La situation dans laquelle le monde Internet se trouve aujourd’hui face aux attaques en déni de service est un héritage des évènements qui se sont produits dans ce domaine au cours des 20 dernières années. Il nous a donc semblé intéressant de réaliser une brève analyse rétrospective sur le DDoS (sources, motivations, vecteurs, relais, cibles). Notre perception des attaques est souvent assez mauvaise. Même si ces dernières ont évolué, 80 à 90% des attaques que l’on rencontre aujourd’hui sont encore des attaques très basiques et historiquement très anciennes. Nous avons donc, au travers de trois grandes périodes (« ères »), retracé de manière chronologique l’histoire du déni de service. 1ère ère 1995-2004 “Proof-of-concepts” 2ème ère 2005-2009 “Industrialisation” 3ème ère 2010-2014 “Popularisation” 4ème ère 2015-… “focusing” Le monde de l’internet, il y a 20 ans, faisait face à des attaques DDoS limitées en termes de sources, de motivations, de vecteurs et de relais. L’enchainement des différentes ères nous a menés à une situation bien plus problématique où l’on fait face à des attaques ciblées et à des stratégies d’attaques innovantes, qu’elles remettent à la mode d’anciens protocoles oubliés, ou qu’elles s’appuient sur des tactiques inédites. Face à cette menace multiforme et multi-niveau, les cibles sont encore souvent démunies. Il semble raisonnable de penser que chaque organisation concernée mette en place, à son niveau, des mesures et des dispositifs de protection adaptés à son contexte. Pour autant, nous sommes passés d’une logique de pénurie, où il était bien difficile de trouver une solution qui réponde aux besoins, à une logique d’abondance où la difficulté sera plutôt de trouver « la bonne solution ». Aujourd’hui, mieux se protéger implique de se rapprocher de ses fournisseurs et de mettre en place une stratégie de partage d'informations entre les utilisateurs et les équipes R&D ainsi que les autres clients partenaires pour une plus grande proximité et une plus grande réactivité.

1. L’histoire du DDoS
1995 to …
restricted
This document contains information which are owned by 6cure. By accepting this document the recipient
acknowledges that this document and its content are strictly confidential and the recipient undertakes not to
reproduce it, not to communicate or disclose it to any third party, not to use it for any commercial purpose without
prior written consent of 6cure.
www.6cure.com06/10/2015

2. if you missed the beginning…
(a verybrief history of DDoS)
www.6cure.com06/10/2015

3. relays
• voluntary basis
• “manually infected” bots
1st era: proof-of-concepts
1995-2004
sources & motivations
• script kiddies
• first form of “hacktivism”
vector
s• ICMP, TCP.SYN,
UDP
• “brute-force” floods
targets
• lots of…
• … and (almost) no protection
www.6cure.com06/10/2015

4. 2nd era: industrialisation
2005-2009
sources & motivations
• make money
• power demonstrations
relays
• bot infections
(dedicated worms)
targets
• visible web sites or countries
• “basic” protections (BH)
vector
s• L2-L4 and UDP-based L7
• “brute-force” floods
www.6cure.com06/10/2015

5. 3rd era: popularisation
2010-2014
sources & motivations
• cybercrime, cyberterrorism
• “hacktivism” is back
relays
• botnets
• reflectors
vector
s• HTTP, UDP reflection…
• amplification, slow attacks
targets
• multiples but…
• … more dedicated protection
www.6cure.com06/10/2015

6. and here we are…
(even if we did not want to)
www.6cure.com06/10/2015

7. 4th era: focusing
2015-…
sources & motivations
• online (cheap) services
• diversion
vectors
• L7, 0-day, more UDP-
based…
• reflection, slow drip, hit & run
relays
• intelligent botnets & reflectors
• “legitimate” clients
targets
• focused attacks
• a need for “agile” protections
www.6cure.com06/10/2015

8. see you later
thank you for your attention
www.6cure.com06/10/2015