Extreme DDoS Defense

[MaxBorn]

tout le monde n'a pas de doctorat en mathématiques fondamentales

bien entendu c'est l'évidence même *peuf* *peuf*

Bon.. Haaa.
Merci otherflow pour ta réponse.

Je vais essayer de recommencer plus simplement.

Partons d'une question a priori simple. Comment détecter une attaque DDoS ?

Comment feriez-vous ? Par quelle approche ? Quelle est la/les stratégie que les IDS (intrusion detection system) mettent en place pour cela ? Est-il possible d'outre-passer ces mécanismes dans certains cas ?

Ce sont des questions intéressantes je trouve mais aussi d'actualités pour la sécurité informatique, comme le montre la création du projet XD3 de la DARPA qui vient de paraître et qui traduit bien la menace réelle que représentent les attaques DDoS.

Pour démarrer, dans ce document de référence (lien), vous aurez accès à une classification bien détaillée des différents types d'attaques DDoS mais également des différents mécanismes de défense.

Dans la pratique et à un niveau accessible à tout le monde je pense, prenons deux exemples, comment deux leaders, Cisco (lien) et Kaspersky (lien) vous propose de vous défendre contre DDoS ?

La réponse est simple. Ils vous propose des solutions qui analyse le trafic des données qui circulent sur "votre" réseau. L'analyse extrait des propriétés statistiques du trafic réseau et les compare aux propriétés statistiques d'un profile normale du trafic en absence d'attaques.

Maintenant, on peut se demander, quelles sont les propriétés statistiques enregistrées/étudiées ? Comment sont-elles modifier lorsqu'il y a une attaque DDoS sur le réseau ?

Vous trouverez à ce lien récent un grand nombre de détails intéressants à ce sujet.

Une des idées les plus courantes, qui se trouvent notamment dans les travaux français du projet de métrologie METROPOLIS et dont supersnail nous a fourni le lien, est d'étudier comment le flux des données généré par une attaque DDoS affecte certaines propriétés générales et invariantes du trafic réseau normal sur Internet.

De nombreuses études réalisées il y a plus de 20 ans déjà (bien connues donc, peace and love gruik), ont montré en effet que le trafic des données échangées sur Ethernet, LAN, WAN, HTTP, TCP, FTP et j'en passe, a des propriétés fractales.
---------------------------------
Internet est auto-similaire: http://allendowney.com/research/filesize/slides.pdf

LAN à une structure fractale auto-similaire: http://citeseerx.ist.psu.edu/viewdoc/dow...1&type=pdf

http://ccr.sigcomm.org/archive/1995/jan9...leland.pdf

Le trafic TCP a une structure multifractale: http://www.stat.rice.edu/~riedi/Publ/PDF/t.pdf

HTTP est auto-similaire: http://www.cs.bu.edu/fac/crovella/paper-...paper.html
-------------------------------------

Il a été observé que les attaques DDoS perturbent les paramètres associés à cette nature fractale auto-similaire du trafic et cela a donc permis de développer des indicateur d'anomalie du trafic et donc des mécanismes de détection des attaques implémenter dans les IDSs, par exemple: la valeur du facteur de Hurst.

Liens pris au hasard: (lien 1) (lien 2, à l'air excellent)

Je ne rentrerais donc pas dans les détails et pour répondre à otherflow, l'idée qui m'intéresse, et pas besoin d'avoir un doctorat en mathématiques fondamentales, est d'imaginer la possibilité d'attaques "intelligentes" où la nature statistique du flux de données envoyés est contrôlée pour être similaire à celle du trafic normal.

A partir de là on peut commencer à réfléchir à comment faire et aussi à trouver des solutions contre.