Attaque DDoS – que faire?
En cas d’attaque DDoS, il importe en premier lieu de faire comprendre au cybercriminel qu’il n’a pas atteint son objectif. Si vous résistez suffisamment longtemps, il finira par abandonner.
Consigner
Consignez l’attaque (NetFlow, fichiers journaux des serveurs, échange de courriels avec les maîtres chanteurs, etc.). Ces informations sont précieuses pour une analyse ultérieure et pour éventuellement déposer plainte contre inconnu.
Communiquer
Assurez-vous de pouvoir garder un minimum de canaux d'informations accessibles depuis l'extérieur, par exemple un site Web statique vous permettant d’informer vos clients et de leur offrir d’autres possibilités de contact (par ex. téléphone, télécopie, courriel).
Analyser
Analysez l’attaque et définissez une stratégie de défense:
Si l’attaque provient d’un nombre limité d’adresses IP :
Il suffit de filtrer ces adresses à l’aide d’un routeur ou d'un pare-feu. Si le flux de données dépasse la bande passante à votre disposition, votre fournisseur d'accès à Internet devra s’en charger.
Déplacez le cas échéant le système attaqué dans un autre sous-réseau (en cas d’agression uniquement basée sur l'IP). Il convient ici de rechercher une solution en étroite collaboration avec votre fournisseur d'accès à Internet ou un fournisseur spécialisé dans les solutions de mitigation DDoS.
S'il s'agit d'une attaque dont l'adresse IP d'origine a vraisemblablement été falsifiée:
C'est typiquement le cas des attaques volumétriques (flooding) qui exploitent les protocoles SYN, UDP, BGP et SNMP. Filtrer les adresses IP ne sert à rien dans ce cas-là et peut même bloquer des utilisateurs légitimes. Il convient ici de trouver une solution avec votre fournisseur d'accès à Internet. Il pourra détourner ce trafic ou le filtrer. Pour ce faire, vous devez toutefois savoir quels protocoles vous utilisez et lesquels peuvent être filtrés sans causer de dommages. Les sites Web publics sont généralement basés sur des protocoles TCP (HTTP, HTTPS, SMTP, etc.) ce qui permet de filtrer les protocoles dits sans état, tels que l'UDP (exception éventuelle: DNS).
Attaques contre une application:
Dans ce cas de figure, de nombreuses requêtes (complexes) paralysent votre application. Les attaques utilisent en règle générale des protocoles réseau TCP, d’où la difficulté pour l’expéditeur à falsifier son adresse qui pourra être filtrée selon divers critères.
Attaques contre le protocole SSL/TLS:
Il peut être utile de planifier une liaison SSL auprès d’un service en nuage (cloud), qui transmettra par la suite la liaison filtrée à vos systèmes.
Si la majeure partie de votre clientèle se trouve dans des pays bien précis, la géolocalisation sur Internet (GeoIP) permet de la filtrer ou de la classer par ordre de priorité. Le service restera ainsi plus longtemps accessible, même si l’un ou l’autre utilisateur légitime pourrait être ignoré, ou obtenir un faible niveau de priorité.
Prochaines étapes
Analysez l'attaque et définissez une stratégie de défense. Attendez-vous à ce que le cybercriminel cherche une parade à vos mesures de défense et recoure à de nouvelles tactiques. Le cas échéant, analysez sa nouvelle attaque DDoS et prenez les mesures qui s’imposent.
Obligations de signaler et plaintes pénales
Annoncez à l'OFCS
Le Conseil fédéral a décidé le 7 mars 2025 de promulguer au 1er avril 2025 l’obligation de signaler les cyberattaques contre des infrastructures critiques. Depuis cette date, les exploitants d’infrastructures critiques sont tenus d’annoncer les cyberattaques à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant leur détection. Si toutes les informations requises ne peuvent pas être fournies dans les 24 heures, le délai pour compléter le signalement est de 14 jours.
Annoncez au PFPDT
Conformément à l’art. 24 de la nouvelle loi sur la protection des données qui a enté en vigueur le 1er septembre 2023, les violations de la sécurité des données devront désormais être annoncées au Préposé fédéral à la protection des données et à la transparence (PFPDT) si elles entraînent un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées par la fuite de données. Cette obligation d’annoncer est valable pour les particuliers, les entreprises et les organes fédéraux et doit être satisfaite dans les meilleurs délais.
Plaintes pénales
Déposez une dénonciation pénale à la police cantonale de votre siège. Celle-ci procédera aux investigations nécessaires.
Informations sur le paiement des rançons
L'OFCS déconseille fortement de céder aux exigences des maîtres chanteurs.
Si vous envisagez quand même de payer une rançon, l'OFCS vous recommande instamment de discuter de ces opérations avec la police cantonale.