Chapitre 7 (suite) — Déni de Service
⏱ ~25 min autonome · ~40 min encadré
Dernier volet de ce chapitre : les attaques qui ne cherchent ni à voler des données ni à obtenir un accès, mais simplement à rendre un service indisponible pour ses utilisateurs légitimes — ciblant directement la disponibilité, l'un des trois piliers de la triade CIA vue au Chapitre 0.
- Distinguer une attaque DoS d'une attaque DDoS.
- Différencier les techniques volumétriques, protocolaires et applicatives.
- Situer les attaques par déni de service dans la Cyber Kill Chain complète.
Un DoS (Denial of Service) provient d'une source unique — plus facile à bloquer, puisqu'il suffit d'identifier et de filtrer cette source. Un DDoS (Distributed Denial of Service) provient de multiples sources simultanément, généralement un réseau de machines compromises (botnet, voir Chapitre 6) — bien plus difficile à contrer puisqu'il n'existe pas une seule source à bloquer, mais potentiellement des milliers, réparties partout dans le monde.
| Catégorie | Principe | Exemple de logique |
|---|---|---|
| Volumétrique | Saturer la bande passante disponible avec un volume brut de trafic | Envoyer plus de trafic que le lien réseau ne peut en absorber |
| Protocolaire | Épuiser les ressources d'un équipement en exploitant le fonctionnement même d'un protocole | Initier de nombreuses connexions TCP sans jamais les compléter, épuisant la mémoire allouée aux connexions en attente |
| Applicatif | Cibler une fonctionnalité spécifique et coûteuse en ressources d'une application | Envoyer un grand nombre de requêtes déclenchant chacune un calcul lourd côté serveur (une recherche complexe, par exemple) |
Un botnet est un réseau de machines compromises (« zombies »), contrôlées à distance par un attaquant via un canal de commandement et contrôle (C2, voir Chapitre 1). Chaque machine du botnet peut envoyer une petite quantité de trafic vers la cible ; multiplié par des milliers ou des millions de machines, l'effet cumulé peut saturer même une infrastructure de grande taille.
- Services anti-DDoS spécialisés qui absorbent et filtrent le trafic malveillant avant qu'il n'atteigne l'infrastructure réelle.
- Limitation de débit (rate limiting) : plafonner le nombre de requêtes acceptées par source dans un intervalle donné.
- Répartition géographique et mise en cache : distribuer la charge sur plusieurs points de présence plutôt que sur un seul serveur central.
Une attaque par déni de service correspond typiquement à la dernière phase de la Cyber Kill Chain vue au Chapitre 1 — les actions sur objectifs. Contrairement à une exfiltration de données silencieuse, le DoS est délibérément bruyant : l'objectif final n'est pas de passer inaperçu, mais précisément de produire un impact visible et immédiat sur la disponibilité.