Chapitre 7 — Attaques Réseau (DoS, DNS, On-Path)

Ce module couvre les attaques réseau classiques et avancées : déni de service, attaques DNS, attaques on-path (man-in-the-middle), replays et injection.

Attaques DoS & DDoS

Mémorisez ! DoS = un seul attaquant, une seule source. DDoS = multiple sources (botnet). Le but = rendre le service indisponible (Disponibilité). Attaque volumétrique vs attaque d'épuisement des ressources vs attaque applicative.

Type	Mécanisme	Exemple	Contre-mesure
Flood TCP SYN	Inonder de SYN sans compléter le handshake — tables de connexion saturation	SYN Flood	SYN cookies, rate limiting
Flood UDP	Inonder de paquets UDP vers des ports aléatoires	UDP Flood	Rate limiting, blackhole routing
ICMP Flood (Ping Flood)	Inonder de paquets ICMP echo-request	Ping of Death	Bloquer ICMP entrant
Amplification	Utiliser des serveurs tiers pour amplifier le trafic (DNS, NTP amplification). Réponse bien plus grande que la requête.	DNS Amplification (attaquant envoie 50b, victime reçoit 3KB×)	BCP38 (filtrage anti-spoofing)
DDoS volumétrique	Saturer la bande passante de la cible avec des Gbps de trafic	Mirai botnet 1.2Tbps	CDN, service anti-DDoS (Cloudflare, Akamai)

Attaques DNS

DNS Poisoning (Cache Poisoning) : injecter de fausses réponses DNS dans le cache d'un résolveur. Les utilisateurs qui demandent un domaine légitime sont redirigés vers un site malveillant.
DNS Hijacking : compromettre le registrar ou les serveurs DNS pour modifier les enregistrements réels. Redirect global.
DNS Tunneling : encapsuler des données arbitraires dans des requêtes DNS pour exfiltrer des données ou créer un canal C2 furtif.
NXDOMAIN Attack : inonder un serveur DNS de requêtes pour des domaines inexistants — épuise les ressources du résolveur.
Contre-mesures DNS : DNSSEC (signature des enregistrements), DNS over TLS/HTTPS, surveillance des requêtes DNS anormales, RPZ (Response Policy Zones).

Attaques On-Path (Man-in-the-Middle)

Les attaques on-path (ou man-in-the-middle) s'interposent entre deux parties communicantes pour intercepter, lire ou modifier les données échangées.

ARP Spoofing : envoyer de fausses réponses ARP pour associer l'IP d'une victime à la MAC de l'attaquant. Tout le trafic de la victime passe par l'attaquant (couche 2).
SSL Stripping : forcer la dégradation d'une connexion HTTPS vers HTTP. L'utilisateur pense être sur un site sécurisé mais la connexion est en clair. Contre-mesure : HSTS (HTTP Strict Transport Security).
BGP Hijacking : manipulation des annonces de routage BGP pour rediriger le trafic internet entier d'un préfixe IP. Rare mais catastrophique (a affecté des portions de l'internet mondial).
Evil Twin Wi-Fi : AP malveillant — voir ch04-wireless.
Replay Attack : capturer et re-envoyer des paquets d'authentification valides pour se connecter sans connaître les credentials. Contre-mesure : timestamps, nonces, numéros de séquence.

Astuce Examen

HSTS (HTTP Strict Transport Security) : le serveur indique au navigateur de toujours utiliser HTTPS pour ce domaine. Même si un attaquant tente le SSL stripping, le navigateur refusera de dégrader vers HTTP. Protège contre le SSL stripping et force le chiffrement.

Quiz — Attaques Réseau

1. Une attaque SYN Flood exploite :

Une vulnérabilité dans le protocole HTTPS Le protocole DNS pour amplifier le trafic Le three-way handshake TCP en inondant de SYN sans jamais compléter la connexion, épuisant les tables de connexion Les vulnérabilités dans l'implémentation SSL/TLS

SYN Flood : l'attaquant envoie des milliers de SYN avec une IP source forgée. Le serveur répond SYN-ACK et attend un ACK (qui ne vient jamais). Les connexions "half-open" s'accumulent jusqu'à épuiser la table de connexions. Contre-mesure : SYN cookies (le serveur n'alloue pas de ressources jusqu'à l'ACK).

2. DNS Cache Poisoning consiste à :

Effacer le cache DNS pour forcer des lookups à chaque requête Injecter de fausses réponses DNS dans le cache d'un résolveur pour rediriger les utilisateurs vers des sites malveillants Saturer un serveur DNS avec des requêtes pour des domaines inexistants Exploiter une vulnérabilité dans DNSSEC

DNS Cache Poisoning : l'attaquant injecte une fausse réponse DNS qui s'enregistre dans le cache du résolveur. Les utilisateurs qui demandent "bank.com" via ce résolveur reçoivent l'IP du site malveillant de l'attaquant, sans le savoir. DNSSEC (signatures) prévient cette attaque.

3. Le SSL Stripping est une attaque qui :

Brise le chiffrement TLS via force brute Vole les certificats TLS du serveur Exploite des vulnérabilités dans les algorithmes TLS 1.0 Force la dégradation d'une connexion HTTPS vers HTTP non chiffré pour intercepter les données

SSL Stripping (Sslstrip) : l'attaquant intercepte la connexion et présente HTTP à la victime (pas HTTPS), tout en maintenant une connexion HTTPS vers le serveur. La victime pense être sur HTTPS mais la connexion entre elle et l'attaquant est en clair. HSTS empêche cela.

4. HSTS (HTTP Strict Transport Security) protège principalement contre :

Le SSL Stripping — le navigateur refuse de se connecter en HTTP même si redirigé L'injection SQL sur des sites web Les attaques DDoS volumétriques L'ARP spoofing sur le réseau local

HSTS = header HTTP que le serveur envoie indiquant "ce domaine doit toujours être accédé en HTTPS". Le navigateur mémorise cette règle. Même si un attaquant tente un redirect vers HTTP, le navigateur force HTTPS (et peut rejeter un certificat non valide).

5. Une attaque par amplification DNS fonctionne parce que :

DNS utilise UDP qui peut être intercepté facilement Les serveurs DNS ne vérifient pas l'authenticité des requêtes La réponse DNS peut être 50-70x plus grande que la requête, et l'attaquant peut forger l'IP source pour diriger la réponse vers la victime Les serveurs DNS sont faciles à compromettre

Amplification DNS : l'attaquant envoie une petite requête DNS (ex: 50 octets) avec l'IP source forgée de la victime. Le serveur DNS envoie une grande réponse (ex: 3000 octets) directement à la victime. Facteur d'amplification = 60x. Des milliers de serveurs DNS = attaque DDoS massive sans botnet.

6. L'ARP Spoofing est utilisé pour :

Bloquer les connexions ARP de la victime Rediriger le trafic réseau de la victime vers l'attaquant pour une attaque on-path (MitM) Injecter de fausses entrées dans le serveur DNS Saturer les tables de routage du réseau

ARP Spoofing : l'attaquant envoie de fausses réponses ARP associant son adresse MAC à l'IP de la passerelle. Le trafic des victimes sur le réseau local passe désormais par l'attaquant (MitM). Dynamic ARP Inspection (DAI) sur les switches prévient cette attaque.

7. Une attaque de "replay" consiste à :

Rejouer un DDoS plusieurs fois sur la même cible Répéter une attaque phishing jusqu'au succès Rejouer les étapes d'une exploitation pour contourner l'IPS Capturer un paquet d'authentification valide et le re-envoyer pour s'authentifier sans connaître les credentials

Replay attack = capturer un paquet d'authentification (token, hash) et le re-envoyer plus tard. Contre-mesures : timestamps (les paquets expirés sont rejetés), nonces (nombres utilisés une seule fois), numéros de séquence. Kerberos utilise des timestamps pour se protéger.

8. Le DNS Tunneling est utilisé par les attaquants principalement pour : Exfiltrer des données ou créer un canal C2 furtif en encodant des données dans des requêtes DNS Compromettre les serveurs DNS racine Amplifier les attaques DDoS Réaliser des attaques man-in-the-middle

DNS Tunneling : les données sont encodées dans les sous-domaines des requêtes DNS (ex: "AADADAADBBA.attacker.com"). Comme DNS (port 53) est rarement bloqué par les firewalls, c'est un canal furtif pour les C2 ou l'exfiltration. Détection : analyser les journaux DNS pour des requêtes anormalement longues/fréquentes.

9. DNSSEC protège contre les attaques DNS en : Chiffrant les requêtes DNS Bloquant les requêtes DNS pour des domaines malveillants Signant cryptographiquement les enregistrements DNS pour que les résolveurs puissent vérifier leur authenticité Utilisant TLS pour toutes les communications DNS

DNSSEC = signatures cryptographiques sur les enregistrements DNS. Un résolveur DNSSEC-aware peut vérifier que la réponse vient bien du serveur autoritaire et n'a pas été modifiée en transit. Ne chiffre pas (les requêtes restent en clair) — c'est DoT/DoH pour le chiffrement.

10. Quel mécanisme sur les switches prévient les attaques ARP Spoofing ? Port Security (filtrage MAC) Dynamic ARP Inspection (DAI) STP BPDUguard 802.1X (authentification de port)

DAI (Dynamic ARP Inspection) surveille les réponses ARP sur les ports du switch et les compare à la base de données DHCP Snooping (liaison IP-MAC-port connue). Les réponses ARP non conformes sont rejetées — empêche l'ARP spoofing.