Chroniques du cloud, 2e partie : prévention et défense contre les attaques DDoS visant le DNS

Griff Shelley

La sécurité n’est peut-être pas la première chose à laquelle vous pensez lorsque vous envisagez l’intégration d’une solution DNS dans votre environnement. Après tout, le DNS est souvent qualifié d’« annuaire téléphonique d’Internet », et combien de fois parle-t-on d’annuaires téléphoniques et de sécurité dans la même phrase ? Le DNS sait se faire discret, même s’il constitue en quelque sorte l’épine dorsale de nos interactions quotidiennes sur Internet. C’est peut-être en raison de cette omniprésence que les services DNS sont aussi fréquemment la cible d’attaques par déni de service distribué (DDoS). À mesure que la complexité et la fréquence de ces attaques augmentent, les exigences liées à la protection de cette pierre angulaire de l’infrastructure Internet s’intensifient également.

Attaques DDoS DNS : quel que soit leur nom, elles perturbent toujours le trafic

Que peut-on dire sur les attaques DDoS visant le DNS qui n’ait pas déjà été dit ? Elles se déclinent sous de multiples formes et leur ampleur va de « gênante » à « mettre Internet hors service », ou du moins une partie de celui-ci. Le terme « DDoS » désigne un vaste ensemble d’attaques réseau et applicatives par déni de service qui se fondent dans le trafic applicatif légitime. Voici quatre des attaques à grande échelle les plus courantes :

Attaques par amplification et réflexion DNStransforment le DNS lui-même en arme, en exploitant la nature ouverte des serveurs DNS pour amplifier le trafic d’attaque, un peu comme si l’on criait dans un canyon en utilisant l’écho pour amplifier le son.

Les attaques NXDOMAIN inondent un serveur de requêtes visant des domaines inexistants, créant une cacophonie insidieuse de « faux numéros » qui ralentit le service.

Les attaques par sous-domaines aléatoires prennent les résolveurs DNS au dépourvu en envoyant des requêtes portant sur un vaste éventail de sous-domaines inexistants.

Inondations DNS submergent un ou plusieurs serveurs sous un trafic d'apparence légitime, dans le but de saturer un système par son volume considérable.

Les attaques par inondation DNS, par sous-domaine, par NXDOMAIN, ainsi que les attaques par amplification et réflexion, quelle que soit la forme qu’elles prennent, cherchent toutes à exploiter un trafic excessif ou irrégulier pour perturber l’accès des utilisateurs légitimes aux applications essentielles à l’activité. Elles ne sont d’ailleurs pas toujours lancées de manière isolée. En effet, les attaques DDoS visant le DNS peuvent également servir d’écrans de fumée pour masquer d’autres activités malveillantes. Compte tenu de l’existence de ces types d’attaques dans un contexte marqué par la multiplication des transformations numériques, l’essor des appareils IoT et l’expansion de l’accès aux réseaux 5G, les acteurs malveillants peuvent désormais exploiter plus de technologies et de connexions Internet que jamais pour atteindre leurs objectifs néfastes à l’encontre des services DNS. Que faire ?

Attaques multivecteurs, sécurité multivecteur

Faire du DNS le point de départ de la fourniture des applications au sein d’un environnement implique réellement que les équipes le considèrent également comme le point de départ de la sécurité, même si un service DNS n’est généralement pas perçu comme une solution de sécurité au sens traditionnel du terme.

Il est utile d’envisager la sécurité sous l’angle de trois fonctions connexes : l’évolutivité, la haute disponibilité et la gestion du trafic malveillant. Ces fonctions jouent toutes un rôle actif dans la gestion du trafic, en veillant à ce que le trafic légitime parvienne sans entrave à la destination prévue.

Évolutivité : Prenons l’exemple d’une infrastructure conçue pour augmenter automatiquement sa capacité en réponse à une forte hausse du trafic, ce qui permet aux équipes chargées de la maintenance du service de détecter plus rapidement les attaques DDoS. Ainsi, même lors d’une attaque volumétrique, les utilisateurs légitimes peuvent continuer à résoudre leurs requêtes DNS avec un minimum de perturbations, comme si un pont pouvait ajouter des voies aux heures de pointe pour éviter les embouteillages. La capacité d’un service DNS à monter en charge signifie également qu’un afflux soudain de trafic, malveillant ou non, ne submergera pas les ressources backend au point de les rendre inopérantes.

Haute disponibilité : Ajoutez une dimension supplémentaire à la notion d’évolutivité, en particulier dans le contexte de la sécurité DNS, et vous comprendrez la nécessité de disposer d’un service DNS capable d’assurer une résolution ininterrompue lors d’une attaque susceptible de mettre une ressource hors ligne. Si ce service s’appuie sur des points de présence (PoP) répartis dans le monde entier, ce réseau de serveurs peut assurer une gestion intelligente du trafic en basculant de manière transparente vers les ressources désignées, en maintenant l’accès pour les utilisateurs et en empêchant les attaquants d’identifier et d’exploiter un point de défaillance unique. Une autre variante de cette solution consiste à associer un service DNS basé dans le cloud à un service DNS sur site, en les déployant comme une sorte de duo dynamique de lutte contre les attaques DDoS capable de répartir la charge entre les deux services ou de faire de l’un le service de secours de l’autre.

Gestion du trafic malveillant : Au-delà de l’évolutivité et de la haute disponibilité, un service DNS doit également disposer de fonctionnalités avancées de gestion du trafic malveillant. En s’appuyant sur des analyses en temps réel et des renseignements sur les menaces, un tel service peut aider les administrateurs à identifier et à traiter le trafic malveillant avant qu’il ne cause des dommages. Imaginez un filtre à eau capable de distinguer un flux d’eau propre d’un flux contaminé, et de ne laisser passer que l’eau propre. Le fait de n’autoriser que le trafic « propre » à traverser le réseau libère des ressources : le trafic malveillant est détecté de manière préventive, puis bloqué avant d’atteindre sa destination cible. Celle-ci n’a donc pas à traiter de paquets indésirables, ce qui contribue à améliorer la disponibilité des applications.

Ces méthodes de sécurité abordent sous trois angles le problème de l’atténuation du trafic malveillant. Elles augmentent les capacités, elles détournent le trafic, elles le bloquent. Elles se complètent également dans les domaines où une méthode prise isolément peut présenter des lacunes. La haute disponibilité, par exemple, n’implique pas nécessairement une forte évolutivité (et inversement). Toutefois, le déploiement d’une stratégie de mise à disposition des applications combinant ces trois méthodes permet de mettre rapidement en place une solide ligne de défense contre les afflux de trafic malveillant.

Dans la pratique, assurer une distribution robuste des applications face à des menaces telles que les attaques DDoS implique souvent de combiner différentes stratégies et technologies, notamment la gestion intelligente du trafic, les architectures distribuées et les mécanismes de basculement automatisé. F5 Distributed Cloud DNS peut constituer la première étape de la mise en place de ce type d’environnement pour vos applications distribuées.

Si vous souhaitez en savoir plus sur la manière de procéder, contactez-nous.

À propos de l’auteur

Griff Shelley

Autres articles de Griff Shelley