Prévention DoS

Tags:
Categories:

Prévention DDoS

Definition DDoS

Deux méthodes d’attaque DoS :

  • Faire planter le service
  • Surcharger le réseau

Types d’attaques

Type d’attaqueMéthode d’attaqueContre-mesure
Distributed DoSPlusieurs machines indépendantes attaquent simultanément avec des adresses IP différentes1. Dégradation du service 2. Liste noire 3. Désactivation des équipements réseau
Attaque Yo-yoPour les services capables de s’étendre automatiquement, attaquer durant les intervalles de réduction des ressourcesListe noire
Attaques de couche applicativeAttaquer des fonctionnalités ou caractéristiques spécifiques, l’attaque LAND appartient à ce typeListe noire
LANSCette méthode utilise des paquets TCP SYN spécialement conçus (généralement utilisés pour établir une nouvelle connexion), faisant en sorte que la machine cible ouvre une connexion vide dont l’adresse source et l’adresse de destination sont toutes deux son propre adresse IP, entraînant une réponse continue et la consommation des ressources système jusqu’au crash. Cette méthode d’attaque diffère de l’attaque par inondation SYN.Liste noire
DoS avancé et persistantAttaque de reconnaissance/ ciblée/ évasion des contre-mesures/ longue durée/ grande puissance de calcul/ attaque multithreadDégradation du service
Attaque DoS HTTP slow POSTCréer une connexion légale puis envoyer lentement de grandes quantités de données, entraînant l’épuisement des ressources du serveurDégradation du service
Attaque Challenge Collapsar (CC)Envoyer fréquemment des requêtes légales standard qui consomment beaucoup de ressources, par exemple les moteurs de recherche qui consomment beaucoup de mémoireDégradation du service, reconnaissance de contenu
Inondation ICMP (Internet Control Message Protocol)Beaucoup de paquets ping/ ping erronés / Ping of death (paquet ping malformé)Dégradation du service
Attaques de refus de service permanentAttaquer le matérielReconnaissance de contenu
Attaque réfléchieEnvoyer des requêtes à un tiers, en falsifiant l’adresse pour rediriger la réponse vers la véritable victimeChamp DDoS
AmplificationUtiliser certains services comme réflecteurs pour amplifier le traficChamp DDoS
Botnet MiraiUtiliser des appareils IoT contrôlésChamp DDoS
Panique SACKExploiter la taille maximale du segment et l’accusé de réception sélectif pour provoquer des retransmissionsReconnaissance de contenu
Attaque ShrewExploiter les faiblesses du mécanisme de temporisation de retransmission TCP pour interrompre les connexions TCP sur le même lien avec de brèves salves de trafic synchroniséRejet avec temporisation
Attaque Slow ReadSimilaire au slow post, envoie une requête légale mais lit très lentement afin d’épuiser le pool de connexions, en annonçant une très petite taille pour la fenêtre de réception TCPDéconnexion avec temporisation, dégradation du service, liste noire
Inondation SYNEnvoyer de nombreux paquets TCP/SYN, entraînant des connexions semi-ouvertes sur le serveurMécanisme de temporisation
Attaques TeardropEnvoyer des fragments IP endommagés avec une charge utile chevauchante et surdimensionnée à la machine cibleReconnaissance de contenu
Attaque TTL expiréLorsqu’un paquet est abandonné en raison de l’expiration du TTL, le CPU du routeur doit générer et envoyer une réponse ICMP de dépassement de délai. Générer de nombreuses réponses peut surcharger le CPU du routeurRejet du trafic
Attaque UPnPBasée sur la technique d’amplification DNS, mais le mécanisme d’attaque est un routeur UPnP qui transfère les requêtes d’une source externe à une autre, en ignorant les règles de comportement UPnPDégradation du service
Attaque par réflexion SSDPDe nombreux appareils, y compris certains routeurs résidentiels, comportent des vulnérabilités dans leurs logiciels UPnP, que les attaquants peuvent exploiter pour obtenir des réponses vers l’adresse cible de leur choix depuis le port 1900.Dégradation du service, blocage du port
Usurpation ARPAssocier l’adresse MAC à l’adresse IP d’un autre ordinateur ou d’une passerelle (comme un routeur), redirigeant ainsi le trafic destiné à l’IP d’origine vers l’attaquant, entraînant un refus de service.Champ DDoS

Mesures de prévention

  1. Identifier le trafic d’attaque
    • Destruction du service
      • Reconnaissance du contenu du trafic
    • Surcharger le service
      • Enregistrer le temps d’accès
  2. Traiter le trafic d’attaque
    • Rejeter le trafic d’attaque
    • Bloquer l’IP d’attaque
      • IPv4 a un nombre limité d’adresses, facile à construire une liste noire
      • IPv6 a un grand nombre d’adresses, difficile à construire une liste noire. On peut utiliser des segments d’adresses IPv6, mais cela comporte un risque de blocage erroné
    • Contrôler la fréquence d’accès

Outils open source

Outils d’attaque

Outils de défense

Surveillance du trafic