Sur cette page
À retenir
- Une source ou des sources distribuéesUne attaque DoS est une tentative de déni de service issue d’un nombre limité de sources.
- Des points de saturation différentsLa différence compte parce que le premier élément saturé n’est pas toujours l’application.
- Protection adaptée à la topologieContre un DoS simple, des règles firewall locales, du rate limiting, du durcissement applicatif et du monitoring…
Définition du problème
Une attaque DoS est une tentative de déni de service issue d’un nombre limité de sources. Elle peut viser la bande passante, le CPU, la pile TCP, une page de connexion ou un endpoint de requête jeu. Elle peut faire mal, mais elle reste souvent plus simple à attribuer et à limiter.
Une attaque DDoS ajoute la distribution. Le trafic arrive depuis de nombreux réseaux ou via des protocoles de réflexion, et chaque paquet peut sembler normal isolément. La victime voit surtout la saturation, les timeouts ou l’épuisement d’état avant de pouvoir bloquer les sources une par une.
Pourquoi la différence compte
La différence compte parce que le premier élément saturé n’est pas toujours l’application. Cela peut être le lien d’accès, un routeur, une table d’état firewall, un load balancer, la pile réseau du serveur ou le proxy de jeu. Si la mauvaise couche traite l’attaque, les vrais utilisateurs perdent quand même l’accès.
Une entreprise qui achète de la protection doit donc demander où se fait la mitigation. Si le fournisseur filtre seulement après que le lien soit plein, le service reste indisponible. Si la couche de mitigation est en amont et relivre du trafic propre, la continuité est beaucoup plus crédible.
Les solutions possibles
Contre un DoS simple, des règles firewall locales, du rate limiting, du durcissement applicatif et du monitoring peuvent suffire. Ces outils sont utiles pour l’abus, mais ils ne doivent pas être vendus comme une stratégie DDoS complète pour une infrastructure exposée.
Contre une exposition DDoS, le modèle doit coller au service. Le transit IP protégé convient aux réseaux qui annoncent des préfixes ou reçoivent du trafic propre. Le serveur dédié protégé et le VPS protégé réduisent la complexité. Le proxy gaming aide quand le protocole exige un filtrage spécialisé et une faible latence.
- la différence DDoS/DoS change l’analyse car la source, l’échelle et la stratégie de blocage ne sont pas les mêmes.
Cas concret
Un hébergeur peut d’abord recevoir des plaintes sur un VPS. Si le trafic vient d’un seul attaquant, une ACL locale peut suffire. Si l’incident devient soudainement distribué, avec hausse des PPS et plusieurs ports de destination, ce n’est plus un simple DoS : il faut soulager en amont avant d’impacter les autres clients.
Pour un serveur FiveM ou Minecraft, la différence se voit aussi dans les symptômes. Un petit DoS peut toucher un endpoint. Un flood distribué peut laisser le serveur “vivant” en interne alors que les joueurs ne peuvent plus se connecter, interroger le statut ou terminer le handshake initial.
Erreurs fréquentes
La première erreur est d’acheter une protection uniquement sur un chiffre en Tbps. La capacité compte, mais elle ne dit presque rien sur les PPS, la précision du filtrage, le retour du trafic propre, la latence ou la visibilité d’exploitation.
La deuxième erreur est de bloquer trop largement. Si la réponse à chaque incident est de fermer UDP, bloquer des pays entiers ou imposer un comportement TCP strict, le service peut être “protégé” mais inutilisable pour le gaming ou le temps réel.
