilise un logiciel automatisé pour inonder votre site de requêtes jusqu’à ce qu’il soit surchargé et cesse de répondre.
Si une attaque DDoS typique peut durer 1 à 2 jours, Qrator Labs indique que la durée moyenne d’une attaque est légèrement supérieure à 6 minutes, les attaques en rafale plus courtes étant souvent utilisées pour tester les défenses d’une organisation.
Comment arrêter une attaque DDoS
Si vous pensez que votre site est attaqué, la première chose à faire est de contacter votre hébergeur pour obtenir de l’aide. Celui-ci pourra peut-être mettre en place des protections au niveau du réseau ou prendre d’autres mesures pour atténuer l’attaque et aider à rétablir le fonctionnement normal de votre site.
En plus d’informer votre FAI, vous pouvez prendre plusieurs autres mesures pour arrêter une attaque DDoS en cours :
- Faire appel à une assistance DDoS professionnelle : L’un des meilleurs moyens d’arrêter une attaque DDoS consiste à travailler avec un prestataire professionnel spécialisé dans l’atténuation et l’arrêt de ces attaques. Ces entreprises peuvent vous aider à identifier rapidement la source d’une attaque, à mettre en place des mesures de protection et à rétablir le fonctionnement normal de votre site dès que possible. Selon la gravité de l’attaque, vous devrez peut-être également faire intervenir les forces de l’ordre afin d’enquêter sur l’attaque et d’identifier les éventuels responsables.
- Caractérisation de l’attaque : En plus d’identifier la source d’une attaque, un service d’atténuation des DDoS peut vous aider à comprendre comment les attaquants ciblent votre site et compromettent ses ressources. Ces informations sont essentielles pour élaborer des défenses efficaces contre les attaques futures et empêcher que votre site ne devienne une cible récurrente.
- Traçage de l’attaque : Dans certains cas, il peut être possible d’identifier la source d’une attaque DDoS même si vous ne pouvez pas l’arrêter en temps réel. Le traçage d’une attaque consiste à tenter d’en localiser l’origine en analysant les schémas de trafic et en identifiant tout comportement inhabituel ou suspect.
- Tolérance et atténuation de l’attaque : Il est également possible que votre site soit ciblé par une attaque DDoS trop intense ou complexe pour être stoppée en temps réel. Dans ce cas, vous devrez élaborer des stratégies permettant à votre équipe et à votre hébergeur de travailler ensemble afin de limiter les dommages et de maintenir le site en ligne jusqu’à ce que l’attaque s’estompe. Cela peut impliquer de limiter le débit du trafic ou de rediriger le DNS afin de maintenir votre site opérationnel tout en atténuant les effets de l’attaque.
À lire aussi : Mythes sur les DDoS : le blackholing et l’externalisation ne suffisent pas à tout arrêter
Comment prévenir les attaques DDoS
La meilleure façon de gérer les attaques DDoS visant vos actifs en ligne est de faire en sorte qu’elles ne se produisent jamais. Voici quelques mesures que vous pouvez prendre pour contribuer à protéger votre site web contre les attaques DDoS.
Installer des pare-feu applicatifs web (WAF) et des filtres anti-bots
L’un des meilleurs moyens de protéger votre site web contre les attaques DDoS consiste à installer un pare-feu applicatif web (WAF). Un WAF est un logiciel qui se place entre votre site web et Internet et filtre le trafic entrant à la recherche d’activités malveillantes. Il existe de nombreux WAF différents ; prenez donc le temps de vous renseigner pour trouver celui qui répond à vos besoins.
En plus d’un WAF, vous devriez également envisager d’installer un filtre anti-bots. Celui-ci contribuera à empêcher les bots d’accéder à votre site web, ce qui est souvent exploité dans les attaques DDoS.
Envisager l’utilisation d’un réseau de diffusion de contenu (CDN)
Un autre élément essentiel pour maintenir la sécurité de votre site web contre les attaques DDoS est un réseau de diffusion de contenu (CDN). Un CDN fonctionne en répartissant les ressources statiques de votre site — comme les images, les vidéos et les scripts — sur des serveurs partout dans le monde. Il devient ainsi plus difficile pour les attaquants de cibler des serveurs précis ou de saturer la bande passante d’un hôte particulier.
En outre, l’utilisation d’un CDN peut améliorer les performances de votre site web pour les visiteurs du monde entier en réduisant la latence.
Mettre régulièrement à jour les logiciels, plugins et scripts de votre site
L’un des meilleurs moyens de prévenir les attaques DDoS consiste à maintenir à jour les logiciels et les plugins de votre site web. En tenant à jour tous les logiciels de votre site avec les derniers correctifs de sécurité, vous contribuez à garantir que les éventuelles vulnérabilités sont corrigées avant de pouvoir être exploitées par des attaquants.
Effectuer régulièrement des audits de sécurité de votre site web
Une autre étape essentielle pour protéger votre site web contre les attaques DDoS consiste à effectuer régulièrement des audits de sécurité. Ces audits vous aideront à identifier les éventuelles faiblesses ou vulnérabilités de l’infrastructure de votre site, comme des logiciels non corrigés, des mots de passe faibles, des erreurs de configuration et des ports ouverts susceptibles d’être utilisés par des attaquants pour lancer une attaque.
Acheter une protection DDoS supplémentaire
Si vous craignez d’être victime d’une attaque DDoS, vous pouvez notamment acheter une protection supplémentaire auprès d’un fournisseur comme Cloudflare ou Imperva. Ces services offrent des couches de protection supplémentaires contre les attaques DDoS, notamment en filtrant le trafic malveillant et en fournissant une capacité de bande passante supplémentaire pendant une attaque. Bien que ces services puissent être coûteux, ils offrent une tranquillité d’esprit aux entreprises qui craignent d’être ciblées par des attaques DDoS.
Créer un guide d’intervention DDoS
En plus de prendre des mesures proactives pour prévenir les attaques DDoS, il est également important de disposer d’un plan de réponse aux incidents définissant la manière dont vous réagirez si une attaque se produit. Ce plan est souvent appelé « guide d’intervention DDoS ». Il doit décrire les mesures que vous prendrez pendant et après une attaque, notamment la personne responsable de chaque tâche. Disposer d’un plan à l’avance vous aidera à être prêt si une attaque se produit.
Mettre en place une surveillance et des rapports réguliers
Pour contribuer à détecter les attaques DDoS au moment où elles se produisent, mettez en place une surveillance et des rapports réguliers concernant le trafic, les performances et la sécurité de votre site. Vous pouvez utiliser les outils et services spécialisés d’analyse web mentionnés précédemment. Toutefois, le suivi des pics de trafic et du comportement du trafic peut également être effectué à l’aide d’outils gratuits simples comme Google Analytics, ou en surveillant l’utilisation du processeur, de la mémoire et de la bande passante de votre serveur depuis votre panneau d’hébergement web.
À lire : Comment prévenir les attaques DDoS : 5 étapes pour se protéger des DDoS
En résumé : détecter les attaques DDoS
Les attaques DDoS restent l’une des cyberattaques les plus dommageables, et leur fréquence comme leur gravité continuent d’augmenter. Si vous n’avez pas encore pris de mesures pour protéger votre site web ou votre application contre les attaques DDoS, le moment est venu de commencer ; mettre en place un service de réponse aux DDoS pourrait constituer une première étape efficace.
La prévention des DDoS repose sur une combinaison de mesures. Lorsqu’elles sont bien planifiées, celles-ci contribuent à éviter les conséquences les plus graves d’une attaque DDoS et à maintenir votre site web en fonctionnement, même si certains éléments sont perturbés. Pour les organisations qui dépendent de leur site web pour survivre, une préparation efficace aux DDoS ne devrait pas être facultative.
À lire ensuite :