Attaque DDoS

Qu'est-ce qu'une attaque DDoS ?

Une attaque DDoS (Distributed Denial of Service) vise à rendre un serveur ou un service inaccessible en le submergeant de trafic malveillant. Contrairement à une attaque DoS simple (provenant d'une seule source), une DDoS coordonne des milliers voire des millions de machines compromises — formant ce qu'on appelle un botnet — pour amplifier massivement l'attaque.

Ces machines compromises sont souvent des ordinateurs personnels infectés par un malware, des serveurs mal sécurisés ou des objets connectés (IoT) vulnérables, dont les propriétaires ne savent même pas qu'ils participent à une attaque.

Les différents types d'attaques DDoS

Attaques volumétriques

L'objectif est de saturer la bande passante du serveur ou du réseau en envoyant un volume de données démesuré.

• UDP Flood — Envoi massif de paquets UDP vers des ports aléatoires
• ICMP Flood — Saturation par des pings (Ping of Death)
• Amplification DNS/NTP — Exploitation de serveurs mal configurés pour amplifier le trafic (facteur d'amplification ×50 à ×200)

Attaques protocolaires

Elles exploitent des failles dans les protocoles réseau pour consommer les ressources des équipements d'infrastructure.

• SYN Flood — Envoie des milliers de demandes de connexion TCP initiales sans jamais les compléter, épuisant les tables de connexion du serveur.
• Ping of Death — Envoi de paquets ICMP malformés de taille excessive

Attaques applicatives (Layer 7)

Les plus sophistiquées, elles ciblent la couche applicative (HTTP/HTTPS) et imitent un comportement d'utilisateur légitime.

• HTTP GET/POST Flood — Millions de requêtes HTTP apparemment légitimes
• Slowloris — Maintient des connexions HTTP ouvertes très lentement, épuisant les connexions disponibles du serveur
• ReDoS — Exploitation d'expressions régulières vulnérables pour consommer le CPU

Ampleurs et mesures

Les attaques DDoS se mesurent en Gbps (Gigabits par seconde) pour le volume ou en Mrps (Millions de requêtes par seconde) pour les attaques applicatives. Les plus grandes attaques enregistrées dépassent désormais les 5 Tbps.

En 2024, une attaque DDoS de couche applicative record de 201 millions de requêtes par seconde a été absorbée par Cloudflare.

Comment se protéger contre les DDoS

Filtrage réseau et upstream

La protection commence en amont, au niveau des fournisseurs de bande passante et de transit. Les hébergeurs sérieux disposent de capacités d'absorption DDoS (scrubbing centers) capables de filtrer le trafic malveillant avant qu'il atteigne les serveurs.

CDN et Anycast

Les grands CDN comme Cloudflare utilisent le routage Anycast pour distribuer le trafic d'attaque sur des dizaines de datacenters mondiaux, diluant ainsi l'impact. Une attaque de 1 Tbps répartie sur 200 PoP ne représente "que" 5 Gbps par site.

WAF (Web Application Firewall)

Pour les attaques de couche 7, un WAF comme ModSecurity ou Cloudflare WAF analyse les requêtes HTTP et bloque celles présentant des patterns malveillants (taux de requêtes anormaux, User-Agents suspects, etc.).

Rate limiting

Limitez le nombre de requêtes acceptées par IP ou par plage d'adresses sur une période donnée. Efficace contre les floods modérés.

Blackholing / Null routing

En dernier recours, si une IP est la cible d'une attaque massive, l'hébergeur peut "blackholer" l'IP (router tout le trafic vers nulle part) pour protéger le reste de l'infrastructure. Le site n'est plus accessible, mais les autres clients sont protégés.

Protection DDoS chez Gaprod

Les hébergements Gaprod bénéficient d'une protection DDoS au niveau réseau et infrastructure, intégrée aux datacenters où est située notre infrastructure (Iliad Paris, OVH Roubaix, OVH Gravelines). Cette protection absorbe les attaques volumétriques de bas niveau automatiquement.

Pour une protection applicative renforcée, nous recommandons d'activer Cloudflare (plan gratuit ou Pro) devant votre hébergement, qui ajoute une couche de filtrage WAF et de protection DDoS Layer 7.