Le Déni de Service (DoS)

Background

Le "Denial-of-service" ou déni de service est une attaque très évoluée visant à rendre muette une machine en la submergeant de traffic inutile. Il peut y avoir plusieurs machines à l'origine de cette attaque (c'est alors une attaque distribuée, voir fiche DDoS) qui vise à anéantir des serveurs, des sous-réseaux, etc. D'autre part, elle reste très difficile à contrer ou à éviter.


Définition

D'une manière générale, on parle de déni de service quand une personne ou une organisation est privée d'un service utilisant des ressources qu'elle est en droit d'avoir en temps normal. On trouvera par exemple des dénis de service touchant le service de courrier électronique, d'accès à Internet, de ressources partagées (pages Web), ou tout autre service à caractère commercial comme Yahoo! ou EBay.
Quoiqu'il en soit, le déni de service est un type d'attaque qui coûte très cher puisqu'il interrompt le cours normal des transactions pour une entreprise; les sommes et les enjeux sont énormes et cela ne peut aller qu'en s'agravant tant que des parades réellement efficaces n'auront pas été trouvées.


Types d'attaques

Il existe de nombreuses façons pour faire planter une machine; en fait, on peut s'appuyer sur presque toutes les attaques existantes (voir sur la page d'accueil de SecuriteInfo) car en faisant planter la machine cela résultera inévitablement en un déni de service sur cette machine. La différence se situe au niveau des intentions du hacker, c'est-à-dire savoir si le déni de service est intentionnel ou s'il n'est que la résultante d'une attaque plus aggressive visant à détruire une machine. Il ne faut plus aujourd'hui négliger cet aspect intentionnel, au vu des sommes qui entrent en jeu.

Parmi les attaques propres à créer un déni de service, nous pouvons rappeler entre autres :

* les buffers overflows (mails, ping of Death...)
* l'attaque SYN
* l'attaque Teardrop
* l'attaque SMURF
* les virus
* ...




Contre-mesures

Les contre-mesures sont très compliquées à mettre en place et très ciblées vis-à-vis du type de déni de service envisagé. En effet, d'un point de théorique, la plupart des attaques visant à créer des dénis de service sont basées sur des services ou protocoles normaux sur Internet. S'en protéger reviendrait à couper les voies de communications normales avec Internet, alors que c'est bien là la raison d'être principale des machines concernées (serveurs web, etc...). Il reste tout de même la possibilité de se protéger contre certains comportement anormaux (voir les attaques précédentes) comme une tentative de flooding, un trop grand nombre de paquets ou de requêtes de connexion provenant d'un petit nombre de machines. Mais cela implique beaucoup de choses en fait : il faut monitorer le traffic (ce qui est loin d'être simple, du fait de la quantité de données qui transitent), établir des profils types de comportement et des écarts tolérables au-delà desquels on considérera que l'on a affaire à une attaque; il faut également définir les types d'attaques auxquelles on souhaite se protéger (analyses de risques à l'appui) car il est impossible de toutes les prévoir. On est donc loin de la protection absolue; il s'agit de metter en place une protection intelligente et flexible.


C'est ce que l'on retrouve à l'heure actuelle dans la plupart des systèmes de protection contre les dénis de service. Ainsi Cisco propose des produits incluant à différents niveaux des services spécifiques :

* test de la taille des paquets
* test des adresses source et destination (ainsi que loop-back, unicast, multicast...)
* test de la fragmentation
* utilisation d'adresses IP virtuelles pour validation de sessions et ACK (contre attaques TCP)
* test du nombre de SYN (contre attaques TCP)
* NAT d'adresses locales vers IP virtuelles basées sur IP globales
* contrôles de flux
* contrôles de contenus (port, tag, url, extensions de fichiers)
* autres fonctions de firewall, le tout basé sur du load-balancing et de la redondance.


Comme on peut le remarquer, l'accent est mis sur la sécurité du système de protection en lui-même pour qu'il puisse faire face à des situations extrêmes (traffic énorme, etc...) D'autre part, il reste que la plupart des contre-mesures visent à protéger contre un type d'attaque particulier. L'efficacité d'un tel système se révèlera par sa capacité à détecter et prévenir de nouveaux types d'attaques.

Source :http://www.securiteinfo.com/