Prévention DoS

Tags:
Categories:

Prévention DDoS

Definition DDoS

Deux méthodes d’attaque DoS :

  • Faire planter le service
  • Surcharger le réseau

Types d’attaques

Type d’attaque Méthode d’attaque Contre-mesure
Distributed DoS Plusieurs machines indépendantes attaquent simultanément avec des adresses IP différentes 1. Dégradation du service 2. Liste noire 3. Désactivation des équipements réseau
Attaque Yo-yo Pour les services capables de s’étendre automatiquement, attaquer durant les intervalles de réduction des ressources Liste noire
Attaques de couche applicative Attaquer des fonctionnalités ou caractéristiques spécifiques, l’attaque LAND appartient à ce type Liste noire
LANS Cette méthode utilise des paquets TCP SYN spécialement conçus (généralement utilisés pour établir une nouvelle connexion), faisant en sorte que la machine cible ouvre une connexion vide dont l’adresse source et l’adresse de destination sont toutes deux son propre adresse IP, entraînant une réponse continue et la consommation des ressources système jusqu’au crash. Cette méthode d’attaque diffère de l’attaque par inondation SYN. Liste noire
DoS avancé et persistant Attaque de reconnaissance/ ciblée/ évasion des contre-mesures/ longue durée/ grande puissance de calcul/ attaque multithread Dégradation du service
Attaque DoS HTTP slow POST Créer une connexion légale puis envoyer lentement de grandes quantités de données, entraînant l’épuisement des ressources du serveur Dégradation du service
Attaque Challenge Collapsar (CC) Envoyer fréquemment des requêtes légales standard qui consomment beaucoup de ressources, par exemple les moteurs de recherche qui consomment beaucoup de mémoire Dégradation du service, reconnaissance de contenu
Inondation ICMP (Internet Control Message Protocol) Beaucoup de paquets ping/ ping erronés / Ping of death (paquet ping malformé) Dégradation du service
Attaques de refus de service permanent Attaquer le matériel Reconnaissance de contenu
Attaque réfléchie Envoyer des requêtes à un tiers, en falsifiant l’adresse pour rediriger la réponse vers la véritable victime Champ DDoS
Amplification Utiliser certains services comme réflecteurs pour amplifier le trafic Champ DDoS
Botnet Mirai Utiliser des appareils IoT contrôlés Champ DDoS
Panique SACK Exploiter la taille maximale du segment et l’accusé de réception sélectif pour provoquer des retransmissions Reconnaissance de contenu
Attaque Shrew Exploiter les faiblesses du mécanisme de temporisation de retransmission TCP pour interrompre les connexions TCP sur le même lien avec de brèves salves de trafic synchronisé Rejet avec temporisation
Attaque Slow Read Similaire au slow post, envoie une requête légale mais lit très lentement afin d’épuiser le pool de connexions, en annonçant une très petite taille pour la fenêtre de réception TCP Déconnexion avec temporisation, dégradation du service, liste noire
Inondation SYN Envoyer de nombreux paquets TCP/SYN, entraînant des connexions semi-ouvertes sur le serveur Mécanisme de temporisation
Attaques Teardrop Envoyer des fragments IP endommagés avec une charge utile chevauchante et surdimensionnée à la machine cible Reconnaissance de contenu
Attaque TTL expiré Lorsqu’un paquet est abandonné en raison de l’expiration du TTL, le CPU du routeur doit générer et envoyer une réponse ICMP de dépassement de délai. Générer de nombreuses réponses peut surcharger le CPU du routeur Rejet du trafic
Attaque UPnP Basée sur la technique d’amplification DNS, mais le mécanisme d’attaque est un routeur UPnP qui transfère les requêtes d’une source externe à une autre, en ignorant les règles de comportement UPnP Dégradation du service
Attaque par réflexion SSDP De nombreux appareils, y compris certains routeurs résidentiels, comportent des vulnérabilités dans leurs logiciels UPnP, que les attaquants peuvent exploiter pour obtenir des réponses vers l’adresse cible de leur choix depuis le port 1900. Dégradation du service, blocage du port
Usurpation ARP Associer l’adresse MAC à l’adresse IP d’un autre ordinateur ou d’une passerelle (comme un routeur), redirigeant ainsi le trafic destiné à l’IP d’origine vers l’attaquant, entraînant un refus de service. Champ DDoS

Mesures de prévention

  1. Identifier le trafic d’attaque
    • Destruction du service
      • Reconnaissance du contenu du trafic
    • Surcharger le service
      • Enregistrer le temps d’accès
  2. Traiter le trafic d’attaque
    • Rejeter le trafic d’attaque
    • Bloquer l’IP d’attaque
      • IPv4 a un nombre limité d’adresses, facile à construire une liste noire
      • IPv6 a un grand nombre d’adresses, difficile à construire une liste noire. On peut utiliser des segments d’adresses IPv6, mais cela comporte un risque de blocage erroné
    • Contrôler la fréquence d’accès

Outils open source

Outils d’attaque

Outils de défense

Surveillance du trafic