Nous sommes pris dans l'âge sombre de la cybersécurité où les attaques DDoS (Distributed Denial of Service) se déconnectent. Même les réseaux les mieux conçus et gérés sont désormais vulnérables aux attaques DDoS. Il semble que nous soyons dans une poursuite constante du chat et de la souris puisque nous sommes incapables de répondre efficacement au volume accru d'attaques DDoS.
La tendance des attaques DDoS est préoccupante. La BBC a d'abord été paralysée par une attaque de 602 Gbit/s, puis les attaques DDoS ont évolué jusqu'à atteindre 1.2 Tbit/s, notamment avec le lancement de Dyn . Les botnets Miria et Leet en sont les deux principaux responsables. Ces attaques ne sont pas près de disparaître et leur volume augmente chaque mois. L'infrastructure non sécurisée d'Internet, combinée à l'introduction de millions d'objets connectés (IoT) non sécurisés, crée un terrain propice aux attaques à l'échelle du téraoctet.
La gravité de ce qui nous attend sera assurément d'une ampleur colossale, bien supérieure à ce que nous avons déjà connu. Nous n'avons pas été en mesure de faire face à une telle situation et les mécanismes de solution actuels seront largement insuffisants.
De quoi avons nous besoin?
Il nous faut une solution pleinement intégrée, qui ne se limite pas à la détection et à l'atténuation des problèmes. La dernière pièce du puzzle est le dépannage de bout en bout . La collaboration d'équipe est tout aussi importante que les algorithmes d'apprentissage automatique sophistiqués utilisés pour la détection avancée des anomalies.
L'ensemble du processus de cartographie d'un réseau et de résolution des attaques DDoS doit être piloté par une interface de programmation d'application (API), tant pour la détection que pour l'atténuation, afin de constituer une solution complète. C'est le seul moyen de lutter efficacement contre les attaques DDoS.
Qu'est-ce qu'un DDoS ?
Les saveurs de DDoS se présentent sous de nombreux déguisements différents, certains opèrent plus bas dans la pile tandis que d'autres plus haut à la couche 7. La plupart des nouveaux styles d'attaques DDoS fonctionnent en parallèle avec une combinaison d'attaques à différentes couches du modèle OSI.
Plus que souvent, ils ne sont jamais à sens unique et agissent simplement comme de la fumée en brassant une attaque par porte dérobée plus dangereuse. Un exemple d'une telle attaque pourrait être une attaque volumétrique lourde déroutant davantage les équipes d'exploitation, remplissant les tuyaux tandis qu'un protocole de transfert hypertexte (HTTP) plus lent et plus meurtrier. l'attaque fait tous les dégâts en arrière-plan.
Quel que soit le type d'attaque DDoS, leur objectif reste le même : mettre hors service le service ciblé afin qu'il ne puisse plus répondre aux connexions légitimes. Les attaques sont toujours détectables ; même les tâches initiales des botnets effectuant l'analyse peuvent signaler leur présence dans le système.
BotNets
Un BotNet (également connu sous le nom d'armée de zombies) est un certain nombre d'appareils connectés à Internet compromis utilisés pour lancer une attaque DDoS destructrice. Sans le savoir, les machines compromises sont regroupées pour former une grande structure d'attaque DDoS. Le botnet Mirai se compose de milliers d'appareils IoT (Internet des objets) non sécurisés tels que des routeurs mal sécurisés et des caméras IP qui atteignent des méga volumes.
Les botnets sont incapables d'agir seuls et doivent se connecter à un serveur de commande via des canaux cachés pour le contrôler et obtenir une liste d'actions. Les clients infectés se connectent au serveur pour recevoir des commandes telles que HOLD, TCP, UDP ou JUNK et utilisent un générateur de charge utile qui alterne entre ces commandes, ce qui rend la détection difficile. Récemment, un nouveau botnet Mirai a lancé une attaque applicative contre un serveur non surveillé d'une université américaine. Le trafic moyen était de 30 000 requêtes par seconde (RPS), avec un pic à 37 000 RPS.
Qui amplifie les attaques DDoS ?
Qui est derrière ces attaques et pourquoi le font-ils ? Il y a deux objectifs principaux - l'un concerne les croyances politiques ou idéologiques connues sous le nom de hacktivisme, vandalisme ou cyberguerre. L'autre est purement motivé par des raisons financières connues sous le nom de DDoS-for-hire, Extorsion and Ransom.
Carte numérique DDoS
La carte numérique des attaques DDoS affiche en temps réel les attaques en cours. Les attaques sont colorées selon leur type : connexion TCP, volumétrique, fragmentation et volumétrique. Elle indique également les pays les plus touchés, en fonction de la source et de la destination, par des lignes pointillées.
Causes primaires ?
Une bataille perdue d'avance ?
Si nous regardons attentivement, nous trouverons des nids-de-poule dans la sécurité partout. Les problèmes résident dans les fondements du réseau et dans la manière dont il est sécurisé. L'Internet est basé sur l'accessibilité globale et les protocoles qui construisent sa structure ont été initialement conçus sans souci de sécurité.
L'accessibilité globale signifie avoir autorité sur l'adresse IP d'une personne située dans un endroit éloigné. C'est la base de la communication et malheureusement, si vous avez l'adresse IP de quelqu'un, vous pouvez également diriger une attaque contre son système. Cela place les surfaces d'attaque sur une très grande plate-forme mondiale où n'importe qui peut planifier une attaque si on le souhaite.
Les mécanismes de sécurité ajoutés par la suite n'agissent que comme des brouilleurs sur le réseau, augmentant ainsi la complexité. IPsec est une armée suisse chargée de fonctionnalités qui viennent avec beaucoup de bagages qui pourraient être abstraits.
Comment s'en sort-on ?
Alors, quels sont les changements qui peuvent être apportés à la fois au réseau et à la sécurité pour soulager la douleur de ces pannes ? Eh bien, il existe de nombreux nouveaux mécanismes intéressants dans le domaine de la détection et de l'atténuation des attaques DDoS qui peuvent combler le vide. Vérifions quelques mécanismes qui ont été imaginés pour limiter les attaques.
Avancement dans l'atténuation des attaques DDoS
Sur le front de l'atténuation, de nouveaux concepts tels que la désagrégation de la sécurité introduisent de nouvelles techniques pour supprimer l'état des dispositifs d'atténuation. La suppression de l'état permet une protection adéquate pour cette échelle et au-delà. Le fait d'avoir un état dans une appliance de dispositif d'atténuation dégrade les performances à un niveau où il est incapable de protéger.
Avoir un état n'importe où dans le réseau inhibe les performances, mais surtout l'avoir dans une appliance qui n'en a pas besoin pour transférer des paquets, n'a aucun sens. La désagrégation de la sécurité déplace l'état à l'extérieur de l'appliance vers le transfert réel.
Avancée dans la détection DDoS
En matière de détection, les techniques d'apprentissage automatique avancées contribuent à une détection rapide. Les systèmes de détection d'anomalies actuels présentent des limites et sont incapables de détecter les nouveaux types d'attaques. Des techniques d'apprentissage automatique telles que Navies, Bayes, C4.5, SVM, KNN, K-means et Fuzzing offrent une approche avancée pour la détection des attaques. Ces évolutions seront-elles suffisantes ?
Le besoin d'un dépannage efficace
Tous ces nouveaux mécanismes sont intéressants mais inutiles si vous ne parvenez pas à dépanner efficacement le problème à temps. Le dépannage n'est pas qu'une opération technique ; il s'agit d'une ressource à l'échelle de l'entreprise combinant de nombreuses équipes dans un processus rationalisé.
La solution de détection la plus avancée peut signaler un événement en quelques secondes, mais si le dépannage prend quelques heures, vous pourriez aussi bien ne pas avoir de système de détection. De même, dans le cas d'une solution d'atténuation performante, si vous ne pouvez pas dépanner, cela ne sert à rien d'avoir toute la puissance de votre réseau.
Les progrès réalisés en matière de détection et d'atténuation des attaques DDoS sont essentiels, mais nous devons également abandonner les approches manuelles de cartographie et de dépannage du réseau afin d'éviter de compromettre l'ensemble de la solution DDoS.
Mot de la fin
Nous perdons la bataille DDoS et nous continuerons à perdre à moins que nous ne liions tous les composants ensemble. Une solution complète doit aborder la sécurité sous tous les angles. Ce n'est pas seulement du point de vue de l'appliance d'atténuation ou de détection, mais également du processus de dépannage de l'entreprise qui est nécessaire pour arrêter efficacement une attaque DDoS.