Comprendre la protection Anti-DDoS de votre serveur

Qu’est-ce qu’une attaque DDoS ?

Une protection Anti-DDoS cherche à maintenir votre serveur accessible lorsqu’il reçoit une quantité anormale de trafic malveillant. Une attaque DDoS, ou déni de service distribué, utilise de nombreuses sources pour envoyer simultanément des paquets ou des requêtes vers une cible.

L’objectif n’est pas nécessairement de pénétrer dans le serveur. L’attaque cherche surtout à épuiser une ressource indispensable :

• la capacité réseau ;
• le nombre de connexions disponibles ;
• la mémoire ;
• le processeur ;
• les processus du serveur web ;
• les connexions à la base de données ;
• une fonction applicative particulièrement coûteuse.

Le terme « distribué » signifie que le trafic provient de plusieurs machines ou réseaux. Les sources peuvent appartenir à un botnet constitué d’appareils compromis.

Source 1 ─┐
Source 2 ─┼──> Serveur ciblé ──> Saturation ou ralentissement
Source 3 ─┤
Source 4 ─┘

Un pic de trafic légitime n’est pas automatiquement une attaque. Une campagne publicitaire, une sortie de jeu ou une publication virale peut aussi provoquer une hausse soudaine des connexions.

La différence réside notamment dans :

• l’origine du trafic ;
• sa répartition ;
• les requêtes envoyées ;
• leur fréquence ;
• leur cohérence avec l’utilisation normale du service ;
• leur capacité à consommer volontairement des ressources.

Identifier cette différence est particulièrement difficile lorsque les requêtes malveillantes ressemblent à celles de vrais utilisateurs.

Comprendre les attaques L3, L4 et L7

Les attaques DDoS sont souvent classées selon la couche du modèle réseau qu’elles ciblent.

Couche	Cible principale	Exemples courants	Effet recherché
L3 — réseau	IP et capacité réseau	Flood ICMP, trafic IP massif	Saturer la connectivité
L4 — transport	TCP, UDP et connexions	SYN flood, UDP flood, réflexion ou amplification	Épuiser la bande passante ou les états de connexion
L7 — application	HTTP, API, jeu ou fonction métier	HTTP flood, appels API répétés, requêtes coûteuses	Épuiser l’application ou sa base de données

Attaques de couche 3

La couche 3 concerne notamment le routage IP. Une attaque à ce niveau cherche généralement à envoyer un volume important de paquets vers l’infrastructure ciblée.

Le serveur peut devenir difficile à joindre, même si l’application elle-même ne présente aucune erreur.

Attaques de couche 4

La couche 4 concerne principalement TCP et UDP. Une attaque peut multiplier les paquets ou les ouvertures de connexion afin d’épuiser les ressources réseau disponibles.

Un SYN flood, par exemple, exploite l’établissement des connexions TCP en générant un grand nombre de demandes incomplètes.

Les attaques par réflexion ou amplification utilisent des services tiers pour produire une réponse plus importante que la requête initiale et la diriger vers la cible.

Attaques de couche 7

La couche 7 correspond aux services applicatifs, comme HTTP et HTTPS. Les requêtes peuvent paraître techniquement valides :

GET /recherche
POST /connexion
GET /api/statistiques

L’attaquant cherche alors à solliciter une page ou une fonction coûteuse :

• recherche complexe ;
• génération dynamique ;
• authentification ;
• calcul ;
• requête SQL ;
• création de session ;
• chargement d’un fichier non mis en cache.

Une attaque L7 peut utiliser moins de trafic qu’une attaque volumétrique tout en consommant fortement le processeur, la mémoire ou la base de données.

Plus le trafic ressemble à celui d’un utilisateur normal, plus le filtrage doit éviter de bloquer les visiteurs légitimes.

Ce que fait une protection Anti-DDoS

Une protection Anti-DDoS analyse le trafic afin de reconnaître des comportements anormaux et de filtrer une partie des flux malveillants avant qu’ils n’atteignent directement le service ciblé.

Selon l’attaque et le dispositif utilisé, la mitigation peut notamment :

• détecter un volume inhabituel ;
• reconnaître certains vecteurs connus ;
• filtrer des paquets malformés ;
• limiter des flux répétitifs ;
• bloquer certaines sources ;
• absorber une partie du trafic ;
• appliquer des règles adaptées au protocole ;
• laisser passer le trafic considéré comme légitime.

Trafic Internet
       ↓
Détection et mitigation
       ↓
Trafic filtré
       ↓
VPS ou serveur de jeu

TalCloud inclut une protection Anti-DDoS L3/L4/L7 avec ses offres concernées. Elle vise à filtrer les attaques réseau, transport et applicatives prises en charge par le dispositif de mitigation.

Cette protection réduit le risque d’indisponibilité, mais aucune solution Anti-DDoS ne peut être présentée comme absolument infaillible. L’efficacité dépend notamment :

• du vecteur employé ;
• du volume et de la durée de l’attaque ;
• du protocole ciblé ;
• du comportement habituel de l’application ;
• de la configuration du service ;
• de la capacité à distinguer les utilisateurs des requêtes malveillantes.

Une mitigation L7 doit parfois être adaptée au fonctionnement précis de l’application. Une règle trop stricte peut bloquer de vrais visiteurs, tandis qu’une règle trop permissive peut laisser passer des requêtes coûteuses.

Ce que la protection réseau ne corrige pas

La protection Anti-DDoS ne sécurise pas automatiquement le code, les comptes et les logiciels installés sur votre VPS.

Elle ne corrige pas :

• une extension vulnérable ;
• une injection SQL ;
• un mot de passe faible ;
• une clé API exposée ;
• une application non mise à jour ;
• un panneau d’administration public ;
• un service inutile ouvert sur Internet ;
• une requête SQL mal optimisée ;
• une fuite de mémoire ;
• une absence de cache ;
• une mauvaise configuration des permissions.

Par exemple, une page qui déclenche un calcul très lourd à chaque visite peut être saturée par un nombre relativement limité de requêtes. Le trafic peut sembler normal sur le plan réseau alors que l’application épuise elle-même ses ressources.

La sécurité repose donc sur un partage des responsabilités :

Protection de l’infrastructure	Responsabilité côté serveur
Mitigation du trafic DDoS pris en charge	Mise à jour du système
Filtrage en amont	Sécurité de l’application
Détection de certains comportements anormaux	Configuration du pare-feu
Protection L3/L4/L7 incluse	Gestion des comptes et secrets
Assistance en cas d’incident	Optimisation du code et de la base

Une protection Anti-DDoS n’autorise pas à négliger la sécurité applicative. Elle constitue une couche de défense parmi plusieurs.

Renforcer votre serveur contre les indisponibilités

Fermer les ports inutiles

Un pare-feu réduit le nombre de services directement accessibles. Autorisez uniquement les ports nécessaires à votre activité.

Consultez le guide pour configurer un pare-feu UFW sur votre VPS.

Maintenir les logiciels à jour

Appliquez régulièrement les correctifs du système, du serveur web, des frameworks, plugins et dépendances.

Une version vulnérable peut permettre à un attaquant de provoquer un crash ou d’exécuter une action plus grave qu’un simple déni de service.

Limiter l’exposition des services internes

Une base de données, Redis ou une interface d’administration ne doit généralement pas être accessible publiquement.

Lorsque cela est possible, liez les services internes à :

127.0.0.1

et faites passer les visiteurs par un reverse proxy correctement configuré.

Mettre en cache les réponses

Le cache évite de recalculer une page ou de consulter la base de données pour chaque requête identique.

Il peut être appliqué :

• dans l’application ;
• dans Nginx ;
• dans un système de cache dédié ;
• au niveau d’un service intermédiaire adapté.

Limiter les requêtes coûteuses

Ajoutez des limites raisonnables aux fonctions sensibles :

• connexion ;
• création de compte ;
• recherche ;
• récupération de mot de passe ;
• envoi de formulaire ;
• appels API.

Surveiller les ressources

Suivez les indicateurs permettant de distinguer un problème réseau d’un problème applicatif :

Trafic réseau
Connexions actives
Charge CPU
Mémoire
Temps de réponse
Erreurs HTTP
Connexions à la base

Fail2ban peut compléter cette stratégie contre certaines tentatives répétées visibles dans les journaux. Il n’est toutefois pas conçu pour absorber une attaque DDoS distribuée et volumétrique. Consultez le guide pour protéger SSH avec Fail2ban.

Pour une approche globale, consultez également le guide pour sécuriser votre serveur Linux.

Que faire pendant une attaque DDoS ?

Pendant un incident, évitez les modifications improvisées qui compliqueraient le diagnostic.

Commencez par relever :

• l’heure de début ;
• les services touchés ;
• les ports concernés ;
• les erreurs observées ;
• les variations de trafic ;
• la charge CPU et mémoire ;
• les journaux de Nginx ou de l’application ;
• les changements récents de configuration.

Vérifiez si le problème concerne :

Le réseau entier
Un port précis
Un domaine
Une route HTTP
Une API
Une base de données

Contactez ensuite le support en fournissant des informations factuelles : horaires, symptômes, journaux pertinents et services concernés.

Évitez de :

• changer l’adresse IP à l’aveugle ;
• ouvrir davantage de ports ;
• désactiver toutes les protections ;
• redémarrer continuellement le serveur ;
• bloquer des plages entières sans analyse ;
• publier des journaux contenant des secrets.

Si l’attaque vise une fonction L7 précise, une limitation temporaire, un cache ou la désactivation contrôlée de cette fonction peut réduire la charge. Toute mesure doit toutefois être testée pour éviter de bloquer les utilisateurs légitimes.

En résumé

• Une attaque DDoS utilise plusieurs sources pour rendre un service lent ou inaccessible.
• Un pic de visiteurs légitimes n’est pas automatiquement une attaque.
• Les attaques L3 ciblent principalement la couche réseau.
• Les attaques L4 visent les protocoles de transport comme TCP et UDP.
• Les attaques L7 utilisent des requêtes applicatives pouvant sembler légitimes.
• Une protection Anti-DDoS filtre et limite le trafic malveillant pris en charge en amont.
• TalCloud inclut une protection Anti-DDoS L3/L4/L7 sur ses offres concernées.
• Aucune protection Anti-DDoS ne doit être considérée comme absolue ou infaillible.
• La sécurité du code, des mots de passe, des plugins et des configurations reste à votre charge.
• Fermez les ports inutiles, mettez les services à jour et limitez les fonctions coûteuses.
• Surveillez le réseau, les ressources système et les logs applicatifs.
• Pendant une attaque, rassemblez les faits et contactez le support sans modifier l’infrastructure à l’aveugle.
• Pour bénéficier d’une protection Anti-DDoS L3/L4/L7 incluse sur un VPS hébergé en France avec stockage NVMe, panel de gestion et support francophone, découvrez les offres VPS TalCloud.