Qu'est-ce qu'une attaque DDoS et comment protéger un site web contre elle ?
Une attaque DDoS (Distributed Denial of Service, ou déni de service distribué) cherche à mettre un site web hors ligne en le submergeant de bien plus de trafic qu'il ne peut en traiter, envoyé simultanément depuis de nombreuses machines, jusqu'à ce que les vrais visiteurs ne puissent plus passer. S'en protéger consiste à filtrer ce trafic malveillant avant qu'il n'atteigne votre serveur, à l'aide d'une couche de mitigation placée devant le site qui absorbe ou bloque l'attaque. L'objectif concret est simple : garder le site accessible aux vrais utilisateurs, même pendant une attaque.
Qu'est-ce qu'une attaque DDoS ?
Une attaque par déni de service vise à rendre un site web ou un service indisponible. Une attaque par déni de service distribué fait la même chose depuis de nombreuses sources à la fois, souvent des milliers d'appareils compromis agissant ensemble comme un botnet, ce qui la rend bien plus difficile à arrêter en bloquant simplement une seule adresse. Le trafic est conçu pour épuiser une ressource limitée : les connexions du serveur, sa capacité de traitement, ou la bande passante du réseau sur lequel il fonctionne.
La différence essentielle avec un pic de trafic normal tient à l'intention et au schéma. Une journée de fortes ventes vous amène davantage de vrais visiteurs, tandis qu'une attaque DDoS vous envoie un trafic dont le seul but est de consommer des ressources et d'évincer les vrais visiteurs. Selon les rapports de Cloudflare sur les menaces DDoS, le volume des attaques a fortement augmenté d'année en année, et les plus grandes attaques enregistrées se mesurent désormais en térabits par seconde, bien au-delà de ce qu'un seul serveur non protégé peut absorber.
Comment fonctionne réellement une attaque DDoS ?
La plupart des attaques se répartissent en trois grandes catégories, et il est utile de savoir laquelle est laquelle, car elles se défendent différemment.
Les attaques volumétriques relèvent de la force brute : elles saturent votre bande passante disponible par le pur volume, comme un flood UDP, de sorte que rien d'autre ne passe. Les attaques protocolaires visent la manière dont les connexions s'établissent et épuisent les ressources du serveur ou du pare-feu avec, par exemple, des SYN floods qui ouvrent des connexions sans jamais les terminer. Les attaques applicatives sont les plus discrètes et souvent les plus difficiles à repérer : elles imitent un comportement d'utilisateur réel et envoient des requêtes d'apparence légitime, mais visant les parties les plus coûteuses de votre site, comme une fonction de recherche ou de connexion, jusqu'à ce que l'application cède.
Ce que les trois ont en commun, c'est qu'elles surchargent une ressource. La défense est dans tous les cas la même : identifier et supprimer le trafic malveillant avant qu'il n'atteigne la ressource ciblée.
Combien une attaque DDoS coûte-t-elle à une entreprise ?
Le coût évident est l'interruption : tant que le site est inaccessible, les visiteurs ne peuvent ni réserver, ni acheter, ni vous contacter, et pour un site de santé ou de clinique, cela peut signifier que des patients ne peuvent pas accéder aux informations de soins ou aux formulaires de rendez-vous. Les estimations du secteur situent souvent le coût d'une interruption web imprévue à plusieurs milliers d'euros par heure pour une entreprise réalisant des transactions, même si le chiffre réel dépend entièrement de ce que votre site fait pour vous.
Les coûts moins visibles comptent aussi. Il y a l'atteinte à la réputation d'un site visiblement en panne, le temps du personnel mobilisé à gérer l'urgence, et dans certains cas une attaque DDoS utilisée comme écran de fumée pour détourner l'attention d'une seconde tentative d'intrusion. Pour une organisation réglementée ou orientée patients, une interruption soulève en outre des questions de disponibilité et de continuité qui vont au-delà du chiffre d'affaires perdu.
Comment la mitigation DDoS maintient-elle un site en ligne ?
Une mitigation efficace place une couche de filtrage entre Internet et votre serveur, de sorte que le trafic est inspecté avant même de vous atteindre. Les visiteurs légitimes passent, tandis que le trafic correspondant à des schémas d'attaque est absorbé ou rejeté en périphérie, réparti sur une infrastructure dotée d'une capacité bien supérieure à celle d'un seul serveur d'origine.
Cela fonctionne mieux comme une couche toujours active plutôt que comme quelque chose que l'on active en pleine attaque, car les premières minutes d'une attaque sont celles où les dégâts se produisent. Un service de mitigation voit le trafic en premier, reconnaît les signatures des types d'attaques évoqués plus haut, et monte en charge pour absorber un volume qui submergerait votre propre matériel. Chez EuroraCloud, la mitigation DDoS s'exécute depuis notre infrastructure décentralisée aux Pays-Bas, en France et en Allemagne, ce qui maintient le trafic au sein de l'Europe pour des raisons de souveraineté des données et de latence, tout en offrant la capacité d'absorber de grandes attaques.
Que devez-vous faire ensuite ?
Commencez par savoir si vous disposez actuellement d'une couche de mitigation, car de nombreux sites ne sont protégés que par les réglages par défaut de leur hébergeur, souvent minces. Si une attaque aujourd'hui mettait votre site hors ligne, c'est là la faille à combler, que vous ayez déjà été touché ou non, car tout l'intérêt de la mitigation est qu'elle soit déjà en place lorsqu'une attaque commence.
Si vous souhaitez voir où en est votre propre site, EuroraCloud peut examiner votre configuration actuelle et vous montrer ce que notre mitigation résout. Découvrez ce qu'EuroraCloud résout
Conclusion : que faut-il retenir sur la protection DDoS ?
Une attaque DDoS n'a rien besoin de forcer pour vous nuire. Elle rend simplement votre site inaccessible, et pour une entreprise qui dépend de son site web pour informer, réserver ou vendre, une heure hors ligne est un coût bien réel. Les trois types d'attaques fonctionnent différemment, mais la réponse aux trois est la même : une couche de mitigation devant votre site qui filtre le trafic malveillant avant qu'il n'arrive. La chose la plus utile à faire est de vérifier si cette couche est déjà en place aujourd'hui, car la mitigation ne vous protège que si elle fonctionne avant le début d'une attaque, pas après.