{"id":619862,"date":"2023-02-22T09:02:50","date_gmt":"2023-02-22T11:02:50","guid":{"rendered":"https:\/\/teknomers.com\/fr\/gcore-contrecarre-une-attaque-ddos-massive-de-650-gbit-s-contre-un-client-gratuit\/"},"modified":"2023-02-22T09:02:52","modified_gmt":"2023-02-22T11:02:52","slug":"gcore-contrecarre-une-attaque-ddos-massive-de-650-gbit-s-contre-un-client-gratuit","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/gcore-contrecarre-une-attaque-ddos-massive-de-650-gbit-s-contre-un-client-gratuit\/","title":{"rendered":"Gcore contrecarre une attaque DDoS massive de 650 Gbit\/s contre un client gratuit"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>22 f\u00e9vrier 2023<\/span>\ue804<\/i>Les nouvelles des pirates<\/span><\/span>S\u00e9curit\u00e9 du serveur \/ Attaque DDoS<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

D\u00e9but janvier, Gcore a \u00e9t\u00e9 confront\u00e9 \u00e0 un incident impliquant plusieurs attaques DDoS L3\/L4 avec un volume maximal de 650 Gbps. Les attaquants ont exploit\u00e9 plus de 2000 serveurs appartenant \u00e0 l’un des trois principaux fournisseurs de cloud au monde et cibl\u00e9 un client qui utilisait un plan CDN gratuit. Cependant, en raison de la r\u00e9partition de l’infrastructure de Gcore et d’un grand nombre de partenaires de peering, les attaques ont \u00e9t\u00e9 att\u00e9nu\u00e9es et l’application Web du client est rest\u00e9e disponible.<\/p>\n

Pourquoi l’att\u00e9nuation de ces attaques \u00e9tait-elle si importante\u00a0?<\/strong><\/h2>\n

1. Ces attaques \u00e9taient importantes car elles d\u00e9passaient de 60 fois la bande passante moyenne d’attaques similaires.<\/b> Les attaques r\u00e9alis\u00e9es concernent des attaques volumiques visant \u00e0 saturer la bande passante de l’application attaqu\u00e9e afin de la faire d\u00e9border. Mesurer le volume total (bps) plut\u00f4t que le nombre de requ\u00eates est la fa\u00e7on dont ces attaques sont g\u00e9n\u00e9ralement tabul\u00e9es.<\/p>\n

La bande passante moyenne de ce type d’attaque est g\u00e9n\u00e9ralement de l’ordre de quelques dizaines de Gbps (environ 10 Gbps). Par cons\u00e9quent, les attaques sp\u00e9cifi\u00e9es (\u00e0 650 Gbps) ont d\u00e9pass\u00e9 la valeur moyenne de 60 fois. Les attaques de ce volume sont rares et int\u00e9ressent particuli\u00e8rement les experts en s\u00e9curit\u00e9.<\/p>\n

De plus, cette valeur (650 Gbps) est comparable \u00e0 l’attaque DDoS record sur le plus grand serveur Minecraft (2,4 Tbps), seulement un quart aussi massive.<\/p>\n

2. Le client attaqu\u00e9 utilisait un plan CDN sans suppl\u00e9ment Protection DDoS<\/a>. <\/b>Lorsque les clients utilisent le CDN de Gcore (dans le cadre du r\u00e9seau Edge), le trafic malveillant des attaques L3\/L4 n’affecte directement que son infrastructure (il sert de filtre), et non les serveurs des clients cibl\u00e9s. L’impact n\u00e9gatif se fait sentir sur la capacit\u00e9 et la connectivit\u00e9 de l’infrastructure Lorsqu’un CDN est suffisamment puissant, il peut prot\u00e9ger les clients contre les attaques L3\/L4, m\u00eame lorsqu’ils sont accessibles via un forfait gratuit.<\/p>\n

Quelles \u00e9taient les sp\u00e9cifications techniques des attaques ?<\/strong><\/h2>\n

La dur\u00e9e de l’incident a \u00e9t\u00e9 de 15 minutes, et \u00e0 son apog\u00e9e, il a atteint plus de 650 Gbps. Une raison possible pour laquelle l’incident a dur\u00e9 si longtemps est que les attaquants ont pes\u00e9 l’inefficacit\u00e9 des attaques (l’application client continuait de fonctionner) par rapport \u00e0 leur co\u00fbt \u00e9lev\u00e9.<\/p>\n

L’incident consistait en trois attaques avec des vecteurs diff\u00e9rents. Ils sont mat\u00e9rialis\u00e9s par des pics de trafic sur le sch\u00e9ma ci-dessous :<\/p>\n

\"Attaque<\/div>\n
    \n
  1. Attaque par inondation UDP (~ 650 Gbps).<\/strong> Des centaines de millions de paquets UDP ont \u00e9t\u00e9 envoy\u00e9s au serveur cible pour consommer la bande passante de l’application et provoquer son indisponibilit\u00e9. Les attaques de ce vecteur utilisent un manque d’exigences d’\u00e9tablissement de connexion UDP\u00a0: les attaquants peuvent envoyer des paquets avec n’importe quelles donn\u00e9es (cela augmente le volume) et utiliser des adresses IP usurp\u00e9es (cela rend difficile la recherche de l’exp\u00e9diteur).<\/li>\n
  2. Attaque d’inondation TCP ACK (~ 600 Gbps).<\/strong> Un grand nombre de paquets avec le drapeau ACK ont \u00e9t\u00e9 envoy\u00e9s au serveur cible pour le d\u00e9border. Les attaques de ce vecteur sont bas\u00e9es sur le fait que les paquets TCP ind\u00e9sirables n’incluent pas de charge utile, mais le serveur est oblig\u00e9 de les traiter, et il peut ne pas avoir suffisamment de ressources pour g\u00e9rer les demandes des utilisateurs finaux r\u00e9els. Le syst\u00e8me de protection d’un CDN est capable de filtrer les paquets et de ne pas les transmettre au serveur s’ils ne contiennent pas de charges utiles et ne sont pas li\u00e9s \u00e0 une session TCP ouverte.<\/li>\n
  3. Un m\u00e9lange de TCP et UDP (~600 Gbps).<\/strong> Une variante personnalis\u00e9e des deux types d’attaques pr\u00e9c\u00e9dents.<\/li>\n<\/ol>\n

    Le caract\u00e8re distinctif de l’incident \u00e9tait que les attaques ont \u00e9t\u00e9 effectu\u00e9es \u00e0 partir de plusieurs adresses IP non usurp\u00e9es. Cela a permis aux sp\u00e9cialistes d’identifier que les attaquants utilisaient 2 143 serveurs dans 44 r\u00e9gions diff\u00e9rentes, et que tous les serveurs appartenaient \u00e0 un seul fournisseur de cloud public. L’utilisation d’Anycast a permis \u00e0 Gcore d’absorber l’attaque \u00e0 100\u00a0% sur les connexions de peering avec ce fournisseur.<\/p>\n

    \"Attaque<\/div>\n

    Diagramme de Sankey montrant la source et le d\u00e9roulement de l’attaque. Les noms des emplacements de la premi\u00e8re colonne sont associ\u00e9s \u00e0 l’un des 3 principaux fournisseurs de cloud.<\/p>\n

    Pourquoi les attaques n’ont-elles pas affect\u00e9 le client\u00a0?<\/strong><\/h2>\n

    1. La connectivit\u00e9 de Gcore via le peering avec de nombreux emplacements a jou\u00e9 un r\u00f4le cl\u00e9 dans l’att\u00e9nuation des attaques.<\/b> Gcore compte plus de 11 000 partenaires d’appairage (FAI), et ces partenaires connectent leurs r\u00e9seaux \u00e0 l’aide de c\u00e2bles et se donnent mutuellement acc\u00e8s au trafic provenant de leurs r\u00e9seaux. Ces connexions permettent de contourner l’internet public et d’absorber directement le trafic des partenaires de peering. De plus, ce trafic est soit gratuit, soit beaucoup moins cher que le trafic sur l’internet public. Ce faible co\u00fbt permet de prot\u00e9ger le trafic client sur un forfait gratuit.<\/p>\n

    Dans le contexte de l’attaque DDoS qui s’est produite, le niveau de connectivit\u00e9 a grandement profit\u00e9 \u00e0 l’efficacit\u00e9 de l’att\u00e9nuation. Gcore et le fournisseur de cloud utilis\u00e9 pour lancer l’attaque sont des partenaires de peering, donc pendant que l’attaque se produisait, Gcore a pu ing\u00e9rer la majeure partie du trafic sur le r\u00e9seau priv\u00e9 du fournisseur de cloud. Cela a consid\u00e9rablement r\u00e9duit la quantit\u00e9 de trafic devant \u00eatre g\u00e9r\u00e9e par l’Internet public.<\/p>\n

    L’appairage priv\u00e9 permet \u00e9galement un filtrage plus pr\u00e9cis et une meilleure visibilit\u00e9 des attaques, ce qui conduit \u00e0 une att\u00e9nuation plus efficace des attaques.<\/p>\n

    2. La grande capacit\u00e9 de Gcore, due au placement de serveurs dans de nombreux centres de donn\u00e9es, a \u00e9galement jou\u00e9 un r\u00f4le.<\/b> Les serveurs Edge de Gcore sont pr\u00e9sents dans plus de 140 points de pr\u00e9sence et sont bas\u00e9s sur des processeurs Intel\u00ae Xeon\u00ae Scalable de 3e g\u00e9n\u00e9ration hautes performances.<\/p>\n

    La capacit\u00e9 globale du r\u00e9seau est sup\u00e9rieure \u00e0 110 Tbps. Avec plus de 500 serveurs situ\u00e9s dans des centres de donn\u00e9es dans le monde entier, l’entreprise est capable de r\u00e9sister \u00e0 des attaques DDoS \u00e0 grande \u00e9chelle. Ainsi, les 650 Gbps de trafic pourraient \u00eatre distribu\u00e9s sur le r\u00e9seau, et chaque serveur particulier ne recevrait que 1 \u00e0 2 Gbps, ce qui est une charge insignifiante.<\/p>\n

    Tendances de la s\u00e9curit\u00e9<\/strong><\/h2>\n

    Selon L’exp\u00e9rience de Gcore<\/a>, les attaques DDoS continueront de cro\u00eetre d’ann\u00e9e en ann\u00e9e. En 2021, les attaques ont atteint 300 Gbps, et en 2022, elles \u00e9taient pass\u00e9es \u00e0 700 Gbps. Par cons\u00e9quent, m\u00eame les petites et moyennes entreprises doivent utiliser des r\u00e9seaux de diffusion de contenu distribu\u00e9s tels que le CDN et le Cloud pour se prot\u00e9ger contre les attaques DDoS.<\/p>\n

    Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n