Mitigation DDoS : de la détection à l’application des règles
La rapidité dépend de toute la chaîne : collecte, décision, propagation et validation. Les délais et les faux positifs à examiner.
Attaques DDoS : symptômes, vecteurs et filtrage.
L’indisponibilité d’un service ne suffit pas à identifier un vecteur d’attaque. Commencez par le sens du trafic, les destinations touchées et le point où les paquets cessent de passer. Confrontez ensuite ces observations au protocole concerné.
Ces guides traitent des floods réseau, de la réflexion, de la gestion des connexions et des limites du filtrage. Un échantillon de paquets ou un débit élevé n’établit pas seul la cause d’une coupure : corrélez-le à l’état du service et au routage.
Parcours de lecture conseillé
Établir le symptôme
Relevez le début du problème, les destinations touchées et l’évolution des octets, des paquets ou des tentatives de connexion. Conservez les mêmes intervalles de mesure et conventions de compteurs.
Identifier le comportement du protocole
Pour la réflexion, distinguez les requêtes envoyées à un réflecteur des réponses reçues par la victime. DNS, NTP et Memcached ont des types de messages, des contrôles et des conditions d’exposition différents.
Vérifier le trafic légitime avant de durcir la politique
Comparez le critère de filtrage au trafic normal, à l’usage du NAT et au routage retour. Les contrôles TCP avec état nécessitent le chemin pour lequel ils ont été conçus ; une règle stricte n’est pas forcément une règle juste.
Guides de cette rubrique
19 guides19 / 19 guides
Pourquoi un pare-feu seul ne suffit pas toujours contre un DDoS
Distinguez saturation du lien, traitement des paquets, états de connexion et charge applicative pour déterminer où compléter votre pare-feu.
Mitigation DDoS à haut PPS : mesurer le chemin des paquets
Identifiez les limites en paquets par seconde avec des tailles explicites, des mesures par file et worker et des tests de trafic légitime reproductibles.
Détecter une attaque DDoS : quels signaux croiser ?
Une hausse de débit ne suffit pas à caractériser un incident. Examiner PPS, erreurs, pertes, états de connexion et disponibilité du service.
DoS et DDoS : comprendre la différence
Les attaques visent une indisponibilité, mais leur distribution change l’analyse et le filtrage. Les distinctions utiles pour organiser la réponse.
Protection UDP flood pour serveurs, VPS et jeux
Adapter le filtrage à l’usage réel d’UDP, tout en traitant la saturation du réseau avant qu’elle n’atteigne le serveur.
VPS anti-DDoS : vérifier ce que couvre la protection
L’offre peut couvrir certains vecteurs et laisser d’autres contraintes à votre charge. Les questions à poser sur le réseau, le filtrage et la gestion d’incident.
Protection DDoS en entreprise : définir le périmètre
Inventorier les services exposés, leurs dépendances et les responsabilités des fournisseurs avant de retenir une architecture de protection.
Comment fonctionne une protection DDoS ?
Détection, acheminement, filtrage et livraison : les fonctions à distinguer pour comprendre ce qu’une protection prend en charge.
Attaque Memcached : diagnostic et protection
Identifier les réponses Memcached réfléchies, distinguer le filtrage côté victime de la sécurisation d’un cache et préserver le trafic légitime au bon endroit du réseau.
Amplification NTP : diagnostic et filtrage
Distinguer la synchronisation horaire légitime du trafic NTP réfléchi, restreindre les requêtes de contrôle exposées et valider la mitigation sans perturber les horloges.
ACK flood : protéger les sessions TCP
Un volume anormal de paquets ACK peut solliciter les liens et les équipements de filtrage. Les points à vérifier avant d’appliquer des règles sur les flags TCP.
DDoS par amplification : du réflecteur à la cible
Une réponse UDP peut être plus volumineuse que la requête qui la déclenche. Le rôle des services exposés, de l’usurpation d’adresse et du filtrage en amont.
Amplification DNS : comprendre et réduire le risque
Comment des résolveurs exposés participent à une attaque réfléchie, et comment protéger une cible tout en préservant ses échanges DNS légitimes.
SYN flood : protéger l’ouverture des connexions TCP
Comprendre l’épuisement des connexions incomplètes et les moyens de limiter son effet sur les serveurs, les pare-feu et les utilisateurs.
UDP flood : identifier la saturation et filtrer le trafic
Le débit, le nombre de paquets et le comportement du service apportent des indications différentes. Comment les utiliser pour choisir une règle de filtrage.
DDoS volumétrique et applicatif : distinguer les cibles
Certaines attaques saturent un lien, d’autres épuisent le traitement des requêtes. Les différences de symptômes, de mesures et de protection.
Protection DDoS L3, L4 et L7 : quelles différences ?
Réseau, transport et application ne présentent pas les mêmes symptômes ni les mêmes moyens de filtrage. Les périmètres à distinguer.
Après une attaque DDoS : vérifier la reprise du service
La baisse du trafic ne suffit pas à clore un incident. Vérifier les utilisateurs, retirer les règles temporaires et conserver les éléments utiles au retour d’expérience.
Aucun guide ne correspond à cette recherche. Essayez un nom de protocole ou une expression plus courte.
Adapter la réponse à la contrainte.
Si l’accès est saturé, filtrer derrière cet accès ne restaure pas la capacité perdue. Comparez livraison réseau protégée et filtrage local, puis validez les débits en paquets et en bits avant de choisir l’architecture.