chiffres隐士ddos

RISQUESLIESAUDDoSSécuritédessystèmesd'information2016CopyrightNYSTEK-2016Qu'estcequ'uneattaqueDDoSRisquesd'uneattaqueDDoSCommentseprotégercontrelesattaquesDDoS3phasesdegestiond'unecriseDDoSDifférentsoutilsAnti-DDoSAccompagnementNYSTEKANNEXE-Descriptiontechniquedesdifférentstypesd'attaqueDDoSSommaireCopyrightNYSTEK-2016Qu'est-cequ'uneattaqueDDoS(1/2)UneattaqueDDoSviseàrendreunserveur,unserviceouuneinfrastructureindisponiblesensurchargeantlabandepassanteduserveur,ouenaccaparantsesressourcesjusqu'àépuisement.
Lorsd'uneattaqueDDoS,unemultitudederequêtessontenvoyéessimultanément,depuisdemultiplespointsduNet.
L'intensitédece"tircroisé"rendleserviceinstable,oupire,indisponible.
Onparlededénideservicedistribué(DistributedDenialofServiceouDDoS)lorsquel'attaquefaitintervenirunréseaudemachinescompromises(Botnets)afind'interromprele/lesservicesvisés.
CopyrightNYSTEK-2016Qu'est-cequ'uneattaqueDDoS(2/2)Lenombred'attaquespardénideservicedistribuéaaugmentéaucoursdesdernièresannées.
Cesattaquessontaujourd'huifréquentes,.
Atitred'exemple,desopérateursfranaisontconstatéjusqu'àplusd'unmillierd'attaquesparjouren2014.
LaFrancedansletop10.
Decefait,lesattaquessediversifient,ellesdeviennentplusintelligentesetpluscomplexesàéviter,ellesdurentaussipluslongtemps,ellesétaientdel'ordrede30minutesilya4ansetsontmaintenantprochede12jours.
Ondistinguealorsdeuxgrandesfamilles:Lesattaquesvolumétriques:ellesvisentàsubmergerdeséquipementsouliaisonsstratégiquesafindelesrendreindisponibles.
Lanouveautéestqu'elless'opèrenttantsurlacoucheréseau(TCPSYNflood.
.
.
)qu'applicative(parexempleHTTPGETfloods.
.
.
)pourépuiserlesressourcesdesserveursexposéssurinternet.
Lesattaquesparsaturationdetablesd'état:plusastucieuses,cesattaquesnerequièrentpasnécessairementungrandnombrederessourcesattaquantes.
Leurprincipeestd'utiliserleslimitesdesprotocolesdecommunicationpourcommettredesméfaits.
EllesvisentégalementlescouchesréseauSlowattacks.
.
.
)etapplicative(Slowloris.
.
.
).
Elless'avèrenttrèsefficacesetmalheureusementdifficilesàcontrerauvudeleurcomportementaprioriinoffensif.
CopyrightNYSTEK-2016Risquesd'uneattaqueDDoS(1/2)Alafoisvisiblesetimmédiates,lesconséquencesdirectesd'uneattaqueDDoSrecouvrentparexemplel'indisponibilitédeservicescruciaux(Sitee-commerce,lesDataCenter,lesinstitutionsfinancières,lesgouvernement.
.
.
)entranantunepertefinancièreévidente,ledysfonctionnementdesprocessusmétiersmaisaussil'atteinteàl'imagedueàlamédiatisationdel'événementQuandlesattaquesDDoSserventàleurrerleséquipesITetdeviennentunécrandefuméepourlafraudeetlevolMoinsimmédiates,lesconséquencesindirectesn'ensontpasmoinsimportantes:UneattaqueDDoSpeutégalementêtreunmoyendediversionpermettantd'établiruneattaquecibléeplusévoluée.
Eneffet,enjouantunrledebéliervisantlamiseàmaldesmoyensdeprotectionduSI,uneintrusiondeviendraplusfacile.
.
.
Pendantquevousvousescrimezàneutraliserl'attaqueDDoSetàremettreenlignelesapplicationscritiques,descybercriminelspourraientêtreentraind'opérerencoulissesdansvossystèmesafindeperpétrerdesactionsencoreplusmalveillantes(vol,perted'intégritévoirdestructiondesdonnées).
CopyrightNYSTEK-2016Risquesd'uneattaqueDDoS(2/2)LeschiffresSelonuneétudedeKasperskyenfind'année2015,ilressortqueprèsdelamoitié(48%)desvictimesd'uneattaqueDDoSdéclarentconnatrelesmotivations,voirelesidentités,deleursassaillantsoucommanditaires.
Cetteannée,onconstatel'augmentationdesbotnetsLinux–quisontlesplusefficacespourlesattaquesSYN-DDoSavecundéséquilibreentrelesbotsbaséssurLinux(70%)etWindows(30%).
Surcetensemble,12%desentreprisespensentquelesattaquesviennentdeconcurrentsdirects(1attaquesur10)quirecourentéventuellementauxservicesd'organisationsspécialiséesdanscegenred'opérations,(38%)danslesindustriesdeservices.
74%desattaquesDDoSayantentranéuneinterruptiondeservicenotableontétéaccompagnéesd'autresincidents,commel'exécutiond'unmalware(dans45%descas)ouuneintrusiondansleréseaudel'entreprisecible(32%).
Résultatdescourses:26%desentreprisesvictimesd'attaquesDDoSontdéclaréunepertededonnéessensibles.
Deplus,unvéritablebusinessliéauxattaquesDDoSs'estdéveloppé,ainsi,louerunparcde100.
000botnetspendant24Hcoteenviron200$,permettantdemobiliserl'équivalentdutraficdeEbay.
frsurunebasede100visites/jour.
botnet(trèsbas)CopyrightNYSTEK-2016Risquesd'uneattaqueDDoSQuelsquesoientleursinitiateurs,cesattaquesontuncot.
Toujoursselonl'étudedeKaspersky,uneentreprisede1500salariésetplusdépenseenmoyenne417000dollarspourseremettred'uneattaquepardénideservice(cotsdirectsetindirectsinclus).
UnePME,quinedisposepastoujoursdesmoyenspourseprémunir,débourse53000dollarsenmoyenne.
Deplus17%desvictimesdéclarentquelesDDoSs'accompagnentdedemandesderanons,maislamajoritédesattaquesseraitmenéepardescriminelsquichercheraientsimplementàinterromprel'activitédel'entreprise.
Engénérale,lesrisquesd'uneattaqueDDoSpourlessociétéssontlessuivants:Dysfonctionnementdeservicesenlignepouvantalleràl'indisponibilité;Pertesfinancières;Imagedégradée.
Suivantlanotoriétéoul'e-réputationdelasociétéetsondomained'activité,laprobabilitéestplusoumoinsgrandequ'ellesoitvictimed'uneattaqueDDoS.
CopyrightNYSTEK-2016CommentseprotégercontrelesattaquesDDoS(1/3)Lasolutionestdemettreenplaceuneprotectionparlebiaisd'équipementsdesécurité,pouvants'opéreràdeuxniveauxenamontduSI(auniveaudesréseauxdel'opérateur)etdirectementenfrontal(surlesiteàprotéger).
Plusieursstratégiessontalorspossibles:Uneprotectionexclusivementmanuelle:ils'agitdelamiseenplacedefiltragesspécifiquesparl'opérateuretdelaconfigurationd'équipementsdesécuritéduSI.
Cettestratégieàfaiblecot,pouvantêtrequalifiéedeprotectionpardéfaut,estaujourd'huilapluscommunémentutilisée.
Unbotieranti-DDoSenfrontal:procheduSI,cebotiersertdebouclieretpermetuneprotectionimmédiate,avecréinjectiondutraficlégitime.
Ilnécessiteenrevancheuneexpertiseinterneconséquente,etpeutainsientranerd'importantscotsd'investissementetrécurrents.
Deplus,sansprotectionenamontduSI,leniveaudeprotectionoffertparlebotierfaceauxattaquesvolumétriquesestlimitéàlatailledulienréseauquileprécède.
Utiliséseul,untelbotiermontrerapidementseslimites.
CopyrightNYSTEK-2016CommentseprotégercontrelesattaquesDDoS(2/3)UneprotectionCloud,enamont:situéedansleCloudouleréseauopérateur,cetteprotectionpermetdebénéficierd'unserviceetd'uneexpertiseexternalisés.
Grceàsesmécanismesderedirectionponctuelleoupermanente,denettoyagedutraficetderéinjection,ellepermetlagestiond'attaquesàfortevolumétrie.
Cettesolutionpeutentranerdescotsélevésencasdemultiplicationsdesattaques,selonlesmodèlesdefacturation.
Enoutre,ellenepermetpasdeseprotégerdesdifférentstypesd'attaques,enparticuliercellesvisantlesapplications.
Unestratégiehybride:ils'agiticid'allierdeuxdestroispremièresstratégies:uneprotectiondistantediteCloudetunbotierphysique,enfrontalduSI.
Malgréuncotlogiquementplusélevé,lesavantagesviennents'additionneretpermettentdefairefaceàl'évolutiondelamenace.
Lesattaquesàlafoisvolumétriquesetparsaturationdetabled'état,auxniveauxréseauouapplicatifpeuventiciêtrematriséesetlacontinuitéduserviceestassurée.
FaitesattentionauxfiltragesdesWAFoudesFAISouventdeniveau1-3/4Rarejusqu'auniveau7(cot/performance.
.
.
)CertainsFAImutualisentleurséquipementsavectousleursclients,ducoup,ilslimitentvoschampsd'actionscarcelapeutimpacterleursautresclients.
CopyrightNYSTEK-2016CommentseprotégercontrelesattaquesDDoS(3/3)DesréponseségalementorganisationnellesAu-delàd'unchoixstratégiquedeprotectiontechnique,ilestimportantdedévelopperuncertainnombredebonnespratiquespermettantunegestiondecriseoptimaleencasd'attaque.
Cesmesuresorganisationnellespeuventêtreséquencéeschronologiquement,selonlestadedel'attaqueauquelellesserattachent.
Demanièrepréventive,uneanalysedelacriticitédesservicesciblés,delamenaceetdesbesoinsglobauxenmatièredesécuritépermettrontdes'orienterversl'undesquatrechoixtechniquesprécédents.
Celapermettraégalementdebtirlesfutursprocessusdegestion,enparticulierencasdecrise.
Dèslorsqu'uneattaqueestdéclarée,ilestprimordialdepouvoirefficacementidentifiersoncomportement,déterminersonampleuretrepérerlespremiersservicesimpactés.
Lesprocessusdegestiondecriseinitialementdéterminéspermettrontégalementd'encadreretd'atténuerleseffetsdebord.
Enfin,unefoisl'attaquematrisée,lesservicesrétablisetleurbonfonctionnementtestéetvalidé,ilseraégalementrecommandédedocumenterlesdétailsdel'incident,dedresserunretourd'expérienceetainsid'ajusterlesplansdeprotectionetd'actionsenconséquence,dansunsoucid'améliorationcontinue.
CopyrightNYSTEK-20163phasesdegestiond'unecriseDDoSPensezégalementàlamiseenplaced'unoutildedétectionetdeseuilsd'alertepourenclencherlesactionspréventivespuisdéfensivesleplusttpossibletes-voussrquevotreinfrastructuredevospointsd'accèsInternetsoitsécuriséeAvez-vousunSIEMpourcentraliseretpouranalyservoslogssensiblesCopyrightNYSTEK-2016DifférentsoutilsAnti-DDoS(1/2)Ilexiste2typesd'outilsanti-DDoSLesoutilsnonmanagésparunprestataireCesontdesoutilsquevousdevezconfigureretgérervous-même.
Commeparexemplelaconfigurationd'unserveurdédiéavecTarpit&iptables(complexeetcoteuxentempssicen'estpasvotremétier)L'utilisationdereverse-proxyoudepare-feuxdeniveau7pourfiltrerlefluxenentréemaisneseramoinsefficacesivoussubissezuneattaqueliéeàlabandepassante.
Ceuxmanagésparunprestataire.
Uneéquipeduprestatairegéreladétection,lesalertesetlamitigation.
(Leurmoyensentermedecapacitéréseauxetmatérielssontadaptéspuisquec'estleurmétier)C'estdoncla2emesolutionquenousvousconseillonsCopyrightNYTSEK-2016DifférentsoutilsAnti-DDoS(2/3)VoicidoncquelquesoutilsantiDDoSmanagésCyblex(IMSNetworks),lapremièreoffrefranaisedeservicesmanagésdeprotectionanti-DDoS*.
http://www.
cyblex.
eu/solution.
htmlCopyrightNYSTEK-2016DifférentsoutilsAnti-DDoS(3/3)https://www.
arbornetworks.
com/https://www.
akamai.
com/fr/fr/https://f5.
com/https://www.
incapsula.
com/http://www.
tehtri-security.
com/egambit/http://www-03.
ibm.
com/software/products/fr/qradarCopyrightNYSTEK-2016AccompagnementNYSTEKNousproposonsdevousaccompagnersurcesujet:Auditerrapidementl'existant–architecture,outils,organisation.
.
.
;Conseillersurlameilleurestratégieàadopterpourvotrecontexte;Proposerleoulesoutils,l'organisation,leprocessusdegestiondecriseetlesservicesenadéquationavecvotresociété;Intégrerlaoulessolutions;Gérerleprojetdelanotedecadrageàlamiseenproductionetenassurerlemaintienenconditionopérationnelle;Formervotrepersonnel.
Noussommesàvotredispositionpourvousrencontrer,pouraffinervotrebesoinetpourchiffreraumieuxnotreaccompagnement.
ANNEXENYSTEKestunemarquecommercialepropriétédeNYSTEKEditionsetdeNYSTEKConsulting.
CopyrightNYSTEK-2016CopyrightNYSTEK-2016Descriptiontechniquedesdifférentstypesd'attaqueDDoS(1/3)SYN,SSDP,UDPetACKfigurentparmilesprotocolesetétiquetagedepaquetsIPlesplusutilisésdanslesattaquesDDoS.
Aidésencelaparl'exploitationdesfaillesShellshock,SQLi,LFIetautres.
Ilexistedenombreuxtypesd'attaquespardénideservice.
Lesimplefaitd'empêcherunsystèmederendreunservicepeutêtrequalifiédedénideservice.
Envoicilesprincipaux:Pingflooding:cetteattaqueconsisteàenvoyerunfluxmaximaldepingversunecible.
AttaquePingofDeath:leprincipeestd'envoyerunpaquetICMPavecunequantitédedonnéessupérieureàlataillemaximaled'unpaquetIP.
Silaciblen'estpasadaptéeàgérercetypedepaquet,ilpeutseproduireuncrash.
SYNflood:cettetechniqueconsisteàsaturerunemachineenenvoyantunemultitudedepaquetsTCPavecleflagSYNarmé.
Celacréeraunemultitudedeconnexionsenattente,demandantungrandnombredesressourcesdusystème.
UDPFlood:l'attaquantenvoieungrandnombrederequêtesUDPsurunemachine.
LetraficUDPétantprioritairesurletraficTCP,cetyped'attaquepeutvitetroubleretsaturerletrafictransitantsurleréseau.
CopyrightNYSTEK-2016Descriptiontechniquedesdifférentstypesd'attaqueDDoS(2/3)L'attaqueARP:elleconsisteàs'attribuerl'adresseIPdelamachinecible,c'est-à-direàfairecorrespondresonadresseIPàl'adresseMACdelamachinepiratedanslestablesARPdesmachinesduréseau.
Pourcelailsuffitenfaitd'envoyerrégulièrementdestramesARPREPLYendiffusion,contenantl'adresseIPcibleetlafausseadresseMAC.
Celaapoureffetdemodifierlestablesdynamiquesdetouteslesmachinesduréseau.
Celles-cienverrontdoncleurstramesEthernetàlamachinepiratetoutencroyantcommuniqueraveclacible.
L'attaqueTeardrop:cetteattaqueutiliseunefaillepropreàcertainespilesTCP/IP.
CettevulnérabilitéconcernelagestiondelafragmentationIP.
Ceproblèmeapparatlorsquelapilereoitledeuxièmefragmentd'unpaquetTCPcontenantcommedonnéelepremierfragment.
LapileTCP/IPpeuts'avérerincapabledegérercetteexceptionetlerestedutrafic.
Smurfing:consisteàenvoyerunpingendiffusionsurunréseau(A)avecuneadresseIPsourcecorrespondantàcelledelacible(B).
Lefluxentreleportpingdelacible(B)etduréseau(A)seramultipliéparlenombredemachinessurleréseau(A),conduisantàunesaturationdelabandepassanteduréseau(A)etdusystèmedetraitementdespaquetsde(B).
CopyrightNYSTEK-2016Descriptiontechniquedesdifférentstypesd'attaqueDDoS(3/3)L'attaqueland:consisteàenvoyerdespaquetsTCPcomportantuneadressesourceIPetunnumérodeportidentiquesàceuxdelavictime.
Lehostattaquépensealorsqu'ilparleàluimêmecequigénéralementprovoqueuncrash.
Lesbombese-mail:lemailbombingconsisteàenvoyerdegrosoudenombreuxfichiersàunutilisateurpoursaturersabotederéceptiondecourrierélectronique.
L'attaqueUnreachableHost:cetteattaqueenvoiedesmessagesICMP"HostUnreachable"àunecible,provoquantladéconnexiondessessionsetlaparalysiedelavictime,mêmesiilssontenvoyésàfaiblecadence.
MERCIPOURVOTREATTENTION!
www.
nystek.
comCONTACTERNOUScontact@nystek-editions.
comcommercial@nystek-editions.
comVENEZVISITERNOTRESITEWEB!
NYSTEKestunemarquecommercialepropriétédeNYSTEKEditionsetdeNYSTEKConsulting.
CopyrightNYSTEK-2016