Une attaque par déni de service distribué (DDoS) est une tentative malveillante de perturber le trafic normal d’un serveur, d’un service ou d’un réseau ciblé en submergeant la cible ou son infrastructure environnante d’un flot de trafic Internet. Les attaques DDoS gagnent en efficacité en utilisant plusieurs systèmes informatiques compromis comme sources de trafic d'attaque.

Une attaque DDoS implique un pirate qui prend le contrôle d'un réseau de machines en ligne. Les ordinateurs et autres machines sont infectés par des logiciels malveillants, transformant chacun en bot. Le pirate a alors le contrôle à distance sur le groupe de bots (appelé botnet). Le pirate peut ensuite diriger les machines en envoyant des instructions mises à jour à chaque bot à l'aide d'une télécommande.

Différents vecteurs d'attaque DDoS ciblent différents composants d'une connexion réseau. Une connexion réseau sur Internet est composée de nombreux composants ou « couches » différents. Comme la construction d'une maison, chaque étape du modèle a un objectif différent. Le modèle OSI est un cadre conceptuel utilisé pour décrire la connectivité réseau dans sept couches distinctes.

L'atténuation d'une attaque DDoS multi-vecteurs nécessite diverses stratégies pour contrer différentes trajectoires. Plus l'attaque est complexe, plus il est difficile de la distinguer du trafic normal - l'objectif de l'attaquant est de se fondre le plus possible dans la masse. Pour surmonter une tentative complexe de perturbation, une solution à plusieurs niveaux apportera le plus grand bénéfice. 

Un pare-feu applicatif Web (WAF) permet de protéger les applications Web en filtrant et en surveillant le trafic HTTP entre une application Web et Internet. En déployant un WAF devant une application Web, un bouclier est placé entre l'application Web et Internet. Un WAF protège le serveur de l'exposition en faisant passer les clients par le WAF avant d'atteindre le serveur.

Un WAF fonctionnant sur la base d'une liste noire (modèle de sécurité négatif) protège contre les attaques connues. Inversement, un WAF basé sur une liste blanche (modèle de sécurité positif) n'admet que le trafic qui a été préapprouvé. Les listes noires et les listes blanches présentent tous deux leurs avantages et leurs inconvénients, c'est pourquoi de nombreux WAF offrent un modèle de sécurité hybride, qui implémente les deux.

Un réseau de diffusion de contenu (CDN) fait référence à un groupe de serveurs géographiquement distribués, travaillant ensemble pour fournir rapidement du contenu Internet. Un CDN transfère rapidement les ressources nécessaires au chargement du contenu Internet. La popularité des services CDN continue de croître, et aujourd'hui, la plupart du trafic Web est desservi par les CDN.

Pour améliorer la vitesse et la connectivité, un CDN place les serveurs aux points d'échange entre différents réseaux. Ces points d'échange Internet (IXP) sont les principaux emplacements où différents fournisseurs d'Internet se connectent pour fournir un accès mutuel au trafic provenant de leurs différents réseaux.

Pour les sites Web qui chargent du contenu, les utilisateurs abandonnent rapidement le site au fur et à mesure que le site ralentit. La nature distribuée à l'échelle mondiale d'un CDN signifie une distance réduite entre les utilisateurs et les ressources du site Web. Au lieu de devoir se connecter là où le serveur d'origine d'un site Web peut vivre, un CDN permet aux utilisateurs de se connecter à un centre de données géographiquement plus proche. Moins de temps de trajet signifie un service plus rapide.

Le DNS (Domain Name System) est le répertoire téléphonique d'Internet. Les utilisateurs accèdent aux informations en ligne via des noms de domaine, comme nytimes.com ou espn.com. Les navigateurs Web interagissent par le biais d'adresses IP (Internet Protocol). Le DNS traduit les noms de domaine en adresses IP afin que les navigateurs puissent charger des ressources Internet.

La résolution DNS implique la conversion d'un nom d'hôte (comme ibm.com/fr-fr) dans une adresse IP adaptée à l'ordinateur (telle que 192.168.1.1). Chaque appareil connecté à Internet se voit attribuer une adresse IP qui est utilisée pour trouver l'appareil. Lors du chargement d'une page Web, ce qu'un utilisateur saisit dans le champ d'adresse de son navigateur est traduit dans l'adresse IP nécessaire pour localiser cette page Web.

Le résolveur DNS est le premier arrêt de la recherche DNS et est chargé de traiter l'utilisateur qui a effectué la demande initiale. Le résolveur lance la séquence de requêtes qui mène finalement à une URL traduite dans l'adresse IP nécessaire