Arbor Networks Inc., la division sécurité de NETSCOUT (NASDAQ : NTCT) commémore aujourd’hui 20 années d’attaques DDoS ciblant la disponibilité des réseaux des fournisseurs d’accès Internet (FAI).
En septembre 1996, le premier FAI de New York, Panix, a été frappé par une attaque par déni de service de type SYN flood qui a coupé son réseau pendant plusieurs jours. A l’heure où seuls 20 millions d’Américains avaient accès à Internet, il s’agissait de l’un des premiers exemples médiatisés de l’importance croissante de la disponibilité des réseaux et des services, démontrant également la fragilité de l’infrastructure d’Internet à l’époque. Un avis du CERT de Carnegie Melon estimait alors : « Il n’existe, à ce jour, aucune solution généralement admise à ce problème avec la technologie actuelle du protocole IP. » L’article du New York Times relatant l’incident citait un expert du secteur en ces termes : « En principe, la plupart des attaques par déni de service que nous observons n’ont pas de solution. Le problème en général est fondamentalement insoluble. La question demeure donc ouverte. »
Les prémices de la défense anti-DDoS
C’est dans ce contexte qu’a pris naissance, à l’Université du Michigan, un projet de recherche visant à résoudre ce problème. La DARPA (Defense Advanced Research Projects Agency) a reconnu l’importance de ces travaux, leur octroyant une bourse pour en financer la poursuite. Ces recherches ont depuis été saluées comme faisant partie des cinq technologies les plus marquantes auxquelles l’agence a contribué. Au cours des 16 dernières années, Arbor Networks a collaboré avec les principaux opérateurs, les entreprises et gouvernements mondiaux à la protection contre les attaques DDoS. La société a ainsi assisté aux premières loges à l’avènement du cloud et de la mobilité d’entreprise, à l’évolution des réseaux mondiaux ainsi qu’aux attaques dont ils sont la cible. Rétrospectivement, beaucoup de choses ont changé et bon nombre d’entre elles dépendent aujourd’hui de la disponibilité des réseaux.
« La disponibilité des accès à internet est vitale pour notre monde connecté, elle représente un enjeu croissant pour les opérateurs réseau et pour ceux qui s’attaquent à eux. Nous sommes passés d’une époque , il y a 20 ans, où n’existait aucune solution, à la période actuelle qui nécessite des solutions anti-DDoS conçues sur mesure face à l’ampleur et à la complexité des attaques modernes », commente Eric Jackson, vice-président produits d’Arbor Networks.
Les attaques DDoS ont évolué… et vous ?
En dépit de 20 ans de médiatisation, de nombreuses entreprises n’investissent pas encore assez dans ce domaine et sont mal préparées pour faire face aux attaques DDoS modernes. Nombre d’entre elles pensent à tort qu’elles ne sont pas ciblées et attribuent en fait certaines pannes, causées par ce type d’attaques, à des défaillances matérielles ou des erreurs humaines, faute d’une visibilité et d’une défense suffisantes contre le phénomène DDoS. D’autres s’en remettent aux équipements de leur infrastructure existante, tels que les firewalls et les systèmes de prévention d’intrusion (IPS), ou encore à un unique niveau de protection chez leur opérateur Internet ou CDN. Dans un cas comme dans l’autre, ces entreprises sont vulnérables et ne sont que partiellement protégées. En effet, les firewalls et les IPS sont des équipements « stateful », souvent visés par les attaques DDoS, tandis qu’une protection limitée au cloud ou au CDN n’est pas adaptée aux applications critiques des entreprises.
o Ampleur : les attaques qui ciblaient les FAI vers la fin des années 1990 étaient minuscules en comparaison des assauts massifs observés aujourd’hui. C’est ainsi que le mois dernier, Arbor Cloud a neutralisé une attaque à 600 Gbit/s, la plus intense que nous ayons jamais enregistrée. L’ampleur moyenne des attaques devrait atteindre 1,15 Gbit/s d’ici la fin de 2016, soit un niveau suffisant pour paralyser la connexion de la plupart des entreprises.
o Fréquence : à l’ère de l’hacktivisme, des outils gratuits et des services à louer, le risque d’être victime d’une attaque DDoS n’a jamais été aussi grand. Le nombre de ces attaques a ainsi été multiplié par 2,5 ces trois dernières années.
o Complexité : les attaques DDoS ne sont plus simplement de type SYN flood mais sont désormais des assauts multivecteurs extrêmement complexes, visant simultanément la bande passante d’une connexion, les applications, les infrastructures (firewalls, IPS) et les services.
La meilleure pratique de défense est hybride
Selon IHS Infonetics Research, « Pour les clients, les avantages des solutions hybrides sont clairs : la neutralisation sur site (récemment devenue bien plus accessible, y compris pour les entreprises lambda) leur permet de faire face au flux constant d’attaques volumétriques dans les plages réduites de bande passante (10G au maximum) pour un coût forfaitaire. Les solutions hybrides offrent également une protection contre les attaques non volumétriques ou non saturantes (à l’image de nombreuses attaques applicatives). Les solutions sur site peuvent quant à elles s’intégrer dans le reste de l’infrastructure de sécurité de l’entreprise afin d’assurer une couverture continue des attaques et de renseigner sur celles combinant des vecteurs multiples pour former un assaut DDoS de plus grande ampleur. » – Enquête auprès des entreprises nord-américaines sur les stratégies de neutralisation DDoS et les leaders du marché
