Nombre d’entre nous ont récemment rencontré des difficultés pour accéder à certaines des applications essentielles que nos organisations et nous-mêmes utilisons chaque jour, à titre personnel ou professionnel. Plusieurs personnes ont successivement eu des difficultés à accéder au portail web Microsoft Outlook.com, puis à OneDrive et enfin au Microsoft Azure Portal, plusieurs jours de suite au début du mois de juin.
Certains ont supposé que l’impossibilité d’accéder aux applications critiques de Microsoft pouvait être due à une erreur de configuration. D’autres ont estimé qu’il pouvait s’agir d’une cyberattaque. Microsoft a indiqué avoir géré et équilibré l’augmentation du trafic vers ses applications essentielles.
Puis, le vendredi 16 juin, un article publié sur le blog du Microsoft Security Response Center (MSRC), intitulé Réponse de Microsoft aux attaques par déni de service distribué (DDoS) de couche 7 a expliqué la cause profonde des interruptions ayant touché les applications Microsoft, qui ont commencé le 7 juin et se sont poursuivies jusqu’au 9 juin.
Le billet de blog a confirmé que Microsoft avait été victime d’une attaque DDoS de couche 7 (L7), entraînant une impossibilité temporaire d’accéder à ces services, identifiés dans d’autres publications comme Outlook.com, OneDrive et le portail Microsoft Azure.
Le billet de blog indiquait que Microsoft avait « identifié des pics de trafic visant certains services, qui avaient temporairement affecté leur disponibilité ». Il précisait également que Microsoft avait « rapidement ouvert une enquête et commencé à suivre l’activité DDoS en cours ». Le blog du MSRC expliquait que l’attaque avait été perpétrée par un acteur malveillant que Microsoft surveille et a identifié sous le nom de Storm-1359, également connu sous le nom d’Anonymous Sudan. Le blog soulignait que Microsoft n’avait trouvé aucun élément indiquant que des données clients avaient été consultées ou compromises. Les attaques DDoS visaient à perturber les services, à attirer l’attention et à promouvoir les attaquants, à savoir Storm-1359, alias Anonymous Sudan.
Alors que de nombreuses attaques DDoS ciblent la couche 3 (couche réseau) ou la couche 4 (couche transport) du modèle OSI (interconnexion de systèmes ouverts), une attaque DDoS L7 (couche application) est d’une tout autre nature. Les attaques DDoS L7 sont beaucoup plus difficiles à détecter que les attaques DDoS L3 ou L4, car elles sont généralement complexes, furtives et impossibles à distinguer du trafic légitime des applications web. Elles ciblent des composants spécifiques d’un serveur d’applications et les submergent de requêtes jusqu’à ce qu’ils soient surchargés et incapables de répondre au moindre trafic. Ces attaques évoluent également, changeant fréquemment et souvent de manière aléatoire.
Selon Microsoft, l’attaque DDoS L7 visant ses services s’est appuyée sur « un ensemble de botnets et d’outils » qui a permis aux attaquants de lancer leur offensive depuis plusieurs services cloud et « infrastructures de proxys ouverts », en recourant à des serveurs privés virtuels, des environnements cloud, des proxys ouverts ainsi qu’à des outils DDoS achetés ou obtenus par d’autres moyens.
Storm-1359 (alias Anonymous Sudan) a utilisé trois types différents d’attaques DDoS de couche 7 contre Microsoft :
- Attaque par inondation HTTP(S), au cours de laquelle un nombre considérable de requêtes, notamment des négociations SSL/TLS et des requêtes HTTP(S) provenant de divers appareils, régions et adresses IP sources, saturent les ressources système, telles que le processeur et la mémoire, empêchant ainsi un serveur d’applications de continuer à traiter les requêtes.
- Le contournement du cache permet de contourner les réseaux de diffusion de contenu (CDN) en envoyant des requêtes vers des URL créées et générées par un attaquant, qui obligent l’application à transférer toutes les requêtes au serveur d’origine.
- Slowloris utilise un seul système pour établir une connexion à un serveur web et force celle-ci à rester ouverte en omettant d’accuser réception d’une requête de ressource ou en ralentissant son acceptation.
Dans l’article de blog, Microsoft a déclaré avoir « renforcé les protections de couche 7, notamment en ajustant Azure Web Application Firewall (WAF) afin de mieux protéger les clients » contre les attaques DDoS.
Microsoft a ensuite formulé plusieurs recommandations à l’intention de ses clients afin de renforcer leur protection contre les attaques DDoS de couche 7 (couche applicative), notamment :
- Utiliser Azure WAF ou un autre service de couche 7 pour protéger les applications web
- Utilisation de la protection contre les bots dans Azure WAF ou un autre service pour se défendre contre les bots malveillants
- Identifier les adresses et plages d’adresses IP malveillantes et les bloquer
- Bloquer, limiter le débit ou rediriger le trafic provenant de l’extérieur d’une zone géographique définie ou au sein d’une région identifiée
- Exploiter les signatures d’attaque connues pour créer des politiques WAF personnalisées afin de bloquer automatiquement le trafic HTTP(S) malveillant ou d’en limiter le débit
La solution de sécurité des applications web et des API (WAAP) de F5 aide déjà de nombreux utilisateurs et clients de Microsoft à protéger leurs applications web contre les attaques DDoS de couche 7 complexes et difficiles à détecter. F5 WAAP repose sur le moteur WAF de F5 et sur ses capacités reconnues de détection et de surveillance, offrant ainsi un environnement familier. Disponible selon tous les modèles de déploiement requis (matériel, SaaS et logiciel sous forme d’édition virtuelle sur Microsoft Azure), qui peuvent être combinés librement, F5 WAAP peut être déployé partout où les applications sont hébergées, les différentes instances fonctionnant de concert pour assurer une protection complète contre les attaques DDoS de couche 7.
La solution primée F5 Distributed Cloud Bot Defense est également disponible. Cette solution SaaS de F5 de détection et de neutralisation des bots protège les plus grandes banques, enseignes de distribution et compagnies aériennes au monde. Distributed Cloud Bot Defense protège contre les bots malveillants grâce à une analyse inégalée des appareils et des signaux comportementaux permettant de démasquer les processus automatisés.
Pour en savoir plus sur les solutions F5 de protection WAAP et contre les attaques DDoS, ainsi que sur la défense contre les bots :
- Découvrez plus en détail les options de F5 en matière de protection contre les attaques DDoS
- En savoir plus sur la protection F5 des applications web et des API
- Un article de blog sur la résistance des services F5 Distributed Cloud aux attaques DDoS de couche 7
- Achetez et déployez BIG-IP Advanced WAF, Distributed Cloud WAAP, ainsi que NGINX App Protect sur Azure Marketplace
- Demandez un essai gratuit de BIG-IP Advanced WAF, de Distributed Cloud ou de NGINX App Protect
- Découvrez Distributed Cloud WAAP, Distributed Cloud Bot Defense et NGINX App Protect en action
- Découvrez comment NGINX App Protect DoS bloque les attaques DoS au niveau applicatif
- Découvrez pourquoi Il est temps de réévaluer vos mesures de lutte contre les bots
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.