Elles sont de retour , et elles reviennent en force : les attaques par déni de service distribué (DDoS), l’une des formes les plus anciennes et les plus simples de cyberattaque, connaissent un regain d’intensité saisissant, perturbant les banques, les institutions gouvernementales, les partis politiques et d’autres entités avec une intensité sans précédent depuis des décennies.
Au cours des derniers mois, des pirates animés par des motivations politiques, voire parfois financières, ont lancé des vagues de botnets – des réseaux d’ordinateurs compromis – afin de saturer les serveurs et de les mettre hors service, en ciblant notamment (pour n’en citer que quelques-uns) le site de l’État de l’Alabama,, le site du système judiciaire de l’État de Pennsylvanie,, les sites des aéroports internationaux de Los Angeles et de San Francisco,, le site de la société de simulation de sport automobile iRacing.com, , le site de jeux vidéo Final Fantasy 14, , les applications bancaires russes ,, et des banques et des bourses tchèques et polonaises, ainsi que français, suédois, canadien et gouvernements de Macao .
Alors que l'attention en matière de cybersécurité s'est principalement portée sur les ransomwares de type « » en raison des rançons souvent colossales qu'ils impliquent, les attaques DDoS, moins médiatisées, deviennent tout aussi préoccupantes en raison des graves préjudices qu'elles peuvent causer aux activités et à la réputation des entreprises. Ce n’est pas un hasard si cette recrudescence des attaques DDoS survient dans un contexte de tensions politiques accrues à l’échelle mondiale et d’une dépendance sans cesse croissante du public à l’égard de certains sites web, applications et systèmes.
Les banques et autres établissements financiers sont particulièrement visés : selon un récent rapport intitulé « » publié par le Financial Services Information Sharing and Analysis Center (FS-ISAC), les attaques à leur encontre ont bondi de 154 % en 2023 par rapport à l'année précédente.
Parmi les attaques visant les gouvernements, des groupes de hacktivistes basés en Russie, tels qu’Anonymous Sudan, HackNeT et la People’s Cyber Army, s’en prennent à toute personne ayant un lien, même lointain, avec les conflits en Ukraine et à Gaza.
Et le champ d'action ne cesse de s'étendre : les jeux vidéo, les télécommunications et les organisations humanitaires sont désormais des cibles fréquentes, comme l'ont souligné divers rapports ; le secteur de la vente au détail a récemment connu une recrudescence des attaques ; et les responsables des Jeux olympiques de Paris ont maintenu un niveau d'alerte élevé tout au long des Jeux, compte tenu des précédentes attaques DDoS visant les Jeux olympiques en 2016 et 2018.
« Les attaques DDoS constituent un moyen efficace et peu coûteux de perturber les activités, et les hacktivistes y ont de plus en plus recours comme outil de cyberguerre », explique Teresa Walsh, directrice du renseignement au FS-ISAC.
Le mode opératoire et les motivations des attaques DDoS
Une attaque DDoS vise à perturber le trafic normal d'un réseau en le submergeant de trafic Internet provenant de nombreuses sources. Pour ce faire, il s'infiltre généralement dans un grand nombre d'ordinateurs, puis utilise ce botnet pour submerger une cible de données – un peu comme si l'on lançait un nombre si important de missiles contre des systèmes de défense aérienne qu'ils finissent par dépasser leurs capacités.
«Les attaques DDoS constituent une méthode efficace et peu coûteuse de perturbation, et les hacktivistes y ont de plus en plus recours comme outil de cyberguerre. »Teresa Walsh, directrice du renseignement, FS-ISAC
Parmi les motivations courantes des attaques DDoS, on peut citer la volonté de paralyser un site web ou un service accessible au public, ainsi que l'extorsion, dans le cadre de laquelle un cybercriminel (à l'instar d'un mafieux) démontre sa capacité à mettre un site hors service et menace de passer à l'acte si l'organisation ne s'acquitte pas d'une redevance de protection régulière, explique Fernando Montenegro, analyste principal senior chez Omdia à Toronto. Les attaques DDoS peuvent également servir de leurres pour détourner l'attention du personnel de sécurité pendant qu'un pirate s'en prend à des cibles plus lucratives, ajoute-t-il.
La bonne nouvelle, c'est que les attaques DDoS sont rarement très sophistiquées et qu'il est possible de les contrer si l'on prend les mesures adéquates. Exemple concret : OVHcloud, une entreprise française spécialisée dans le cloud computing, , a déclaré avoir repoussé en avril une attaque DDoS d' , d'une ampleur record de 840 Mpps (millions de paquets par seconde). OVHcloud a déclaré que l'attaque avait échoué car l'entreprise disposait d'une capacité Internet suffisante pour résister à l'assaut numérique dont elle faisait l'objet. À titre de comparaison, on estime que les services de streaming grand public traitent environ 100 Mpps aux heures de pointe, lorsque des millions d'utilisateurs regardent des vidéos simultanément. Les réseaux sociaux peuvent traiter environ 200 Mpps aux heures de pointe, lorsque les utilisateurs publient, « aiment » et partagent activement du contenu.
Bien sûr, toutes les organisations ne sont pas en mesure de se prémunir contre les trois types d'attaques DDoS les plus courants :
- Basées sur le volume – qui saturent la bande passante d'un réseau en générant un trafic très important.
- Basées sur les protocoles – : elles exploitent les failles des protocoles réseau pour épuiser les ressources du serveur.
- Basées sur la couche applicative – – qui ciblent des applications Web spécifiques afin d'épuiser leurs ressources.
C'est pourquoi les experts affirment que les entreprises doivent adopter une approche à plusieurs niveaux pour prévenir et atténuer les attaques DDoS.
QUE FAIRE AVANT UNE ATTAQUE DDoS ?
Mieux vaut prévenir que guérir. Étant donné que les pirates recherchent généralement des failles dans le système de sécurité d’une organisation, il est essentiel de mettre en œuvre les meilleures pratiques afin de combler ces failles le plus rapidement possible et de minimiser ainsi les dégâts causés par les attaques DDoS. Les experts recommandent plusieurs approches pour y parvenir, notamment :
1. Découvrez ce qui existe
Selon M. Walsh, les organisations doivent se concentrer sur l' , l'étude et la compréhension de l'évolution des tactiques d'attaque, des techniques et des procédures afin de s'en défendre.
2. Intégrez les attaques DDoS dans la modélisation des menaces
Selon M. Montenegro, lors de la conception d’un système, il est important de tenir compte de menaces potentielles spécifiques, notamment les attaques DDoS. Cela souligne l'importance de la modélisation des menaces, un processus structuré visant à identifier, évaluer et hiérarchiser les menaces potentielles en matière de cybersécurité. Les dirigeants d'entreprise doivent veiller à ce que cet aspect du processus de développement ne soit ni négligé ni éludé.
3. Surveiller les activités suspectes
Dans un rapport conjoint, le FBI, l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) et le Centre multi-États de partage et d’analyse des informations (MS-ISAC) recommandent de mettre en œuvre des s de surveillance réseau robustes ainsi que des outils de détection d’intrusion afin d’identifier les schémas de trafic inhabituels ou suspects. Ils recommandent également de procéder régulièrement à une analyse du trafic afin de détecter les anomalies.
4. Assurez la fluidité des flux de ressources et de trafic
M. Montenegro affirme que les organisations pourraient tirer profit de movi
en transférant les ressources numériques critiques vers des serveurs cloud hébergés , tels qu’AWS ou Snowflake, dotés d’une capacité suffisante et d’une infrastructure de sécurité permettant de résister à de nombreux types de tentatives d’attaques DDoS. « La question que vous devriez vous poser est la suivante : puis-je implanter les infrastructures critiques de mon entreprise de manière à ce qu’elles soient plus résistantes aux attaques DDoS ? », déclare-t-il. « La meilleure stratégie face à une attaque est de ne pas avoir d'actifs sur place qui puissent être attaqués. »
Selon le FBI, la CISA et le MS-ISAC, les solutions d'équilibrage de charge peuvent également s'avérer utiles. La répartition du trafic entre plusieurs serveurs ou centres de données permet de répartir les charges, ce qui évite l'apparition de points de défaillance uniques en cas d'attaques.
Ces organismes recommandent également aux organisations qui ne transfèrent pas leurs ressources vers un fournisseur de services cloud d'évaluer leur capacité de bande passante et d'envisager de l'augmenter afin de pouvoir faire face aux pics de trafic survenant lors d'une attaque.
5. Restez fidèle à l'essentiel
Selon M. Walsh, le respect des règles élémentaires de cybersécurité permet de réduire au minimum l'exposition d'une organisation aux menaces. Elle explique que les méthodes les plus rentables consistent à se tenir à jour avec toutes les mises à jour de sécurité essentielles, à mettre en œuvre des exigences complexes en matière de mots de passe et à adopter l'authentification multifactorielle .
Il est également essentiel de maintenir des pratiques de contrôle d'accès à la pointe de la technologie, qui devraient faire partie intégrante de tout programme de gestion des identités et des accès . Le FBI, la CISA et le MS-ISAC recommandent l'utilisation de tests CAPTCHA sur les sites web et les services en ligne afin de déterminer si c'est un utilisateur autorisé ou un robot automatisé qui tente d'accéder au réseau. Selon les experts, la mise en place d'un plan de sauvegarde et de restauration opérationnel, comprenant des tests réguliers, devrait également être au cœur de la stratégie de cybersécurité de chaque entreprise.
Et n'oubliez pas de mettre en place une gestion adéquate des points d'accès . M. Walsh recommande vivement de retirer du réseau tous les terminaux inutilisés, de limiter l'accès administrateur aux appareils existants et de restreindre l'utilisation des logiciels à de petits groupes d'utilisateurs autorisés.
QUE FAIRE APRÈS UNE ATTAQUE DDoS ?
Si une organisation est soudainement confrontée à des problèmes d'indisponibilité des services Web, à une congestion accrue du réseau, à des schémas de trafic inhabituels ou à des pannes inexpliquées de serveurs ou d'applications, il se peut qu'elle soit victime d'une attaque DDoS.
«La question que vous devriez vous poser est la suivante : puis-je implanter l’infrastructure critique de mon entreprise de manière à ce qu’elle soit plus résistante aux attaques DDoS ? »Fernando Montenegro, analyste principal senior chez Omdia
Les experts recommandent de prendre certaines mesures dans ces situations, notamment :
6. Confirmez l'attaque
Utilisez des outils de surveillance du réseau et d'analyse du trafic pour déterminer la nature de l'attaque. Si une attaque DDoS est en cause, activez immédiatement le plan d’intervention en cas d’incident de l’organisation, documenté et approuvé par l’ . On peut supposer que cela existe ; sinon, procurez-vous-en un. (Les nouveaux plans de gestion des incidents autonomes de nouvelle génération permettent d'accélérer les délais de correction et d'intervention.)
7. Augmenter la bande passante
Le FBI, la CISA et le MS-ISAC recommandent d'augmenter, dans la mesure du possible, la bande passante du réseau de l'organisation afin de mieux absorber le choc de l'attaque. Cela pourrait impliquer l'ajout de serveurs ou une augmentation temporaire de la capacité du réseau.
8. Informez toutes les personnes concernées
Les agences recommandent d'alerter immédiatement les fournisseurs d'accès à Internet (FAI) de cette attaque et de vérifier s'ils disposent de mesures d'atténuation permettant de rediriger le trafic afin de contribuer à en limiter l'impact. Si vous avez souscrit une cyberassurance auprès d' , contactez également cet assureur afin de bénéficier éventuellement de son aide et de vous renseigner sur ce qui est couvert ou non, afin d'atténuer l'impact de cette situation.
9. Prendre des notes et les comparer
Le FBI, la CISA et le MS-ISAC recommandent de consigner et de recueillir autant d'informations que possible concernant l'attaque, notamment les horodatages, les adresses IP, les captures de paquets, ainsi que tous les journaux ou alertes. Cela peut s'avérer utile lorsque vous signalez l'incident aux forces de l'ordre. Par ailleurs, pensez à partager les vulnérabilités identifiées et les informations de renseignement avec vos homologues du secteur afin d'aider les autres à se prémunir contre d'éventuelles attaques DDoS, ajoute M. Walsh. « Le partage des renseignements au sein du secteur est essentiel pour aider les organisations à élaborer leurs plans d'intervention en cas d'incident », ajoute-t-elle.
10. Tirez les leçons de cette attaque
Comme chaque instant peut être l'occasion d'apprendre, M. Walsh conseille aux équipes chargées de la continuité des activités d'organiser régulièrement des exercices s'inspirant d'attaques DDoS antérieures afin de « développer la mémoire musculaire de l'organisation » et de réduire les délais d'intervention en cas d'incident futur.
Le FBI, la CISA et le MS-ISAC indiquent que ces exercices devraient inclure une analyse approfondie après incident afin de comprendre les vecteurs d'attaque utilisés et les vulnérabilités mises en évidence. Ils recommandent de mettre à jour les plans d'intervention en cas d'incident à la lumière de ces conclusions.
Les cybermenaces ne cessant d'évoluer, les organisations doivent renforcer leurs défenses. La récente recrudescence des attaques DDoS souligne la nécessité de rester vigilant et proactif. Les entreprises peuvent mieux protéger leurs actifs numériques contre ces attaques incessantes en appliquant les bonnes pratiques, en se tenant informées des nouvelles menaces et en améliorant sans cesse leurs mesures de sécurité.
