CyberGlossary

Attaques et menaces

Attaque par amplification NTP

Définition

Attaque DDoS par réflexion exploitant la commande MONLIST (et similaires) de NTP pour faire répondre les serveurs avec de très gros paquets à une adresse de victime usurpée.

L'amplification NTP exploite des serveurs Network Time Protocol mal configurés qui répondent à des requêtes de contrôle — historiquement la commande MONLIST dans ntpd antérieur à 4.2.7 — par jusqu'à 600 entrées sur les clients récents. En envoyant de petites requêtes MONLIST en usurpant l'IP source par celle de la victime, l'attaquant obtient des paquets de réponse environ 200 à 500 fois plus volumineux, qui sont réfléchis vers la victime. Cette technique a alimenté certaines des plus grandes attaques DDoS d'avant 2016. Les défenses incluent la mise à jour de ntpd, la restriction de MONLIST et autres commandes ("noquery"/"limited" dans ntp.conf), la validation des adresses sources (BCP 38), le rate limiting des réponses NTP et le recours au scrubbing DDoS. Bien que connue, des serveurs NTP vulnérables sont encore exposés.

Exemples

  • Un attaquant envoie une petite requête MONLIST en usurpant l'IP de la victime ; le serveur répond avec plusieurs kilo-octets de données de monitoring dirigées vers la victime.
  • Des centaines de serveurs NTP publics sont utilisés en parallèle pour diriger plusieurs centaines de gigabits de trafic réfléchi vers une cible.

Termes liés