Qu'est-ce qu'une saturation de DNS ? | Attaque DDoS par saturation de DNS

Qu'est-ce qu'une saturation de DNS ?

Les serveurs DNS (Domain Name System) sont les « répertoires » de l'Internet ; ils constituent le chemin par lequel les dispositifs de l'Internet peuvent consulter des serveurs web spécifiques afin d'accéder au contenu de l'Internet. Une saturation de DNS est un type d'attaque par déni de service distribué (DDoS) dans lequel un pirate submerge les serveurs DNS d'un domaine particulier pour tenter de perturber la résolution du DNS pour ce domaine. Si un utilisateur ne parvient pas à trouver le répertoire, il ne peut pas rechercher l'adresse nécessaire pour appeler une ressource particulière. En perturbant la résolution du DNS, une attaque par saturation de DNS mettra en péril la capacité d'un site web, d'une API ou d'une application web à répondre au trafic légitime. Les attaques par saturation de DNS peuvent être difficiles à distinguer du trafic lourd normal car le grand volume de trafic provient souvent d'une multitude d'endroits uniques, recherchant de vrais enregistrements sur le domaine, imitant le trafic légitime.

Comment fonctionne une attaque par saturation du DNS ?

La fonction du système de noms de domaine est de traduire des noms faciles à retenir (par exemple, example.com) en adresses de serveurs de sites web difficiles à retenir (par exemple, 192.168.0.1), de sorte qu'une attaque réussie de l'infrastructure DNS rend l'Internet inutilisable pour la plupart des gens. Les attaques par saturation de DNS constituent un type relativement nouveau d'attaque basée sur le DNS qui a proliféré avec l'essor des botnets à large bande passante de l'Internet des objets (IdO) tels que Mirai. Les attaques par saturation du DNS utilisent les connexions à large bande passante des caméras IP, des DVR et d'autres appareils IdO pour submerger directement les serveurs DNS des principaux fournisseurs. Le volume des requêtes provenant des appareils IdO submerge les services du fournisseur DNS et empêche les utilisateurs légitimes d'accéder aux serveurs DNS du fournisseur.

Les attaques par saturation de DNS diffèrent des attaques par amplification DNS. À la différence des saturations de DNS, les attaques par amplification DNS reflètent et amplifient le trafic provenant des serveurs DNS non sécurisés afin de dissimuler l'origine de l'attaque et d'en accroître l'efficacité. Les attaques par amplification DNS exploitent des interfaces ayant des connexions à faible bande passante pour effectuer de nombreuses requêtes vers des serveurs DNS non sécurisés. Ces interfaces effectuent de nombreuses petites requêtes pour des enregistrements DNS très volumineux, mais lorsque ces requêtes sont effectuées, le pirate indique comme adresse de retour celle de la victime visée. L'amplification permet au pirate de s'attaquer à des cibles plus importantes avec des ressources d'attaque limitées.

Comment atténuer une attaque par saturation du DNS ?

Les saturations de DNS représentent une évolution par rapport aux méthodes traditionnelles d'attaque basées sur l'amplification. Grâce aux botnets à large bande passante facilement accessibles, les attaquants peuvent désormais cibler de grandes organisations. En attendant que les dispositifs IdO corrompus puissent être mis à jour ou remplacés, la seule façon de résister à ces types d'attaques est d'utiliser un système DNS très vaste et très distribué qui peut surveiller, absorber et bloquer le trafic d'attaque en temps réel. Découvrez comment la protection contre les attaques DDoS de Cloudflare protège contre les attaques par saturation de DNS.