Empêcher les attaques par déni de service distribué (DDoS)

1. Introduction

Dans cet article, j'essaierai de décrire ce qu'est une attaque par DDoS (Distributed Denial of Service, déni de service distribué), comment l'empêcher ou la limiter. Nombre des serveurs, dans les centres de traitement de l'information, fonctionnent sous Linux ; je vais par conséquent aborder la prévention et la limitation des d'attaques par DDoS contre les serveurs Linux.

Les attaques par DDoS surviennent en raison d'un manque de prise de conscience, d'applications ou de compétence en matière de sécurité de la part des propriétaires ou des administrateurs de réseaux ou de serveurs. Nous entendons souvent qu'une machine en particulier subit une attaque par DDoS ou que le NOC (Netswork Operation Center, centre d'exploitation du réseau) a déconnecté une machine donnée en raison de son implication dans une attaque par DDoS. Le DDoS est devenu un des problèmes courants de notre monde. Par certains côtés, DDoS est comme une maladie contre laquelle nous n'avons pas de remède efficace, et requiert beaucoup de prudence lorsqu'on y est confronté. Ne le prenez jamais à la légère. Dans cet article, j'essaierai de faire un compte rendu des étapes et des mesures qui nous aideront à défendre nos machines contre une attaque par DDoS — au moins jusqu'à un certain point.

2. Qu'est-ce qu'une attaque par DDoS ?

Pour résumer, le DDoS (Distributed Denial of Service, déni de service distribué) est une version avancée de l'attaque par DoS (Denial of Service, déni de dervice). Tout comme le DoS, le DDoS tente également de bloquer des services importants s'exécutant sur un serveur en inondant de paquets le serveur de destination. La spécialité du DDoS est que les attaques ne proviennent pas d'un seul réseau ou hôte, mais d'un certain nombre d'hôtes ou de réseaux différents qui ont été précédemment compromis.

On peut considérer que le DDoS, comme nombre d'autres stratégies d'attaque, est constitué de trois participants ; nous pouvons y faire référence sous les termes du Maître, de l'Esclave et de la Victime. Le Maître est la source initiale de l'attaque — c'est-à-dire la personne ou la machine responsable. L'Esclave est l'hôte ou le réseau qui a été précédemment compromis par le Maître, et la Victime est le site ou le serveur cible attaqué. Le Maître ordonne à l'Esclave (ou aux Esclaves) de lancer une attaque sur le site ou la machine de la Victime ; puisque l'attaque provient de sources multiples simultanément (notez que le Maître n'est habituellement pas impliqué dans cette phase), elle est qualifiée d'attaque distribuée (ou coordonnée).

3. Comment fonctionne-t-elle ?

Une attaque par DDoS se déroule en deux phases. Dans la première, le propriétaire de l'hôte Maître compromet des machines vulnérables dans différents réseaux à travers le monde et installe des outils de DDoS (c'est-à-dire des programmes qui effectueront l'attaque dés lors qu'ils seront déclenchés) : c'est la phase d'intrusion. Dans la phase suivante, le Maître expédie les informations de déclenchement à ces hôtes compromis, ce qui comprend d'ordinaire l'IP à attaquer (inversement, cette IP pourrait avoir été préprogrammée dans les outils et l'attaque elle-même pourrait être à déclenchement programmé — comme par exemple le DDoS du virus Code Red contre les serveurs de la Maison Blanche : c'est la phase d'attaque.

4. Que vous permet-elle de faire ?

Le succès de la phase d'intrusion repose sur la présence de machines vulnérables sur un réseau arbitraire. Malheureusement, il y a un très grand nombre de propriétaires d'ordinateurs naïfs et d'administrateurs système dont les machines manquent cruellement de protection et, de ce fait, cette phase sera facilement accomplie par l'attaquant dans presque tous les cas.

Voici quelques-uns des facteurs qui rendent des machines Esclaves vulnérables :

1. Des logiciels ou les applications vulnérables fonctionnant sur une machine ou un réseau ;

2. Une configuration réseau ouverte ou non protégée ;

3. Des hôtes configurés sans prise en compte de la sécurité ;

4. Une absence de surveillance ou d'analyse de données ;

5. Une absence de conduite de mises à niveau ou d'audit réguliers.

5. Que devrions-nous faire en cas d'attaque ?

Si votre hôte est un des Esclaves lors d'une attaque par DDoS, vous n'en serez probablement jamais conscient — à moins que vous n'examiniez soigneusement vos fichiers journaux et surveilliez une activité indésirable du réseau. Si, par ailleurs, vous êtes la Victime, les conséquences seront spectaculaires et évidents.

bash# netstat -lpn|grep :80|awk '{print $5}'|sort

iptables -A INPUT -s <IP source>-j DROP

6. Comment pouvons-nous empêcher ces attaques ou nous en défendre ?

Il n'existe aucune solution complète ou parfaite au DDoS. La logique est simple : AUCUN logiciel ou contre-mesure ne peut bloquer les attaques de, par exemple, 100 serveurs à la fois. On ne peut que prendre des mesures préventives, et répondre rapidement et efficacement lorsque l'attaque a lieu.

Comme on le dit souvent, mieux vaut prévenir que guérir — et c'est particulièrement vrai dans le cas du DDoS. Dans l'introduction, j'avais mentionné que le DDoS se produit souvent à cause de logiciels ou d'applications vulnérables fonctionnant sur une machine dans un réseau particulier. Les attaquants utilisent ces trous de sécurité pour compromettre les hôtes et les serveurs, et installer des outils de DDoS tels que trin00.

Pour empêcher ou limiter de futures attaques par DDoS, suivez ces étapes :

Pour empêcher que votre réseau soit utilisé comme esclave, suivez ces étapes :

7. Conclusion

Les attaques par DDoS peuvent être limitées sur la machine cible et empêchées sur le réseau esclave en mettant en œuvre une sécurité correcte. Je conseille à chaque propriétaire de serveur et de réseau d'appliquer des mesures de sécurité efficaces ; puisque le DDoS est un problème à l'échelle du réseau, sa prévention va nécessiter les efforts de chacun.