Récemment, l'un de nos clients a subi une attaque DDoS volumétrique ciblée. L'attaque a pu être repoussée avec succès par notre service DDoS Mitigation, mais à un certain moment, elle est devenue tellement puissante que certaines liaisons montantes du réseau Belnet ont été saturées.
La question que vous vous posez peut-être est de savoir si une telle protection anti-DDoS est utile, puisqu'il y a tout de même eu un impact (bien que limité).
Examinons la situation du point de vue des pirates informatiques. Pour une raison obscure, ils décident à un moment donné de lancer une attaque DDoS sur l'un de nos clients. D'après nos graphiques, nous pouvons voir que durant les premières minutes de l'attaque, celle-ci est de moindre ampleur. En effet, l'attaque est très rapidement détectée et atténuée par la solution DDoS que nous fournissons à ce client. L'effet de l'attaque sur le trafic de son réseau est à peine perceptible.
Maintenant, ce ne sont que des suppositions, mais je peux très bien imaginer que nos pirates informatiques sont frustrés parce qu'ils n'obtiennent pas l'effet désiré. Ils devront dépenser plus d'argent pour augmenter le volume de l'attaque et accroître leurs chances de succès. Quelques minutes et quelques points de données dans nos graphiques plus tard, nous constatons une augmentation soudaine du volume de l'attaque.
Saturation
À ce moment, certaines de nos liaisons montantes, qui sont les autoroutes vers le réseau Belnet, commencent à être saturées. Ce n'est que maintenant qu'il y a un impact, mais pas celui que les pirates informatiques espéraient. Notre client, jusqu'à présent inconscient de l'afflux de trafic, subit seulement les mêmes désagréments que toutes les autres organisations de notre réseau. En effet, certaines plages IP deviennent instables en raison de la saturation des liaisons montantes. Les sites Web auxquels il est uniquement possible d'accéder par ces voies sont donc lents à charger. Toutefois, le service attaqué reste opérationnel. Peut-être - et je l'espère vraiment - à la grande frustration des pirates informatiques.
Pendant ce temps, des alarmes sont activées et l'incident est remonté au niveau de l'assistance de troisième ligne chez Belnet, c'est-à-dire l'équipe Réseaux dont je fais partie. Nous lançons la procédure pour activer une nouvelle couche dans notre protection anti-DDoS. Il s'agit d'un gigantesque "scrubbing center", un réseau mondial d'épuration en dehors du réseau Belnet qui absorbe et filtre le trafic du client concerné.
Scrubbing center
Vous vous demandez peut-être « pourquoi ce mécanisme de protection ne s'active-t-il pas automatiquement ? » Bien que le scrubbing center soit très efficace pour filtrer le trafic réseau malveillant, certains services plus sensibles peuvent être affectés par ce processus. Pour cette raison, Belnet a choisi de prendre une décision consciente avant d'activer cette couche de protection supplémentaire.
Nous sommes sur le point d'activer le scrubbing center lorsque les pirates informatiques décident d'annuler l'attaque DDoS, qui n'a finalement pas donné les résultats escomptés. En fin de compte, les services de l'organisation ciblée sont restés disponibles pendant tout ce temps.
Course aux armements
Malheureusement, il n'existe pas de protection infaillible contre la cybercriminalité, et certainement pas contre les attaques DDoS. Chez Belnet, nous disposons de plusieurs niveaux de protection : une couche entièrement automatisée complétée par des mécanismes spécifiques qui peuvent être activés en cas de besoin. En outre, nous prenons constamment des mesures pour améliorer encore la qualité de notre service d'atténuation des attaques DDoS et pour accélérer davantage nos délais de réponse et d'escalade. Malgré celles-ci, la situation s'apparente à une course aux armements entre les pirates informatiques et les cibles. Notre objectif ? Repousser suffisamment les pirates informatiques pour qu'ils abandonnent le combat.
Pour répondre à notre question initiale, une protection anti-DDoS est effectivement utile. Sans protection, les services de la cible auraient été gravement perturbés, à la grande satisfaction des pirates informatiques qui auraient pu être prêts à payer encore plus pour poursuivre l'attaque pendant de nombreuses heures.
À propos de l'auteur
Jo Segaert a étudié les sciences industrielles à Gand et travaille depuis près de 8 ans en tant qu'ingénieur réseau chez Belnet. Son objectif ultime est d'automatiser entièrement son propre travail. Pour y parvenir, il sort parfois du domaine des télécommunications et se plonge dans l'ingénierie des données, l'analyse des données et la programmation. En dehors de Belnet, il a plus de centres d'intérêt que de temps. Parfois, il lit un livre sur la macroéconomie, parfois il se trouve à un festival de danse balfolk.