Parmi l'éventail des attaques contre lesquelles un professionnel de la sécurité doit se protéger, les attaques de type DDoS sont assez particulières car elles ont comme caractéristique qu'il est peu aisé de tester le bon fonctionnement d'un mécanisme de réponse.
En effet, lors d'une attaque en DDoS, l'attaquant envoie de façon synchronisée un très grand nombre de paquets afin de surcharger les serveurs ou l'accès réseau de la cible. Outre la capacité de générer des attaques d'un débit suffisamment important (ce qui reste relativement faisable à des fin de test), il est particulièrement difficile de générer ce trafic de façon distribuée depuis plusieurs milliers de sources.
comment prévenir ces attaques ?
Lors de la mise en place de systèmes de mitigation d'attaques en DDoS, être capable de tester "in-vivo" le système peut être important, afin d'éviter toute déconvenue lorsqu'une attaque bien réelle surviendra.
Le service "Blitz Distributed Testing Service" permet de répondre à ce cahier des charges. Il est ainsi à priori possible d'acheter des "fenêtres de tir" pendant lesquelles on peut lancer des attaques en DDoS depuis 5 000 à 10 000 sources différentes (ce service devrait être utilisé par le gouvernement américain afin de tester le niveau de résistance des systèmes face à ce type de menace).
Ce type de service est une déclinaison commerciale "whitehat" ou "légale" de services managés qui existaient déjà au sein de la communauté du crime.
qu'est-il possible de dire de cette annonce ?
- Le développement d'un panel d'outil plus complet comme celui-ci indique que la problématique autour du DDoS va croissant et qu'un écosystème se développe autour.
- De meilleurs outils de test permettront de valider plus objectivement les offres de services et équipements de filtrage.
- Que le temps de la "pudibonderie" (!) autour du DDoS est révolu : il est vrai que des précurseurs comme SATAN et MetaSploit ont permis de ré-équilibrer la donne au niveau des outils disponibles pour les défenseurs.
Jean-François
Liens :
[1] - ComputerWorld, Parabon launches grid-based DDoS attack tests, May 4, 2009
[2] - Softpedia, Grid Computer Vendor Offers DDoS Testing, May 6, 2009
Au sein de la direction sécurité du Groupe Orange, je suis en charge de la veille sécurité et de la sensibilisation à la sécurité. Franchise, optimisme et bonne-humeur sont mes moteurs quotidiens