Adoption des services cloud F5 pour une protection robuste contre les attaques DDoS après une attaque majeure

Basée à Ogaki, dans la préfecture de Gifu, Mirai Communication Network Co., Ltd. propose une large gamme de services, notamment des services de fournisseur d’accès à Internet (FAI), de location de serveurs, d’exploitation et de gestion de centres de données, ainsi que d’acquisition, d’exploitation et de gestion de domaines. Elle fournit également des réseaux d’assistance aux entreprises s’appuyant sur le réseau de fibre optique couvrant toute la préfecture de Gifu et sur la Gifu Information Superhighway. Afin de contrer les attaques DDoS, l’entreprise a mis en œuvre F5 Distributed Cloud DNS. Nous nous sommes entretenus avec M. Yuki Kano et Mme Atsuko Tanaka, du département Technologie de Mirai Communication Network, au sujet des exigences spécifiques, des fonctionnalités et des avantages attendus propres à leur entreprise lors de la mise en œuvre.

Télécharger le PDF (en japonais)

Le besoin

Avec l’ambition d’être un fournisseur d’accès à Internet à visage humain, Mirai Communication Network Co., Ltd. propose une large gamme de services liés aux réseaux, non seulement aux entreprises privées, mais aussi aux collectivités territoriales et aux organismes publics. En matière de services d’hébergement, nous accompagnons des clients dans tout le pays, mais notre particularité réside dans notre approche commerciale ancrée dans les territoires. C’est en ce sens que nous sommes un fournisseur d’accès à Internet « à visage humain », explique M. Yuki Kano, du département Technologie de l’entreprise. Contrairement à de nombreux fournisseurs de serveurs classiques, qui proposent principalement des services à distance et dont le personnel reste invisible, nos équipes techniques et de maintenance, dont je fais partie, se rendent dans les locaux de nos clients. Nous travaillons directement avec eux, projet par projet, afin de concevoir des solutions sur mesure, ajoute-t-il. C’est une attaque DDoS de grande ampleur, survenue en décembre 2023, qui a incité Mirai Communication Network à réévaluer son architecture système. Nos serveurs DNS ont été pris pour cible, rendant la résolution de noms extrêmement difficile. Nous avons immédiatement bloqué les requêtes provenant des adresses IP identifiées comme étant à l’origine de l’attaque et rapidement rétabli les services. Toutefois, nous avons pris conscience que, même si le réseau reste opérationnel, une panne des serveurs DNS rend toute communication impossible. Cet incident nous a rappelé combien il est important de protéger les serveurs DNS contre les attaques, souligne M. Kano. Avant l’attaque, l’entreprise avait déjà mis en place des mesures telles que la surveillance du trafic réseau afin de détecter d’éventuelles attaques DDoS et de n’autoriser que le trafic légitime. Cependant, l’incident a mis en évidence la nécessité d’adopter des contre-mesures plus spécialisées pour les serveurs DNS. L’entreprise a donc envisagé de mettre en place un service dédié de protection contre les attaques DDoS.

La transformation

Après environ trois mois de réflexion à la suite de l’attaque, Mirai Communication Network a décidé d’adopter F5 Distributed Cloud DNS. Selon Mme Atsuko Tanaka, du département Technologie de l’entreprise, qui a directement participé à l’évaluation des différents outils : « Compte tenu de l’urgence de la situation, nous nous sommes concentrés sur des solutions pouvant être facilement déployées sous forme de services cloud. Au départ, le service de F5 ne figurait pas parmi les solutions envisagées. Toutefois, au cours de notre évaluation, F5 nous a soumis une proposition et nous avons estimé que son service présentait des avantages en matière de coût et de facilité d’intégration à notre environnement existant. Certains services concurrents exigeaient de reconfigurer les serveurs DNS primaire et secondaire côté SaaS, tandis que d’autres ne proposaient qu’une solution DNS primaire ne pouvant pas être intégrée à un DNS secondaire. Avec d’autres services, il fallait décider dès la signature du contrat si les mesures devaient s’appliquer au DNS primaire ou secondaire. En outre, les coûts variaient en fonction du volume de requêtes, ce qui compliquait la gestion du budget. » M. Kano a précisé les raisons qui ont motivé le choix de F5 : « Pour les clients du secteur public, tels que les collectivités locales, les achats passent souvent par une procédure d’appel d’offres et le budget est fixé annuellement. Par conséquent, toute hausse tarifaire due à des attaques imprévues ne peut pas être répercutée sur le prix du service. F5 Distributed Cloud DNS applique un modèle tarifaire fondé sur le nombre de zones et offre une structure flexible : même si le nombre de zones dépasse la quantité prévue au contrat, aucuns frais supplémentaires ne sont facturés pendant la durée de celui-ci. Si nécessaire, des ajustements peuvent être effectués lors du renouvellement du contrat au cours des exercices suivants. » Mirai Communication Network a créé un environnement de validation de principe (PoC) afin de tester F5 Distributed Cloud DNS. M. Kano explique : « Lorsque la décision d’adopter le service de F5 a été prise, un compte PoC ainsi qu’un compte acheteur nous ont été fournis. L’interface utilisateur est intuitive et facile à comprendre et, grâce à l’accompagnement détaillé des ingénieurs de F5, le processus de validation progresse sans difficulté. »

Le résultat

Les modifications apportées au DNS nécessitent des tests approfondis, ainsi que des tâches telles que l’enregistrement des entrées requises sur le serveur de destination et le transfert des informations WHOIS. Toutefois, après la migration, les opérations resteront identiques à celles de notre environnement actuel. Nous ne prévoyons donc pas d’avoir besoin de ressources humaines supplémentaires, explique M. Kano. Avec F5 Distributed Cloud DNS, le DNS principal peut être défini comme masqué afin de ne pas être exposé sur Internet et d’être ainsi protégé contre les attaques DDoS. Le serveur DNS existant peut continuer à être utilisé à des fins de configuration, tandis que le DNS secondaire est hébergé sur la plateforme Distributed Cloud de F5 pour traiter toutes les requêtes DNS. Cette solution répond non seulement à notre exigence initiale de protection contre les attaques DDoS, mais améliore également les temps de réponse grâce à un DNS secondaire cloud réparti géographiquement. De plus, nous pouvons confier à F5 les mises à niveau de version et d’autres opérations similaires, ce qui réduit encore davantage notre charge de travail opérationnelle, ajoute M. Kano.

F5 Distributed Cloud DNS permet de configurer un DNS primaire et un DNS secondaire. Le DNS primaire existant est utilisé exclusivement à des fins de configuration, tandis que le DNS secondaire est hébergé dans le cloud de F5 afin de traiter les requêtes DNS. Cette configuration offre une protection contre les attaques DDoS et améliore les temps de réponse grâce à un réseau cloud géographiquement distribué.

F5 propose diverses fonctionnalités réseau et de sécurité dans le cadre de F5 Distributed Cloud Services, notamment Distributed Cloud DNS, adopté à cette occasion, ainsi que des répartiteurs de charge, des pare-feu, des passerelles API, des WAF, des solutions de sécurité des API et de protection contre les bots, et des plateformes Kubernetes managées. Nous envisageons actuellement de proposer la répartition de charge DNS sous forme de service. Alors qu’un nombre croissant d’entreprises exploitent des systèmes dans plusieurs environnements, notamment sur site et dans le cloud, le besoin de répartition de charge basée sur le DNS est bien réel, explique Mme Tanaka, évoquant l’adoption potentielle d’autres services au-delà de Distributed Cloud DNS. M. Kano souligne également les avantages constatés lors d’une formation pratique sur F5 Distributed Cloud Services : « Nous avons constaté que le service offre des options de configuration détaillées tout en restant très simple d’utilisation. Dans la perspective d’élargir notre offre de services, les fonctions de surveillance, telles que les moniteurs HTTPS et DNS, semblent particulièrement utiles. Nous souhaitons également réaliser à l’avenir des preuves de concept (PoC) pour Kubernetes managé. » F5 Distributed Cloud Services permet de gérer et d’exploiter en toute sécurité des applications et des réseaux répartis dans différents environnements, ainsi que de développer et de déployer rapidement des applications grâce aux plateformes Kubernetes. Les services que nous proposons actuellement au moyen d’appliances physiques et virtuelles peuvent être convertis en solutions SaaS, faciles à déployer et à faire évoluer. « Nous prévoyons une multiplication des cas d’usage de F5 Distributed Cloud Services à l’avenir », indique M. Kano. Il entrevoit également la possibilité de collaborer avec F5 afin de relever les défis auxquels sont confrontés les collectivités locales, les conseils de l’éducation et les entreprises régionales. « En exploitant davantage les solutions de F5 et en les intégrant à nos services, je pense que nous pourrons identifier de nouveaux besoins chez nos clients existants et leur apporter une valeur ajoutée accrue », ajoute M. Kano.