Comprendre les attaques DDoS : volumétriques, applicatives et comment s'en protéger

Une attaque DDoS (Distributed Denial of Service) vise à rendre un service indisponible en le submergeant de requêtes provenant de milliers de machines compromises. C'est l'une des menaces les plus difficiles à contrer, car elle exploite la nature même d'internet : l'ouverture et la difficulté à distinguer le trafic légitime du trafic malveillant.

Les attaques volumétriques (Couche 3 et 4)

Ces attaques visent à saturer la bande passante du réseau. Elles utilisent des techniques comme le 'UDP Flood' ou l'amplification DNS, où l'attaquant envoie une petite requête à un serveur tiers qui renvoie une réponse massive vers la cible. Le but est simple : remplir les tuyaux pour que les utilisateurs légitimes ne puissent plus passer. La défense repose principalement sur la capacité du réseau et les services de scrubbing (nettoyage de trafic) des hébergeurs.

Les attaques applicatives (Couche 7)

Plus sournoises, ces attaques ciblent directement l'application web (Nginx, Apache, PHP). Elles envoient des requêtes HTTP légitimes en apparence, mais très coûteuses en ressources (par exemple, des requêtes de recherche complexes ou des téléchargements massifs). Un simple 'HTTP Flood' peut mettre à genoux un serveur web mal configuré, même avec une bonne bande passante.

Une attaque DDoS ne casse pas seulement votre infrastructure ; elle brise la confiance de vos utilisateurs qui ne peuvent plus accéder à votre service.

Comment se protéger efficacement ?

La protection contre les DDoS est un jeu d'échelle. Pour les PME, la meilleure défense est de souscrire à un service de protection en amont (comme Cloudflare ou les offres Anti-DDoS des hébergeurs). Ces services absorbent l'attaque et ne laissent passer que le trafic propre vers votre serveur.

En complément, configurez un pare-feu applicatif (WAF) pour filtrer les requêtes malveillantes, et mettez en place des limites de requêtes (rate limiting) dans Nginx pour éviter qu'un seul client ne consomme toutes les ressources. Enfin, ayez un plan de réponse : qui contacter en cas de crise ? Comment communiquer auprès des clients ? La préparation réduit considérablement l'impact.