--- id: CP-066 slug: attaque-ddos-deni-de-service-distribue lang: fr title: Le déni de service distribué (DDoS) description: Comment des milliers de machines piratées saturent un service, ce que le salarié constate à l'écran et les réflexes de l'organisation. canonical_url: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Le déni de service distribué (DDoS) », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # Le déni de service distribué (DDoS) Une attaque par déni de service (DoS) empêche des utilisateurs légitimes d'accéder à un site, à une messagerie, à un compte en ligne ou à un autre service. L'attaquant inonde la cible de trafic jusqu'à ce qu'elle ne puisse plus répondre ou qu'elle tombe en panne [1]. Dans sa forme distribuée (DDoS), plusieurs machines agissent ensemble contre une même cible [1]. Pour le salarié, le résultat se voit surtout comme une lenteur ou une page qui ne s'ouvre plus. Ces signes peuvent ressembler à un problème de disponibilité sans malveillance, mais peuvent aussi indiquer une attaque DoS ou DDoS [1]. ## En 30 secondes - Où ça arrive : sur les sites, messageries, comptes en ligne et autres services accessibles par Internet [1]. - Ce que veut l'attaquant : rendre le service indisponible, pour des raisons politiques, pour faire diversion ou pour extorquer de l'argent [2]. - Le réflexe : prévenir l'administrateur réseau, qui vérifie si la panne vient d'une maintenance ou d'un incident interne, et qui peut surveiller le trafic pour confirmer une attaque [1]. - Si c'est déjà fait : l'administrateur peut contacter le fournisseur d'accès et appliquer des règles de pare-feu ; le reste du réseau reste à surveiller, car l'attaque sert parfois de diversion [1]. ## Questions directes ### Qu'est-ce qu'un botnet ? C'est un groupe d'appareils connectés détournés par un attaquant, qui les pilote avec un logiciel de commande et de contrôle. Les appareils infectés sont eux aussi des victimes de l'attaque [1]. Un botnet peut être loué à d'autres personnes, souvent par des services « attack-for-hire » qui permettent à des utilisateurs sans compétence de lancer un DDoS [1]. ### Pourquoi est-ce plus difficile à arrêter qu'une attaque venue d'une seule machine ? Le trafic arrive de nombreuses sources, ce qui le rend plus difficile à distinguer du trafic légitime [3]. Le DDoS rend aussi l'origine réelle de l'attaque plus difficile à identifier [1]. Dans les pires cas, chaque machine n'envoie qu'une faible quantité de trafic, et le distinguer de celui des clients légitimes devient extrêmement difficile [4]. ### Comment savoir si c'est une attaque ou une simple panne ? Les symptômes ressemblent à ceux d'un problème ordinaire ou d'une maintenance. La CISA cite trois signes qui peuvent indiquer une attaque : un réseau anormalement lent, un site précis qui ne répond plus, ou l'impossibilité d'ouvrir n'importe quel site [1]. La meilleure façon de trancher est la surveillance du trafic réseau [1]. ### Peut-on être touché sans être visé ? Oui. Si le fournisseur d'accès ou le fournisseur de cloud d'un réseau est attaqué, ce réseau perd aussi son service [1]. ### Une attaque DDoS vole-t-elle des données ? Les sources consultées décrivent une perte de disponibilité. Le NCSC britannique note qu'un site public indisponible peut gêner l'activité (ventes perdues, salariés qui ne peuvent plus travailler), même sans effet sur la confidentialité ou l'intégrité des données [3]. La CISA signale en revanche que des attaquants lancent un DDoS pour détourner l'attention et mener des attaques secondaires contre d'autres services du réseau [1]. ## Dans la peau de l'attaquant L'attaquant a besoin de volume. Il peut construire son propre botnet ou en louer le temps d'utilisation [4]. Les objets connectés, qui gardent souvent leur mot de passe par défaut, sont vulnérables : l'infection passe souvent inaperçue de leur propriétaire, et des centaines de milliers d'appareils peuvent être compromis sans qu'il le sache [1]. Il peut aussi masquer ou falsifier l'adresse d'origine des paquets. Cela rend le filtrage par adresse source moins efficace, voire inutile, pour les défenseurs [2]. Cet article les range en trois familles, un choix de présentation qui ne reprend pas une classification des sources. La famille volumétrique sature la bande passante. MITRE donne l'exemple de 10 Gbit/s de trafic envoyés vers un serveur relié à Internet par une connexion de 1 Gbit/s [2]. Une variante utilise des serveurs tiers, les réflecteurs : l'attaquant leur envoie des paquets portant l'adresse falsifiée de la victime, et les réponses, plus volumineuses que les requêtes, partent vers elle. Le DNS et le NTP ont permis de telles amplifications ; le protocole memcache a montré une amplification allant jusqu'à 51 200 fois le paquet de départ [5]. La famille protocolaire exploite le fonctionnement des échanges réseau. Lors d'une inondation SYN, l'attaquant demande une connexion sans terminer la poignée de main en trois temps : le port reste occupé, et si les demandes continuent, tous les ports ouverts sont saturés [1]. MITRE recommande d'activer les SYN cookies pour s'en défendre [6]. La famille applicative vise les serveurs et les applications. Une inondation HTTP envoie un grand nombre de requêtes à un serveur web pour épuiser ses ressources [7]. Une attaque par renégociation SSL/TLS ouvre une connexion chiffrée puis enchaîne les demandes de renégociation, coûteuses en calcul [7]. Ces attaques épuisent la machine sans saturer le réseau [6]. ## Ce que vous voyez à l'écran Selon la CISA, les symptômes peuvent ressembler à des problèmes de disponibilité sans malveillance, mais peuvent indiquer une attaque DoS ou DDoS [1]. Ces symptômes sont une lenteur inhabituelle à l'ouverture de fichiers ou de sites, un site précis inaccessible, ou aucun site accessible [1]. Pour un client ou un collègue, c'est une page d'erreur ou un service qui ne répond pas. Ces signes peuvent aussi venir d'une maintenance ou d'un incident technique [1]. Le salarié n'a donc pas à poser de diagnostic : il signale ce qu'il constate. ## Sous le capot Côté réseau, une inondation directe utilise surtout des protocoles sans état comme UDP ou ICMP, mais TCP peut aussi servir [4]. Presque n'importe quel protocole réseau convient [4]. Côté serveur, les attaques applicatives s'appuient sur des goulets d'étranglement propres à chaque couche : système d'exploitation, serveur web, DNS, base de données ou application [6]. Pour se défendre, quand le volume dépasse la capacité de la connexion visée, il faut filtrer le trafic en amont, chez le fournisseur d'accès, dans un réseau de diffusion de contenu (CDN) ou chez un spécialiste de l'atténuation [2]. Selon le volume, un filtrage sur place est parfois possible : blocage des adresses sources, des ports ou des protocoles visés [2]. ## Autopsies ### Septembre 2016 : Mirai contre le blog de Brian Krebs et OVH Le 20 septembre 2016, le blog de sécurité de Brian Krebs a subi une attaque massive, l'une des plus importantes enregistrées, au-delà de 620 Gbit/s. Elle venait d'un botnet d'objets connectés piloté par le logiciel malveillant Mirai [8]. Mirai parcourt Internet en continu à la recherche d'appareils vulnérables, et teste une courte liste de 62 identifiants et mots de passe par défaut [8]. L'auteur présumé de Mirai a affirmé que plus de 380 000 appareils avaient été asservis lors de l'attaque contre le site de Krebs [8]. Fin septembre, une autre attaque Mirai contre l'hébergeur français OVH a battu le record : au moins 1,1 Tbit/s, peut-être 1,5 Tbit/s [8]. Les appareils touchés étaient surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo numériques [8]. Le code source de Mirai a été publié en ligne fin septembre, ce qui ouvrait la voie à d'autres attaques [8]. Fin novembre 2016, un logiciel dérivé de Mirai a scanné le port TCP 7547 de routeurs à large bande vulnérables [8]. La CISA recommande, pour un appareil infecté, de le déconnecter, de le redémarrer hors réseau (Mirai réside en mémoire vive), de remplacer le mot de passe par défaut, puis seulement de le reconnecter [8]. ### Août 2023 : l'attaque HTTP/2 « Rapid Reset » Google a décrit, le 10 octobre 2023, une attaque DDoS HTTP/2 inédite, dont le pic date d'août. La plus forte a dépassé 398 millions de requêtes par seconde, bien au-dessus de toute attaque de couche 7 signalée auparavant [9]. Elle a été largement arrêtée à la périphérie du réseau de Google par son infrastructure d'équilibrage de charge, sans panne [9]. Le principe : le client ouvre de nombreux flux d'un coup, puis annule chaque requête aussitôt en envoyant une trame RST_STREAM, sans attendre la réponse [9]. Le serveur doit pourtant faire un travail important pour les requêtes annulées, alors que le client n'en paie presque pas le coût [9]. Google a coordonné la divulgation avec des partenaires du secteur et réservé l'identifiant CVE-2023-44487 pour suivre les correctifs [9]. Elle recommande d'appliquer les correctifs dès que possible [9]. ### Autres cas datés En 2016, APT28 a mené un DDoS contre l'Agence mondiale antidopage [2]. En 2019, Sandworm Team a temporairement perturbé des sites géorgiens après avoir compromis un hébergeur web [6]. Une série d'incidents en 2012 a visé de grandes banques américaines [4]. ## Ce que fait l'organisation La CISA indique qu'aucun moyen n'évite totalement d'être visé. Les administrateurs peuvent s'abonner à un service de protection qui détecte les flux anormaux et filtre le trafic, et préparer un plan de reprise après sinistre [1]. Le NCSC britannique reprend quatre pratiques : connaître son service, connaître ses défenses, créer un plan de réponse et le tester [3]. Côté salarié, deux gestes : signaler rapidement une lenteur ou une indisponibilité inhabituelle à l'administrateur réseau, et changer les mots de passe par défaut des appareils connectés, y compris à domicile [1][8]. ## Sources 1. CISA, « Understanding Denial-of-Service Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Network Denial of Service, Technique T1498 - Enterprise ». https://attack.mitre.org/techniques/T1498/ (consulté le 3 novembre 2026) 3. NCSC (Royaume-Uni), « Denial of Service (DoS) guidance ». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise ». https://attack.mitre.org/techniques/T1498/001/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise ». https://attack.mitre.org/techniques/T1498/002/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Endpoint Denial of Service, Technique T1499 - Enterprise ». https://attack.mitre.org/techniques/T1499/ (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise ». https://attack.mitre.org/techniques/T1499/002/ (consulté le 3 novembre 2026) 8. CISA, « Heightened DDoS Threat Posed by Mirai and Other Botnets », 14 octobre 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consulté le 3 novembre 2026) 9. Google, « How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack », 10 octobre 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.