Sur cette page
À retenir
- La réflexion crée le floodCe repère aide à traiter « Attaque DDoS par amplification » avec un angle précis sur la capacité.
- L’amplification augmente le volumeCe repère aide à traiter « Attaque DDoS par amplification » avec un angle précis sur le PPS.
- UDP est souvent abuséCe repère aide à traiter « Attaque DDoS par amplification » avec un angle précis sur la latence.
- Le filtrage amont compteIl faut réduire l’attaque avant la saturation du lien client.
Définition du problème
Un DDoS par amplification exploite des services Internet qui répondent plus gros qu’ils ne reçoivent. L’attaquant envoie de petites requêtes avec l’adresse IP de la victime comme source usurpée ; les serveurs intermédiaires renvoient alors leurs réponses vers la cible.
Le danger ne vient pas uniquement du volume. La victime voit du trafic venant de machines réelles, souvent distribuées, parfois légitimes dans un autre contexte. C’est ce qui rend les blocages par source peu fiables et impose un filtrage par protocole, taille, direction et comportement.
Pourquoi c’est important
Pour un hébergeur, un opérateur de services ou un client gaming, l’impact est immédiat : port saturé, pertes, timeouts, déconnexions et support client sous pression. Le serveur d’origine peut rester sain alors que l’accès réseau est déjà inutilisable.
La visibilité en ligne et la vente sont aussi concernées. Un prospect qui arrive pendant une indisponibilité ne voit pas le nom du vecteur DDoS ; il voit un service qui ne répond pas. La protection doit donc préserver l’expérience utilisateur, pas seulement afficher du trafic bloqué.
Les solutions possibles
La mitigation commence par la capacité et le filtrage au bon endroit. Si l’attaque remplit le lien client, une règle locale arrive trop tard. Il faut absorber le bruit sur une couche protégée, puis réduire les réponses réfléchies selon les signatures utiles.
La seconde partie est la relivraison : BGP, GRE, IPIP, VXLAN, cross-connect ou VM routeur selon le client. Le choix doit tenir compte de la MTU, de la latence, du retour de trafic, des logs et du niveau de contrôle que le client veut garder.
Stratégie de filtrage pour Attaque DDoS par amplification
Pour les clients gaming ou reverse proxy, le filtrage réseau retire le volume réfléchi avant que la couche plus fine ne gère les comportements joueurs, bots ou protocoles spécifiques. L’objectif est de garder le service accessible pendant l’attaque.
Cas concret d’utilisation
Un hébergeur peut recevoir une vague mêlant réponses DNS, NTP et autres protocoles UDP vers plusieurs IP clients. Sans protection amont, le port d’accès devient le point de rupture et chaque client semble subir un incident différent.
Erreurs fréquentes
La première erreur est d’acheter seulement plus de capacité. Elle aide, mais une amplification peut grandir plus vite que le port disponible. La deuxième est de bloquer un protocole entier sans vérifier les usages légitimes.
Une autre erreur est de croire qu’un seul filtre restera valable. Les attaquants changent de réflecteurs et de ports. Les règles doivent être testées, observables et ajustables sans casser le trafic propre.
Questions fréquentes
L’amplification est-elle identique à un flood UDP direct ?
Non. La réflexion fait envoyer les réponses de serveurs tiers vers une victime dont l’adresse source a été usurpée dans les requêtes. L’amplification signifie que ces réponses sont plus volumineuses que les requêtes. Un flood UDP direct ne nécessite pas cet intermédiaire.
Pourquoi l’usurpation de l’adresse source compte-t-elle ?
L’adresse falsifiée fait parvenir les réponses à la victime. La validation des adresses sources sur le réseau émetteur limite cet abus ; la victime doit aussi se protéger contre les réflecteurs situés sur d’autres réseaux.
Peut-on être visé sans exploiter le service détourné ?
Oui. Une victime peut recevoir des réponses DNS, NTP ou Memcached réfléchies sans héberger ces services. Le filtrage doit préserver les protocoles légitimes réellement utilisés.
