CyberGlossary

Attaques et menaces

Amplification DDoS

Aussi appelé: DDoS par réflexion, Attaque d'amplification

Définition

Technique DDoS qui exploite des services UDP pour réfléchir des réponses bien plus grandes que la requête usurpée, permettant à de petits attaquants de générer des flots massifs.

Les attaques DDoS par amplification (ou réflexion) exploitent des services Internet qui répondent à une petite requête UDP par une réponse bien plus volumineuse. L'attaquant envoie des requêtes en usurpant l'adresse IP de la victime comme source, de sorte que les réflecteurs envoient d'énormes réponses à la victime. Le facteur d'amplification — rapport entre la taille de la réponse et celle de la requête — peut aller de quelques fois (NTP MONLIST) à plusieurs dizaines (DNS ANY, SSDP) ou plusieurs milliers (memcached, ancien détenteur du record). Cela permet de générer des attaques de l'ordre du térabit avec une infrastructure modeste. La mitigation passe par la validation des adresses sources (BCP 38/RFC 2827), la désactivation ou la restriction des services abusables, le rate limiting côté réflecteur et des services de scrubbing capables d'absorber le trafic amplifié.

Exemples

  • Un attaquant usurpe l'IP de la victime et envoie des requêtes DNS ANY à des milliers de résolveurs ouverts, qui inondent la cible de grandes réponses.
  • Des serveurs memcached exposés sur Internet sont détournés pour livrer des attaques avec un facteur d'amplification supérieur à 50 000×.

Termes liés