Cet article a été traduit automatiquement.
Chaque fois que vous essayez de vous connecter à un autre ordinateur, les deux terminaux ont une conversation rapide. Une attaque SYN détourne ce processus de connexion.
Si une attaque SYN persiste, les services informatiques peuvent mobiliser tellement de ressources qu'un réseau informatique entier peut tomber en panne. Les attaques par déni de service (DoS) de ce type font partie des problèmes les plus destructeurs et les plus mortels auxquels un administrateur de réseau peut être confronté.
Nous allons vous expliquer comment commence une attaque par inondation SYN, puis nous vous en dirons plus sur la manière d'y remédier. Nous discuterons également de la manière de prévenir la prochaine attaque.
À quoi ressemble une attaque de type "SYN-flood" ?
Chaque jour, votre ordinateur a des centaines de petites conversations avec d'autres serveurs. Vous êtes responsable d'une partie du Sommaire. Mais une partie des technologies de l'information se déroule dans les coulisses. Ce bavardage en arrière-plan déclenche une attaque de type SYN-flood.
Votre ordinateur utilise le protocole de contrôle de transmission/protocole Internet (TCP/IP) pour communiquer. Une poignée de main en trois parties lance le processus.
- Commencez : Votre ordinateur envoie un message SYN (ou de synchronisation) au serveur.
- Accusé de réception : Le serveur vous renvoie une note SYN-ACK (ou accusé de réception de synchronisation).
- Répéter l'accusé de réception : Votre ordinateur envoie une note ACK pour établir la connexion.
Une attaque de type "SYN-flood" peut impliquer :
- Muting. Un ordinateur ne répond jamais par le dernier message ACK.
- usurpation d'identité. Un ordinateur entame la conversation à partir d'un point d'origine fictif. Les réponses du serveur sont envoyées à un ordinateur qui ne les a pas demandées et qui les ignore.
- Répétition. Un ordinateur envoie des messages SYN à plusieurs reprises et le serveur ne peut pas gérer autant de demandes.
Une cible SYN ne peut pas clore la conversation une fois qu'elle a commencé. L'IT doit attendre que l'ordinateur qui a commencé la poignée de main mette fin à l'IT. Lors d'une inondation, le serveur a plusieurs demandes en cours alors que d'autres arrivent. Le serveur finit par céder sous la pression.
Comment se remettre d'une attaque SYN-flood (également connue sous le nom d'attaque TCP) ?
En cas de problème de déni de service, il est impossible de faire son travail. Les serveurs fonctionnent lentement ou le système entier tombe en panne. Le redémarrage ne sert à rien, car l'attaque reprend dès que votre ordinateur est fonctionnel. Mais il existe des mesures que vous pouvez prendre pour reprendre le contrôle de vos agresseurs.
L'IETE Trust recommande :
- Filtrage. Utilisez des outils pour empêcher les pirates d'usurper leur adresse IP. Cette méthode ne peut pas éliminer la possibilité de problèmes futurs, car le pirate peut changer d'adresse toutes les quelques minutes. Mais cet obstacle risque de les ralentir quelque peu.
- Élargir votre carnet de commandes. Augmentez le nombre de requêtes semi-ouvertes que votre serveur peut prendre en charge. Avec une capacité accrue, il est plus difficile de faire tomber votre serveur en panne.
- Raccourcir vos délais. Modifiez l'horloge de votre serveur et fermez plus rapidement les connexions incomplètes.
- Recyclage de la plus ancienne connexion TCP semi-ouverte. Établissez rapidement des connexions légitimes afin qu'elles ne soient pas prises dans le flot de requêtes malveillantes.
- Modification des options de connexion. Utilisez des cookies ou des caches pour séparer les bonnes demandes des versions erronées.
Vous pouvez également utiliser des pare-feu pour filtrer les demandes de connexion. Créez des paramètres pour que seules les demandes complètes puissent passer à travers le pare-feu vers votre serveur.
Pouvez-vous prévenir les inondations SYN ?
Si une attaque réussit, vos serveurs deviennent indisponibles jusqu'à ce que vous résolviez le problème. Si votre système tombe en panne au milieu de la nuit, vous risquez de passer des heures blanches à revoir votre code et vos systèmes pour corriger le problème. Si vous pouvez prévenir l'informatique, vous gagnerez du temps et vous vous épargnerez des tracas.
Pour récupérer d'une attaque, vous pouvez utiliser certaines des mêmes mesures que celles que vous utilisez dans vos efforts de prévention. Par exemple, l'utilisation de filtres et la modification de vos délais et de votre carnet de commandes rendent une attaque plus difficile à lancer. Ces mesures de renforcement rendent votre système plus immunisé contre les techniques.
Certains experts affirment que le seul moyen d'empêcher véritablement l'inondation SYN est de modifier le mode de fonctionnement des protocoles TCP/IP. Vous ne pouvez pas le faire en tant qu'administrateur système. Mais vous pouvez utiliser tous les outils à votre disposition pour rendre votre serveur aussi imperméable que possible aux attaques.
Chez Okta, nous pouvons vous aider. Découvrez pourquoi plus de 10 650 marques mondiales font confiance à Okta pour sécuriser leurs interactions numériques avec leurs employés et leurs clients.
Références
Protocole de contrôle de transmission (TCP). (septembre 1999). Université de Stanford.
TCP SYN Flooding Attacks and Common Mitigations (Attaques d'inondation TCP SYN et mesures d'atténuation courantes). (août 2007). La confiance de l'IETF.
DDoS SYN Flooding : Atténuation et prévention. (décembre 2014). International Journal of Scientific and Engineering Research.
