En octobre 2016, le fournisseur de services DNS Dyn a été frappé par une attaque de type DDoS (Distributed Denial of Service) par une armée d'appareils IoT spécialement piratés à cet effet. Plus de 14 000 domaines utilisant les services de Dyn ont été saturés et sont devenus inaccessibles, notamment de grands noms tels qu'Amazon, HBO et PayPal.
Selon une étude menée par Cloudflare, le coût moyen des défaillances d’infrastructure pour les entreprises est de 100 000 USD (75 000 £) l'heure. Comment alors pouvez-vous vous assurer que votre organisation ne sera pas victime de ce type d'attaque? Dans ce guide, vous découvrirez les principaux fournisseurs d’infrastructure disposant de la puissance numérique nécessaire pour se protéger contre les attaques conçues pour saturer la capacité de votre réseau.
Vous découvrirez également quels fournisseurs peuvent offrir une protection contre les attaques d'applications plus sophistiquées (couche 7), qui peut être réalisée sans un grand nombre d'ordinateurs piratés (parfois appelés botnet).
Sommaire
1. Bouclier de projet
Protection puissante contre les attaques DDoS de Google, mais tous ne sont pas invités
Exploite l'infrastructure de Google
Configuration très facile
Disponible uniquement pour certains sites Web
Project Shield est capable de filtrer le trafic malveillant potentiel en agissant en tant que proxy inverse se trouvant entre un site Web et Internet au sens large, filtrant les demandes de connexion. Si une connexion semble provenir d'un visiteur légitime, Project Shield autorise la demande de connexion. Si une demande de connexion est jugée mauvaise, par ex. plusieurs tentatives de connexion à partir de la même adresse IP, celle-ci est bloquée. Ce système rend Project Shield extrêmement facile à mettre en œuvre en modifiant simplement les paramètres DNS de vos serveurs.
Tous les utilisateurs avertis en lecture peuvent se demander comment le filtrage du trafic via un proxy fonctionnera avec SSL. Heureusement, Jigsaw a pensé à cela et a mis en place un tutoriel complet pour s'assurer que les connexions sécurisées vers votre site fonctionnent de manière transparente. Plusieurs autres tutoriels sont également disponibles dans la section support.
Actuellement, Project Shield est uniquement disponible pour les sites Web des médias, de surveillance électorale et des droits de l'homme. L’accent est également mis sur les petits sites Web sous-financés qui ne peuvent pas se permettre des solutions d’hébergement coûteuses pour se protéger des attaques DDoS. Si votre organisation ne répond pas à ces exigences, vous devrez peut-être envisager une autre solution, telle que Cloudflare.
2. Cloudflare
Le mastodonte de la protection DDoS
Leader de l'industrie dans les solutions DoS
Le niveau gratuit inclut une protection de base
Les forfaits affaires sont relativement coûteux
Quiconque a utilisé Internet au cours des dernières années sera familiarisé avec Cloudflare comme de nombreux sites Web utilisent sa protection. Bien que Cloudflare soit basé aux États-Unis, il gère plus de 180 centres de données dans le monde entier: une infrastructure comparable à celle de Google. Cela maximise les chances de vos sites de rester en ligne.
Chaque utilisateur de Cloudflare peut choisir d'activer le mode «Je suis attaqué», qui peut protéger contre les attaques de déni de service les plus sophistiquées en présentant un défi Javascript. De manière routinière, Cloudflare agit également comme un proxy inverse entre les visiteurs et l’hôte de votre site pour filtrer le trafic de la même manière que Project Shield de Jigsaw. En mars 2019, Cloudflare a introduit Spectrum for UDP, qui fournit une protection contre les attaques DDoS et un pare-feu pour les protocoles peu fiables.
Les visiteurs qui font des demandes de connexion doivent exécuter un gant de filtres sophistiqués, notamment la réputation du site, si leur IP est sur liste noire et si l'en-tête HTTP semble suspect. Les requêtes HTTP sont empreintes de doigt pour se protéger contre les réseaux de zombies connus. En tant que géant de l'industrie, Cloudflare peut facilement tirer parti de sa position en partageant des informations sur plus de 7 millions de sites Web.
Cloudflare propose un package de base gratuit qui inclut une limitation des attaques DDoS sans mesure. Pour ceux qui sont disposés à payer pour un abonnement professionnel Cloudflare (les prix commencent à 200 $ ou 149 £ par mois), une protection plus avancée est disponible, telle que le téléchargement de certificats SSL personnalisés.
3. Bouclier AWS
Excellente atténuation de base des attaques DDoS avec plus encore
Le niveau libre standard protège contre les attaques les plus courantes
Installation facile
Niveau avancé est très cher
Cela devrait dissuader tous les pirates, sauf les plus déterminés. Cependant, votre bande passante, par exemple 15 Gbp / s seront toujours limités par la taille de votre instance Amazon, ce qui permettra aux pirates informatiques de mener une attaque de type DoS s'ils disposent de suffisamment de ressources. Pire encore, vous restez responsable du paiement du trafic supplémentaire vers votre instance.
Pour atténuer cela, Amazon propose également AWS Shield Advanced. Un abonnement inclut une protection des coûts contre les attaques DDoS, ce qui peut vous éviter une forte hausse de votre facture d'utilisation mensuelle si vous êtes victime d'une attaque. AWS Shield Advanced peut également déployer vos listes de contrôle d'accès (ACL) à la frontière du réseau AWS, vous offrant ainsi une protection contre les attaques les plus importantes.
Les abonnés avancés bénéficient également d'un DRT (équipe de réponse DDoS) 24 heures sur 24 ainsi que de mesures détaillées de toutes les attaques sur vos instances. L’esprit offert par AWS Shield Advanced est toutefois coûteux. Vous devez être prêt à souscrire pour un minimum d'un an au prix de 3 000 $ (2 200 £) par mois. Cela s'ajoute aux coûts d'utilisation du transfert de données que vous pouvez couvrir sur une base de «paiement au fur et à mesure».
4. Microsoft Azure
Excellente protection de base avec un niveau abordable et payé
La protection standard est extrêmement facile à configurer
Atténuation automatisée des menaces
Protection DDoS en couverture pour toutes les ressources
Comme Amazon, Microsoft offre la possibilité de louer des espaces de service via leur service. Bleu azur. Tous les membres bénéficient d'une protection de base contre les attaques DDoS. Les fonctionnalités incluent toujours la surveillance du trafic et l'atténuation en temps réel des attaques de réseau (couche 3) pour toutes les adresses IP publiques que vous utilisez. Il s’agit du même type de protection que les services en ligne de Microsoft et toutes les ressources du réseau Azure peuvent être utilisées pour absorber les attaques DDoS.
Pour les entreprises ayant besoin d'une protection plus sophistiquée, Azure propose également un niveau «Standard». Cela a été largement salué pour être très facile à activer, ne nécessitant que quelques clics de souris. Plus important encore, Azure ne vous oblige pas à modifier vos applications, bien que le niveau standard offre une protection contre les attaques DDoS par les applications (couche 7) via le pare-feu des applications Web de la passerelle des applications. Le moniteur Azure peut vous montrer des statistiques en temps réel si une attaque a lieu. Celles-ci sont conservées pendant 30 jours et peuvent être exportées pour un complément d'étude si vous le souhaitez.
Azure vérifie en permanence le trafic Web sur vos ressources. Si ceux-ci dépassent un seuil prédéfini, l'atténuation des attaques DDoS est automatiquement lancée. Cela inclut l’inspection des paquets pour s’assurer qu’ils ne sont pas mal formés ou usurpés, ainsi que l’utilisation de la limitation de débit.
La protection standard est actuellement de 2 944 USD (2 204 £) par mois, plus des frais de transmission de données pour un maximum de 100 ressources. La protection s'applique également à toutes les ressources. En d'autres termes, vous ne pouvez pas personnaliser les mesures d'atténuation des attaques DDoS.
5. Verisign DDoS Protection
La meilleure protection contre les attaques DDoS des vétérans de la sécurité
Facile à installer via DNS
Centres de lavage dédiés à la protection contre les attaques
Peut être déployé sur place
L'interface prend du temps à maîtriser
Mise à jour: les services de sécurité de Verisign sont transférés vers Neustar, mais les caractéristiques et fonctionnalités mentionnées dans cet examen sont restées relativement les mêmes.
Verisign est presque aussi vieux que l'Internet lui-même. Depuis 1995, elle est passée d’une simple autorité de certification à un acteur majeur du secteur des services réseau.
La protection DDoS de Verisign fonctionne dans le cloud. Les utilisateurs peuvent choisir de rediriger les tentatives de connexion en modifiant simplement leurs paramètres DNS (Domain Name Server). Le trafic est envoyé à Verisign pour vérification afin d’empêcher les attaques du réseau. Verisign analyse soigneusement tout le trafic avant de le rediriger.
Étant donné que Verisign exploite deux des 13 serveurs de noms de routes mondiaux, il n’est donc pas surprenant que l’organisation gère également plusieurs "centres de nettoyage" DDoS dédiés. Ceux-ci analysent le trafic et filtrent les demandes de connexion incorrectes. L'infrastructure combinée atteint presque 2 To / s et peut bloquer les attaques DDoS les plus accablantes.
Ceci est en grande partie réalisé via Athena, la plate-forme d'atténuation des menaces de Verisign. Athena est largement divisée en trois éléments. Le «bouclier» filtre les attaques de réseau (couche 3) et de transport (couche 4) via DPI (inspection approfondie de paquets), les listes noires et les listes blanches et la gestion de la réputation de site. Le «proxy» Athena inspecte les en-têtes HTTP à la recherche de mauvais trafic lors des tentatives de connexion initiales. Le "proxy" et le "bouclier" sont pris en charge par "l'équilibreur de charge" d'Athena, qui aide à prévenir les attaques d'applications (couche 7).
Le portail client affiche des rapports détaillés sur le trafic et vous permet de configurer votre gestion des menaces, par exemple en créant des listes noires de connexions. Verisign propose également OpenHybrid aux utilisateurs qui hésitent à tout déployer sur le nuage et qui peut être installé sur site.
Crédit d'image: Wikimedia Commons (Antoine Lamielle)
