Attaque DDoS : fonctionnement et protection efficace

Une attaque DDoS peut rendre un site web, une boutique en ligne, une application métier ou un service cloud inaccessible en quelques minutes. Pour une entreprise, les conséquences dépassent largement la simple indisponibilité technique : perte de chiffre d’affaires, interruption de la relation client, dégradation de l’image de marque et mobilisation urgente des équipes informatiques. Les attaques par déni de service distribué sont aujourd’hui fréquentes, accessibles à des cybercriminels peu expérimentés et parfois utilisées comme diversion avant une intrusion plus grave.

Comprendre le fonctionnement d’une attaque DDoS est donc indispensable pour mettre en place une protection adaptée. Ce guide explique les mécanismes d’un DDoS, les principales formes d’attaque, les signes d’alerte, les méthodes de prévention et les actions à engager en cas d’incident. L’objectif est de permettre aux organisations de construire une stratégie de résilience réaliste, associant infrastructure, surveillance, procédures et partenaires spécialisés.

1. Qu’est-ce qu’une attaque DDoS ?

Le sigle DDoS signifie Distributed Denial of Service, soit « déni de service distribué ». Il s’agit d’une cyberattaque visant à empêcher les utilisateurs légitimes d’accéder à une ressource numérique. La cible peut être un site internet, une API, un serveur de messagerie, un VPN, une plateforme de paiement, un jeu en ligne ou une application hébergée dans le cloud.

Le principe est simple : l’attaquant envoie un volume anormalement élevé de requêtes vers la cible afin de saturer ses ressources. Lorsque la bande passante, le processeur, la mémoire, les connexions réseau ou les capacités de l’application arrivent à saturation, les internautes ne peuvent plus utiliser le service normalement. Ils rencontrent alors des pages qui ne chargent pas, des erreurs 502 ou 503, des délais d’attente excessifs ou des déconnexions répétées.

La différence entre DoS et DDoS

Une attaque DoS classique provient généralement d’une seule source. Elle peut être plus facile à identifier et à bloquer, par exemple en filtrant une adresse IP précise. Dans le cas d’une attaque DDoS, le trafic malveillant est envoyé simultanément par un grand nombre d’équipements répartis sur Internet. Cette distribution complique considérablement le filtrage, car les requêtes peuvent provenir de milliers, voire de millions d’adresses IP différentes.

Les appareils utilisés ne sont pas toujours contrôlés volontairement par leurs propriétaires. Ils peuvent appartenir à un botnet, c’est-à-dire un réseau de machines compromises. Ordinateurs, serveurs, routeurs, objets connectés, caméras IP ou appareils domestiques mal sécurisés peuvent être enrôlés à l’insu de leurs utilisateurs.

Pourquoi les organisations sont ciblées

Les motivations des attaquants sont variées. Certaines attaques cherchent à nuire à un concurrent, à perturber un service public ou à défendre une cause idéologique. D’autres relèvent de l’extorsion : les cybercriminels menacent de bloquer l’activité tant qu’une rançon n’est pas versée. Une attaque DDoS peut aussi servir de diversion pendant qu’un groupe tente de voler des données, d’exploiter une faille ou de compromettre des comptes administrateurs.

• Motivation financière : extorsion, concurrence déloyale ou attaque d’une plateforme de vente pendant une période stratégique.
• Motivation idéologique : actions militantes contre une marque, une administration ou une organisation médiatique.
• Motivation stratégique : diversion destinée à masquer une intrusion, un vol de données ou une fraude.
• Motivation opportuniste : test d’outils automatisés, vandalisme numérique ou recherche de notoriété.

2. Comment fonctionne une attaque DDoS ?

Une attaque DDoS repose sur la création artificielle d’un trafic massif ou particulièrement coûteux à traiter. L’attaquant choisit une cible, identifie une faiblesse potentielle et lance des requêtes depuis de nombreuses sources. Les flux peuvent viser la connexion Internet, les équipements réseau, le serveur web ou directement les fonctions les plus sensibles d’une application.

La puissance d’une attaque se mesure notamment en bits par seconde, en paquets par seconde ou en requêtes par seconde. Une attaque volumétrique peut atteindre plusieurs centaines de gigabits par seconde et saturer une liaison réseau. À l’inverse, une attaque applicative peut consommer peu de bande passante tout en épuisant les ressources du serveur, par exemple en demandant continuellement une recherche complexe, une connexion utilisateur ou la génération d’un document dynamique.

Le rôle des botnets et de l’amplification

Les botnets permettent d’augmenter le volume de trafic malveillant sans exposer directement l’infrastructure de l’attaquant. Chaque appareil compromis reçoit des instructions et envoie des paquets vers la victime. Les attaquants peuvent également recourir à des techniques d’amplification. Elles consistent à envoyer une petite requête à un service tiers en usurpant l’adresse IP de la cible ; le service répond alors avec une réponse beaucoup plus volumineuse à la victime.

Cette mécanique a historiquement concerné des protocoles mal configurés, notamment DNS, NTP, SSDP ou Memcached. Un facteur d’amplification élevé permet à un attaquant de produire un trafic très important avec des moyens initiaux relativement limités. Cela explique pourquoi la défense ne peut pas reposer uniquement sur les ressources du serveur cible.

Les ressources saturées pendant l’attaque

Un DDoS ne sature pas systématiquement la même couche technique. Une entreprise peut disposer d’un hébergement performant, mais rester vulnérable si son pare-feu, son routeur ou sa base de données ne peut pas absorber une hausse brutale de trafic. L’analyse de l’architecture est donc essentielle pour repérer les goulots d’étranglement avant un incident.

• Bande passante : la connexion Internet est remplie par des flux inutiles avant même que les requêtes n’atteignent le serveur.
• Équipements réseau : routeurs, commutateurs et pare-feu ne peuvent plus traiter le nombre de paquets reçus.
• Serveurs : processeur, mémoire, threads ou tables de connexion sont épuisés.
• Application : une fonction coûteuse, une API ou une base de données est sollicitée de manière répétitive.

3. Les principaux types d’attaques DDoS

Les attaques DDoS sont généralement classées en trois grandes catégories : les attaques volumétriques, les attaques de protocole et les attaques applicatives. Dans la réalité, un attaquant peut combiner plusieurs méthodes afin de contourner les défenses, compliquer le diagnostic et maximiser l’impact opérationnel.

Les attaques volumétriques

Les attaques volumétriques cherchent avant tout à saturer la bande passante disponible. Elles génèrent des quantités importantes de données afin de noyer le trafic légitime. Les attaques UDP flood sont un exemple courant : de nombreux paquets UDP sont envoyés vers des ports aléatoires ou spécifiques, obligeant la cible à vérifier et traiter chaque demande.

Les attaques par amplification DNS ou NTP appartiennent également à cette catégorie. Leur danger réside dans leur capacité à produire de très forts débits. Une infrastructure locale dotée d’une capacité limitée risque d’être inaccessible même si les serveurs eux-mêmes restent opérationnels.

Les attaques de protocole

Les attaques de protocole exploitent les mécanismes des couches réseau et transport. Elles visent souvent les équipements intermédiaires ou les ressources nécessaires à l’établissement de connexions. Le SYN flood est l’un des cas les plus connus : l’attaquant envoie un grand nombre de demandes de connexion TCP sans finaliser l’échange. Le serveur conserve alors des connexions incomplètes jusqu’à épuiser sa capacité à accepter de nouveaux utilisateurs.

Les attaques Ping of Death, Smurf ou fragmented packet sont aujourd’hui moins répandues dans leurs formes historiques, mais leurs principes restent utiles à connaître. Elles illustrent l’exploitation possible des protocoles, des paquets malformés et des réponses automatiques générées par certains équipements.

Les attaques applicatives de couche 7

Les attaques de couche 7 ciblent l’application web, notamment les services HTTP et HTTPS. Elles imitent parfois le comportement de visiteurs ordinaires, ce qui les rend difficiles à distinguer du trafic réel. Un HTTP flood peut par exemple demander de façon répétée une page de recherche, un tunnel de commande, un formulaire de connexion ou une page qui interroge plusieurs services internes.

Une attaque lente, telle qu’un Slowloris, maintient de nombreuses connexions ouvertes en transmettant les données très progressivement. Le volume peut rester faible, mais le serveur finit par manquer de connexions disponibles. La protection doit donc prendre en compte la qualité, la fréquence et le comportement des requêtes, et non le seul débit réseau.

Type d’attaque	Cible principale	Exemple	Mesure de protection adaptée
Volumétrique	Bande passante	UDP flood, amplification DNS	Scrubbing center, CDN, filtrage en amont
Protocole	Réseau et connexions	SYN flood	Rate limiting, SYN cookies, pare-feu configuré
Applicative	Serveur web et application	HTTP flood, Slowloris	WAF, CAPTCHA, règles comportementales
Multi-vectorielle	Plusieurs couches	UDP flood suivi d’un HTTP flood	Protection hybride et supervision continue

4. Quels sont les symptômes d’une attaque DDoS ?

Détecter rapidement une attaque DDoS réduit la durée d’indisponibilité et facilite la coordination des équipes. Cependant, il est important de ne pas confondre une attaque avec un pic de trafic légitime. Une campagne marketing, un passage médiatique, une vente flash ou une période de forte activité saisonnière peuvent aussi faire augmenter les requêtes de manière importante.

La différence se situe souvent dans l’origine, la nature et la cohérence du trafic. Un afflux de visiteurs réels affiche généralement des parcours variés, des navigateurs crédibles et une progression liée à un événement commercial identifiable. À l’inverse, une attaque peut présenter des requêtes répétitives, des signatures techniques similaires, des zones géographiques inhabituelles ou une activité concentrée sur une même URL.

Les signaux techniques à surveiller

La surveillance doit s’appuyer sur des métriques définies à l’avance. Sans niveau de référence, il devient difficile de déterminer si une hausse est normale ou suspecte. Les tableaux de bord de disponibilité, les logs de serveur, les statistiques CDN, les outils APM et les sondes réseau doivent être consultés de façon centralisée lorsque cela est possible.

• Hausse soudaine du nombre de requêtes, de paquets ou de connexions simultanées.
• Temps de réponse anormalement élevé sur le site, les API ou les applications internes.
• Erreurs HTTP 429, 502, 503 ou 504 en augmentation.
• Saturation de la bande passante, du processeur, de la mémoire ou des tables de connexion.
• Multiplication de requêtes vers une même page, un même endpoint ou une ressource inexistante.
• Trafic provenant de nombreux pays sans lien avec l’activité habituelle de l’entreprise.

Le risque de faux positifs

Bloquer trop vite une plage d’adresses IP ou imposer un CAPTCHA à tous les visiteurs peut dégrader l’expérience client et entraîner une perte de conversion. Avant d’appliquer une mesure radicale, les équipes doivent recouper les indicateurs : comportement des requêtes, taux d’échec, agents utilisateurs, réputation des IP, volume par zone géographique et activité sur les services critiques.

Un bon plan de détection prévoit également une procédure d’escalade. L’équipe de supervision doit savoir qui prévenir, quels tableaux de bord vérifier et à quel moment contacter l’hébergeur, l’opérateur réseau ou le prestataire de protection DDoS. Cette organisation est particulièrement importante en dehors des heures ouvrées.

5. Quelles conséquences une attaque DDoS peut-elle avoir ?

La conséquence la plus visible est l’indisponibilité du service. Pour un site e-commerce, quelques heures d’arrêt pendant les soldes, le Black Friday ou le lancement d’un produit peuvent représenter une perte significative de revenus. Pour une PME industrielle, l’indisponibilité d’un VPN, d’un ERP ou d’une plateforme de relation client peut ralentir la production, bloquer les commandes et désorganiser les équipes.

Les conséquences sont aussi indirectes. Un client qui ne peut pas accéder à son espace personnel peut contacter le support, ce qui surcharge les équipes. Les collaborateurs peuvent perdre confiance dans les outils internes. Les partenaires peuvent s’interroger sur la fiabilité de l’entreprise. Lorsqu’un incident est médiatisé, le dommage réputationnel peut persister bien après le retour à la normale.

Un coût difficile à évaluer mais bien réel

Le coût global dépend de la durée de l’attaque, du secteur d’activité, du niveau de dépendance au numérique et de la capacité de réponse. Il faut inclure le chiffre d’affaires perdu, les pénalités contractuelles éventuelles, le temps des équipes techniques, les heures de support, la communication de crise et les dépenses engagées pour renforcer l’infrastructure.

Une attaque DDoS peut aussi cacher une compromission. Pendant que les équipes se concentrent sur la disponibilité du site, un attaquant peut tenter des actions de phishing, du credential stuffing ou l’exploitation d’une vulnérabilité. La réponse à incident doit donc inclure une vérification de sécurité plus large, notamment sur les journaux d’authentification, les comptes privilégiés et les changements de configuration récents.

Les secteurs les plus exposés

Toute organisation connectée peut être ciblée, mais certains secteurs sont particulièrement sensibles. Les plateformes de vente en ligne, les services financiers, les opérateurs télécoms, les médias, les jeux en ligne, les établissements publics et les entreprises SaaS disposent souvent de services visibles, stratégiques et fortement sollicités. Les petites structures ne sont pas épargnées : elles peuvent être considérées comme des cibles faciles en raison de moyens de protection plus limités.

6. Comment prévenir les attaques DDoS ?

La prévention d’une attaque DDoS repose sur une approche multicouche. Aucun outil isolé ne garantit une protection totale, car les attaques évoluent constamment. Une stratégie efficace combine architecture résiliente, filtrage du trafic, surveillance proactive, procédures de crise et accompagnement par des prestataires capables d’absorber le trafic avant qu’il n’atteigne l’infrastructure.

Construire une architecture résiliente

La première étape consiste à éviter les points uniques de défaillance. Une infrastructure hébergée sur un seul serveur, une seule adresse IP ou une seule liaison Internet est plus fragile. La répartition de charge, la redondance géographique, l’autoscaling et l’utilisation d’un CDN permettent d’absorber une partie des pics et de maintenir le service accessible même lorsqu’un composant est sous pression.

Un CDN met en cache les contenus statiques, tels que les images, feuilles de style et scripts, au plus près des internautes. Il réduit ainsi la charge du serveur d’origine. Pour les applications dynamiques, un équilibreur de charge et une séparation claire entre front-end, API, base de données et services internes limitent les effets de propagation d’une saturation.

Déployer les outils de protection adaptés

Les pare-feu applicatifs web, ou WAF, analysent les requêtes HTTP et appliquent des règles de filtrage. Ils peuvent bloquer les comportements suspects, limiter le nombre de requêtes par adresse IP, protéger les pages de connexion et réduire l’impact de certaines attaques de couche 7. Les mécanismes de rate limiting sont particulièrement utiles pour les API, les formulaires et les endpoints coûteux.

Une protection DDoS opérée dans le cloud ou chez un fournisseur spécialisé absorbe et nettoie le trafic en amont. Les centres de nettoyage, appelés scrubbing centers, identifient les flux malveillants puis transmettent uniquement le trafic légitime vers l’infrastructure de l’entreprise. Cette approche est essentielle lorsque la bande passante locale ne suffit pas à absorber une attaque volumétrique.

Les bonnes pratiques organisationnelles

Les outils techniques doivent être complétés par une gouvernance claire. Les équipes doivent savoir qui prend les décisions pendant une crise, quelles modifications peuvent être appliquées rapidement et comment informer les clients. Un exercice de simulation annuel aide à tester le plan et à identifier les dépendances oubliées.

• Documenter les contacts d’urgence chez l’hébergeur, l’opérateur et le prestataire de sécurité.
• Définir des seuils d’alerte sur les débits, les requêtes, les erreurs et les temps de réponse.
• Mettre à jour régulièrement les équipements réseau, serveurs et applications exposés.
• Limiter les services inutiles accessibles depuis Internet et segmenter les réseaux internes.
• Tester la capacité de montée en charge avant les périodes commerciales critiques.
• Conserver des sauvegardes, car un DDoS peut s’accompagner d’autres actions malveillantes.

7. Que faire pendant et après une attaque DDoS ?

Lorsqu’une attaque est confirmée, la priorité est de maintenir les services essentiels et de réduire l’impact sur les utilisateurs. Les équipes doivent éviter les changements improvisés qui risquent d’aggraver la situation. Le plan de réponse établi en amont sert alors de guide : il précise les rôles, les canaux de communication, les mesures autorisées et les critères de retour à la normale.

Les premières actions de réponse

Il faut d’abord qualifier l’incident : quels services sont touchés, à partir de quand, quel type de trafic domine et quelle est l’intensité de l’attaque ? Les données de monitoring permettent de comparer la situation avec le trafic habituel. Les équipes peuvent ensuite activer les protections prévues : mode d’atténuation chez le fournisseur, règles WAF, limitation de débit, mise en cache renforcée ou bascule vers une infrastructure de secours.

Si l’attaque dépasse les capacités de la connexion, contacter rapidement l’opérateur ou le fournisseur de protection est déterminant. Le filtrage doit idéalement se produire avant l’arrivée des paquets sur le lien Internet de l’entreprise. Bloquer le trafic uniquement sur le pare-feu local est souvent insuffisant si la bande passante est déjà saturée.

Communiquer sans compromettre la sécurité

La communication est une composante importante de la gestion de crise. Les clients et partenaires doivent être informés avec transparence lorsque le service est perturbé, sans divulguer de détails techniques susceptibles d’aider les attaquants. Une page de statut indépendante du site principal permet de publier des informations même si le domaine principal est inaccessible.

En interne, les équipes métier doivent recevoir des consignes précises : canaux alternatifs, procédure de prise en charge des clients et priorités opérationnelles. Cette coordination évite les messages contradictoires et limite la charge sur le support.

Analyser l’incident après le retour à la normale

Une fois le trafic stabilisé, une analyse post-incident est indispensable. Elle doit retracer la chronologie, identifier les vecteurs utilisés, mesurer l’efficacité des protections et lister les actions d’amélioration. Les journaux doivent être conservés selon les règles internes et les obligations réglementaires applicables.

Le retour d’expérience peut révéler qu’une page était trop coûteuse, qu’une règle de filtrage manquait, qu’un contact d’urgence n’était plus à jour ou que l’infrastructure ne disposait pas d’une capacité suffisante. Chaque incident doit donc renforcer durablement la posture de sécurité de l’organisation.

8. Conclusion : adopter une protection DDoS durable

Une attaque DDoS n’est pas seulement un problème de performance informatique : elle représente un risque opérationnel, commercial et réputationnel pour toute organisation dépendante de services en ligne. Les attaques peuvent être massives et visibles, mais aussi discrètes et ciblées contre une fonction applicative précise. C’est pourquoi une simple augmentation de capacité serveur ne constitue pas une réponse suffisante.

Pour protéger durablement son activité, une entreprise doit connaître ses services critiques, surveiller ses indicateurs techniques et mettre en place une architecture capable de résister aux pics de trafic. L’association d’un CDN, d’un WAF, d’une protection DDoS en amont et de procédures de crise testées constitue une base solide. Sur virtuaconnect.fr, les entreprises peuvent s’appuyer sur une réflexion globale autour de l’hébergement, de la connectivité et de la cybersécurité afin de choisir des solutions adaptées à leurs enjeux, à leur budget et à leur niveau d’exposition.