CyberGlossary

Attaques et menaces

Attaque Smurf

Définition

Attaque DDoS par amplification ancienne qui envoie des ICMP echo à l'adresse de diffusion d'un réseau en usurpant l'IP de la victime, faisant répondre chaque hôte du réseau à la victime.

Dans une attaque Smurf, l'attaquant envoie des paquets ICMP echo-request (ping) à l'adresse de broadcast dirigée d'un ou plusieurs réseaux, en usurpant l'IP source par celle de la victime. Tous les hôtes de ces réseaux envoient alors une réponse echo à la victime, multipliant un faible flux d'attaque par le nombre de répondants. Smurf fut très efficace sur les topologies Internet des années 1990 où les broadcasts dirigés étaient activés. Les défenses sont simples mais devaient être déployées à grande échelle : désactiver le broadcast dirigé IP (no ip directed-broadcast chez Cisco et comportement par défaut de RFC 2644), appliquer le filtrage des adresses source en entrée (BCP 38) et limiter le taux ICMP en bordure. Avec les valeurs par défaut modernes, Smurf est largement historique, mais des abus similaires de diffusion/multicast émergent encore.

Exemples

  • Un attaquant usurpe l'IP de la victime et envoie un ping à l'adresse de broadcast de plusieurs réseaux /24 distants ; chaque réseau amplifie l'attaque.
  • Un pentest découvre un routeur interne autorisant encore les broadcasts dirigés, permettant une inondation interne de type Smurf.

Termes liés