Sur cette page
À retenir
- Le pré-filtrage doit soulager tôt sans surdéciderSon rôle idéal est de retirer du bruit, de protéger le transit et de préparer une décision plus fine plus bas dans la chaîne.
- Il ne doit pas prendre toute la décisionPlus la règle amont est brutale, plus le risque de faux positifs augmente.
- Il améliore le coût / performance globalEn retirant tôt le bruit évident, il rend le filtrage spécialisé plus stable et plus rentable.
Quand le pré-filtrage devient indispensable
Le pré-filtrage devient indispensable dès qu’une attaque peut casser le chemin réseau avant même que votre logique fine n’entre en jeu. C’est typiquement le cas quand le lien, les buffers, le PPS ou la simple densité du trafic menacent la stabilité de la chaîne de mitigation.
En dessous d’un certain seuil, vous pouvez parfois tout traiter au même endroit. Mais dès que le volume grandit, le bon réflexe n’est plus d’ajouter toujours plus d’intelligence au même point. Il faut d’abord faire respirer l’architecture.
- Protection du lien
- Le premier bénéfice est d’éviter que le trafic massif atteigne la production ou le serveur de filtrage sans soulagement préalable.
- Protection PPS
- Même un trafic pas énorme en Gbps peut devenir destructeur en nombre de paquets.
- Protection économique
- Un bon dégrossissement amont évite de dépenser des cycles coûteux sur du bruit évident.
Ce que le pré-filtrage fait bien, et ce qu’il ne faut pas lui demander
Le pré-filtrage fait bien le tri de masse sur des critères suffisamment robustes : profils de paquets très manifestement anormaux, motifs répétitifs, signatures volumétriques ou règles de soulagement temporaires. Il sert à réduire le volume et à préparer un trafic plus propre pour l’étage suivant.
Ce qu’il ne faut pas lui demander, c’est de résoudre seul toute l’ambiguïté d’un trafic légitime complexe. Plus une couche amont essaye d’être “intelligente” sans contexte suffisant, plus elle devient dangereuse. Le bon rôle est d’être rapide, prudent et temporaire quand il le faut.
- Oui : dégrossissement volumétrique, signatures très évidentes, règles de courte durée.
- Oui : retrait amont des patterns qui font perdre de la marge au serveur de filtrage.
- Non : logique applicative fine sans visibilité suffisante.
- Non : règles permanentes trop larges sur un service qui change souvent.
Ce qu’on filtre en amont dans une stratégie propre
Dans une stratégie propre, on filtre en amont ce qui est assez stable pour être traité tôt sans casser le trafic légitime : certains motifs de tailles, de protocoles, de ports, de comportements volumétriques ou de floods manifestement hors profil.
Cette couche peut prendre plusieurs formes : soulagement par l’amont chez un transitaire, règles de dégrossissement limitées dans le temps, ou pré-nettoyage avant qu’un serveur de filtrage dédié fasse un travail plus fin.
Identifier la pression dominante
Lien, PPS ou coût CPU : il faut savoir ce qui casse en premier.
Définir les critères robustes
N’utiliser en amont que des signaux suffisamment sûrs pour ne pas blesser le trafic légitime.
Garder ces règles courtes et révisables
Le pré-filtrage doit suivre l’attaque, pas devenir une dette permanente.
Ce qu’il faut garder derrière : filtrage dédié, observation et logique plus intelligente
Le pré-filtrage est seulement la première barrière. Derrière, il faut encore une couche capable d’observer, de comparer au trafic habituel, d’appliquer des signatures plus fines et de préparer un retour propre vers la cible.
C’est précisément là qu’un serveur de filtrage dédié ou une logique custom XDP / DPDK / proxy prend du sens. L’amont soulage, l’étage dédié décide plus finement, et la production reçoit un trafic qui reste exploitable.
Erreurs fréquentes
L’erreur classique consiste à vouloir tout faire en amont. Cela rassure sur le papier, mais augmente vite le risque de faux positifs et fait perdre la souplesse nécessaire quand un service évolue.
L’autre erreur est l’inverse : ne rien soulager du tout, puis espérer qu’un seul serveur ou qu’une seule stack logicielle absorbe proprement un volume massif. Une stratégie sérieuse accepte que toutes les couches n’ont pas le même rôle.
- Règles trop larges
- Une règle amont trop agressive peut blesser plus vite que l’attaque elle-même.
- Règles trop longues
- Ce qui a aidé sur un flood précis peut devenir nuisible le lendemain.
- Pas de baseline
- Sans vision du trafic normal, vous risquez de soulager contre vos propres clients.
FAQ
Le pré-filtrage anti ddos suffit-il à lui seul ?
Non. Il est très utile pour dégrossir, mais il doit rester intégré à une stratégie multi-couche.
Faut-il toujours l’activer ?
Pas forcément. Il prend surtout de la valeur quand le volume, le PPS ou la pression réseau deviennent un risque réel.
Est-ce compatible avec une logique XDP ou proxy custom derrière ?
Oui. C’est même souvent l’un des meilleurs montages : l’amont retire le bruit évident, la logique custom finit le travail.
Quel est le plus grand danger ?
Utiliser des règles trop larges, trop longues ou pas assez corrélées au trafic légitime.
Que doit faire un bon pré-filtrage en amont ?
Soulager tôt, protéger les liens et préparer la couche fine. Il ne doit pas vouloir tout décider avec une logique trop complexe ou trop fragile.
