Anti-DDoS : comment être certain qu'une solution protège correctement ?

AVIS D’EXPERT

Disposer d’une protection anti-DDoS ne permet pas nécessairement de savoir comment elle se comporte, lorsqu’une attaque survient. Une bonne prise en main commence par une connaissance précise des flux, des applications exposées et des réglages de protection. Elle passe ensuite par la simulation, les tests et la capacité à ajuster les mécanismes de mitigation en fonction de la réalité du trafic.

De nombreuses entreprises partent du principe que leur protection DDoS, souvent fournie dans le cadre d’un bundle d’offres réseau ou sécurité, fonctionne en mode « plug & play ». En place, elle serait là pour agir comme un airbag et peu importe si les détails sur son fonctionnement exact ou ce qui se passe au quotidien sont limités. Pourtant, en cas d’attaque et de crise, ce parti pris peut vite poser un problème.

Comment faire pour éviter cet écueil et se sentir vraiment en maîtrise de sa défense anti-DDoS ? La première étape consiste à organiser des ateliers techniques au moment du déploiement. Il s’agit notamment de cartographier les flux : quelles applications sont exposées, quels types de trafic, comment les regrouper ou les isoler, quels modules sont associés… Il faut prendre le temps de mener deux ou trois ateliers avant de placer la solution en mode « simulation » pendant sept à quatorze jours.

Cette période permet d’identifier les faux positifs, de retrouver des applications oubliées ou encore de repérer des flux qui devraient être séparés. La phase de déploiement peut d’ailleurs faire apparaître des éléments inattendus dans le système d’information. C’est un moment où l’on peut découvrir qu’une application censée être décommissionnée est toujours utilisée, par exemple. Le travail autour de l’anti-DDoS devient alors également un exercice plus large de connaissance du SI.

Après la phase de simulation vient la mise en protection, de manière coordonnée avec le client. Les protections robustes sont souvent celles qui ont été testées plusieurs fois et améliorées. Cette logique de test reste encore peu répandue. Pour de nombreux responsables de la sécurité de grands groupes, le stress test apparait comme une préoccupation particulièrement importante. Un dispositif qui n’est pas testé n’est pas « combat proof », résumait avec justesse l’un des participants.

Le principe est simple : une organisation peut difficilement savoir si sa protection est correctement adaptée lorsqu’elle n’a jamais observé son comportement dans une situation proche d’une attaque réelle. Les entreprises régulièrement ciblées disposent d’un retour d’expérience direct. Pour les autres, la simulation et les tests permettent de mettre en évidence les éventuels angles morts.