Comment prévenir les attaques DDoS : 5 étapes pour prévenir les attaques DDoS

Les attaques DDoS sont des menaces de sécurité qui cherchent à paralyser des ressources réseau telles que les applications, les sites web, les serveurs et les routeurs, ce qui peut entraîner de lourdes pertes pour les victimes. Elles peuvent toutefois être évitées grâce à l’application de bonnes pratiques de sécurité et à une préparation en amont, notamment en renforçant vos réseaux, en provisionnant vos ressources, en déployant des protections robustes, en planifiant à l’avance et en surveillant activement votre réseau.

1. Se protéger contre les attaques DDoS

Les bonnes pratiques de sécurité standard en matière de défense générique et multicouche peuvent offrir une protection raisonnable contre les attaques DDoS. Toutefois, certaines mesures spécifiques, comme l’application de correctifs aux vulnérabilités et le renforcement informatique, peuvent fournir une protection encore meilleure.

Appliquer des correctifs et mettre à jour les ressources

Toutes les ressources doivent être corrigées et entièrement mises à jour. Pour une défense DDoS efficace, les mises à jour et l’application de correctifs doivent cibler en priorité les appareils situés entre les ressources les plus précieuses et Internet, tels que les pare-feu, passerelles, les sites web et les applications. Les équipes informatiques doivent également effectuer les actions suivantes :

• Effectuer des analyses de vulnérabilités : Utiliser régulièrement des outils d’analyse des vulnérabilités pour détecter les problèmes éventuels, tels que l’absence de mises à jour ou de correctifs et les erreurs de configuration. Les vulnérabilités peuvent résulter de correctifs oubliés et de logiciels obsolètes.
• Mettre en place une gestion des correctifs : Créer un processus permettant de hiérarchiser, tester et déployer régulièrement les mises à jour et les correctifs sur vos appareils et applications, afin qu’ils restent à jour sans erreurs ni conflits.

Renforcer les applications

Les applications et les sites web peuvent être renforcés en modifiant votre réseau, en utilisant des outils de sécurité des applications, ou en réalisant des tests d’intrusion pour rechercher les vulnérabilités, les erreurs de configuration ou les oublis dans le code. Une attention particulière doit être accordée aux attaques susceptibles de permettre différents types d’attaques DDoS.

Par exemple, l’ajout de captchas pour vérifier l’interaction humaine sur votre site web peut protéger contre les attaquants qui utilisent des bots pour envoyer un grand nombre de requêtes susceptibles de surcharger et de faire tomber un serveur.

Verrouiller l’infrastructure informatique

Les serveurs, passerelles, pare-feu, routeurs et autres éléments de l’infrastructure informatique peuvent être renforcés contre les attaques en modifiant les paramètres, en ajustant les configurations, en supprimant les fonctionnalités inutiles et en installant des fonctionnalités facultatives qui offrent une sécurité réseau supplémentaire.

Le renforcement comprend notamment les mesures suivantes :

• Bloquer les ports réseau : Bloquer les ports inutilisés sur les serveurs et les pare-feu.
• Restreindre l’accès : Limiter certains protocoles aux appareils du réseau interne.
• Activer la limitation du débit : Définir ou réduire les seuils de limitation du débit afin d’abandonner les paquets lorsque l’autre ordinateur ne répond pas ou envoie des requêtes répétitives.
• Bloquer les connexions semi-ouvertes : Activer des délais d’expiration pour les connexions semi-ouvertes.
• Définir des règles de pare-feu : Configurer votre pare-feu pour détecter et abandonner les paquets usurpés, mal formatés ou incorrectement structurés.

Par exemple, les serveurs DNS peuvent être spécifiquement ciblés par des attaquants et sont vulnérables à différents types d’attaques. Si l’organisation ne l’utilise pas, l’accès UDP au port 53 (DNS) doit être bloqué.

Lisez notre article pour en savoir plus sur la prévention des attaques DNS, notamment les bonnes pratiques générales à suivre et les conseils adaptés aux serveurs et aux types de DNS spécifiques.

2. Déployer une architecture anti-DDoS

Outre le renforcement, l’architecture informatique peut également être conçue pour offrir davantage de résilience et de sécurité contre les attaques DDoS. Les équipes informatiques qui surprovisionnent l’infrastructure, sauvegardent leurs systèmes, créent de la redondance, masquent les cibles DDoS potentielles et isolent les appareils vulnérables peuvent limiter l’efficacité des attaques DDoS et renforcer la résilience globale.

• Surprovisionner votre infrastructure : Lors de la construction de votre réseau et de vos équipements, estimez votre bande passante, puis prévoyez une capacité correspondant à 200–500 % des besoins de référence. Cette mesure peut être coûteuse, mais les ressources supplémentaires vous donnent le temps de réagir à une attaque DDoS.
• Sauvegarder les composants critiques : Des appareils redondants ou de secours sont nécessaires à une architecture résiliente et peuvent être utilisés pour restaurer rapidement les systèmes après une attaque DDoS. Mettez régulièrement les données à jour et ne remettez les appareils en ligne qu’une fois l’attaque stoppée.
• Ajouter de la redondance : Envisagez des options de redondance telles que la séparation des pare-feu et des routeurs, le déplacement des ressources vers le cloud et la répartition du trafic entre plusieurs centres de données afin d’éviter les goulots d’étranglement ou les points uniques de défaillance vulnérables aux attaques DDoS.
• Masquer la cible : Le fait de masquer la cible complique les attaques. Protégez vos réseaux internes en bloquant les requêtes ICMP ou ping et en ajoutant des couches de sécurité supplémentaires, comme les réseaux privés virtuels (VPN) ou les passerelles web sécurisées (SWG) pour masquer les adresses IP.
• Isoler les ressources : Les réseaux de diffusion de contenu (CDN) ou les réseaux Anycast envoient les ressources vers différents emplacements et adresses IP, ce qui réduit l’efficacité des attaques DDoS. Vous pouvez également utiliser la segmentation réseau et les listes de contrôle d’accès.

3. Installer des outils anti-DDoS

Outre le renforcement et la conception de l’architecture, les entreprises peuvent se procurer des outils, télécharger et installer des correctifs ou activer des fonctionnalités qui protègent spécifiquement contre les attaques DDoS, en fonction de leurs besoins et de leur budget. Voici quelques exemples :

• Fonctionnalités anti-DDoS : Vérifiez auprès du fabricant de votre appareil s’il existe des fonctionnalités ou des correctifs spécifiques aux attaques DDoS à installer sur des équipements tels que des serveurs pour vous défendre contre les attaques, comme le module mod_reqtimeout d’Apache 2.2.15, qui protège contre l’attaque Slowloris.
• Routeurs et passerelles : Souvent, les routeurs et les passerelles disposent de fonctionnalités avancées qui peuvent être activées pour atténuer les attaques DoS. Les administrateurs réseau ou les équipes de sécurité peuvent trouver ces fonctionnalités dans la console d’administration de l’appareil et les activer selon les besoins.
• Limitation du débit : Les limiteurs de débit de réponse (RRL) peuvent être configurés sur les appareils réseau pour bloquer différents types d’attaques DDoS, par exemple en bloquant plusieurs requêtes identiques provenant de la même adresse IP ou en abandonnant plusieurs requêtes TCP sans réponse.

Attention toutefois : le renforcement de la sécurité ne doit pas aller jusqu’à détruire les fonctionnalités des protocoles utiles. Par exemple, assurez-vous que les mises à jour et les correctifs n’entrent pas en conflit avec un autre système du réseau ou, plutôt que de bloquer ou d’abandonner les paquets provenant de toutes les sources, limitez l’ICMP aux adresses IP autorisées en interne afin de préserver les fonctionnalités tout en bloquant les attaques DDoS externes.

Protection DDoS supplémentaire : pare-feu, équipements et services

Si certains pare-feu peuvent arrêter seuls une attaque DDoS, d’autres ont besoin d’aide. Les pare-feu constituaient traditionnellement la première ligne de défense contre les attaques externes, et les pare-feu modernes peuvent stopper bon nombre d’attaques DDoS anciennes et simples, telles que les attaques IP Null ou les inondations par fragmentation ACK. Toutefois, les pare-feu ne peuvent pas arrêter les attaques déguisées en trafic normal (HTTP GET, HTTP POST, etc.) et peuvent être submergés par des attaques volumétriques.

Une protection supplémentaire doit être appliquée pour protéger les ressources exposées ou critiques, telles que les serveurs d’applications exposés à Internet ou les serveurs et services DNS. Divers fournisseurs proposent des logiciels qui ajoutent des fonctionnalités anti-DDoS aux pare-feu ou des équipements spécifiquement conçus pour se prémunir contre les attaques DDoS.

En outre, les entreprises peuvent faire appel à des fournisseurs de solutions DDoS cloud tels qu’Akamai, Cloudflare et Amazon Web Services afin de bénéficier de solutions couvrant l’ensemble de l’entreprise.

Consultez notre liste des meilleures solutions DDoS et découvrez comment elles se comparent aux autres fournisseurs, ainsi que leurs points forts, leurs faiblesses et le coût de leur mise en œuvre dans votre entreprise.

4. Concevoir un plan d’intervention DDoS

Après avoir mis en place une infrastructure informatique renforcée et à jour, protégée par une architecture et des outils anti-DDoS, les équipes informatiques et de sécurité doivent créer un plan d’intervention DDoS. Un document officiel peut aider les équipes chargées de la réponse lorsqu’une attaque DDoS survient.

Le plan d’intervention peut inclure :

• Qui appeler : Les coordonnées des membres de l’équipe d’intervention, des fournisseurs concernés comme les fournisseurs d’accès à Internet et d’hébergement, des fournisseurs professionnels de services de réponse aux incidents et de sécurité, des dirigeants et des conseillers juridiques.
• Informations sur l’infrastructure : Les détails du réseau, tels que les adresses IP, les appareils de basculement, les schémas réseau, etc.
• Plan d’action : Les mesures à prendre en cas d’attaque DDoS.

Répétez le plan d’intervention au moins une fois par an et vérifiez régulièrement que toutes les coordonnées du plan sont toujours exactes. Certains éléments du plan peuvent même être automatisés par des outils anti-DDoS, ce qui permet de mettre en œuvre des mesures de sécurité supplémentaires pour réduire le danger de l’attaque DDoS plus rapidement que ne pourraient le faire les équipes.

Lisez notre guide sur la création d’un plan de réponse aux incidents et obtenez notre modèle gratuit.

5. Déployer une surveillance DDoS

Une fois l’infrastructure renforcée et le plan d’intervention efficace en place, les équipes informatiques et de sécurité peuvent utiliser différents outils de surveillance pour détecter les signes d’une attaque DDoS en cours. Voici quelques outils que vous pouvez utiliser pour surveiller vos ressources :

• Surveillance du réseau : outils de surveillance du réseau Il s’agit d’applications matérielles ou logicielles qui suivent le comportement, le trafic et l’état des terminaux, des pare-feu, des routeurs, des commutateurs et des serveurs.
• Surveillance de la sécurité : outils de surveillance de la sécurité Ils recueillent et analysent les informations relatives au réseau et aux appareils afin de détecter les comportements suspects et de déclencher des alertes à destination des équipes informatiques et de sécurité.

Ces outils de surveillance établissent des niveaux de référence du trafic « normal », afin que les schémas de trafic anormaux génèrent des alertes. Plus une équipe détecte tôt un événement en cours, plus l’attaque peut être résolue rapidement.

Les équipes doivent sélectionner un outil adapté à la ressource et configurer des alertes pour les indicateurs typiques d’une attaque DDoS, tels qu’une hausse soudaine de la demande en bande passante, une augmentation anormale du trafic ou des sources de trafic inhabituelles. Les alertes peuvent être acheminées vers les outils de surveillance des incidents et événements de sécurité (SEIM), centres opérationnels de sécurité (SOC), services de détection et de réponse managées (MDR), voire vers des spécialistes de la sécurité DDoS.

Bien que les réponses automatisées permettent de réagir rapidement et d’arrêter automatiquement les attaques DDoS, elles doivent être utilisées avec prudence. Les faux positifs peuvent entraîner des interruptions de fonctionnement ; les alertes doivent donc toujours être évaluées par l’équipe de sécurité.

Trois stratégies fondamentales de défense contre les attaques DDoS : avantages et inconvénients

Lors de la mise en place d’une défense contre les attaques DDoS, les stratégies peuvent être appliquées manuellement par les équipes informatiques, acquises sous la forme de matériel ou de logiciels sur site, ou mises en œuvre au moyen d’outils et de services cloud ou externalisés. Si certaines de ces technologies peuvent se chevaucher ou se renforcer mutuellement, de nombreuses entreprises ne disposent pas des ressources nécessaires pour appliquer plusieurs solutions et doivent choisir une solution unique adaptée à leurs besoins. Chacune de ces options présente des avantages et des inconvénients importants.

Défense DDoS autonome : avantages et inconvénients

Une défense mise en place par vos propres moyens peut tout à fait être déployée efficacement contre les attaques DDoS. Ces défenses consistent souvent en paramètres configurés manuellement sur des logiciels open source, des pare-feu et des serveurs.

Par exemple, l’ajout manuel d’adresses IP à des listes de blocage peut être simple, mais il accuse souvent un retard sur des attaques en constante évolution et en perpétuel mouvement, en particulier face à des réseaux de zombies comptant des milliers de terminaux, ce qui rend le blocage manuel des adresses IP difficile à gérer.

Outils et services de défense sur site : avantages et inconvénients

Les entreprises peuvent acheter des équipements et des logiciels spécifiquement conçus pour se défendre contre les attaques DDoS. Ces outils peuvent être déployés devant les ressources à protéger (pare-feu, serveurs, etc.) ou installés directement sur les ressources elles-mêmes.

En reprenant l’exemple précédent, un équipement ou une application de pare-feu locale peut être fourni avec une liste préchargée d’adresses IP de réseaux de zombies connus, établie à partir de l’expérience du fournisseur. Cette liste noire sera bien plus complète qu’une liste créée par vos propres moyens, mais elle fera partie d’une solution plus coûteuse et nécessitera des mises à jour régulières.

Outils et services de défense basés dans le cloud : avantages et inconvénients

Les outils de protection DDoS basés dans le cloud assurent une sécurité plus globale à l’ensemble de l’entreprise. Les outils hébergés dans le cloud sont souvent désignés sous le terme de Software-as-a-Service, ou SaaS. Lorsque cela est possible, les outils basés dans le cloud constituent la meilleure des trois options.

En reprenant l’exemple des listes de blocage d’adresses IP, les outils DDoS SaaS sont généralement préchargés avec les adresses IP de réseaux de zombies malveillants connus. Ces listes sont bien plus complètes qu’une liste créée par vos propres moyens et sont continuellement mises à jour par le fournisseur SaaS.

En résumé : les outils de prévention des attaques DDoS sont indispensables

Les attaquants DDoS cherchent à empêcher les utilisateurs légitimes d’accéder à une ressource. Selon la ressource touchée, l’accès refusé peut être simplement gênant ou entraîner la mise hors service de toute une entreprise. Lorsqu’une attaque DDoS réussit, une planification efficace permet de rétablir rapidement la situation et de limiter les dommages. Les entreprises, grandes comme petites, ont tout intérêt à consacrer du temps et des ressources à leur protection contre les attaques DDoS et au renforcement de la résilience de leur infrastructure informatique.

Pour mieux comprendre les attaques DDoS et leurs différentes caractéristiques, consultez notre guide sur les types d’attaques DDoS.