Cyberpediapar Brain
FRDEEN

Le déni de service distribué (DDoS)

Comment des milliers de machines piratées saturent un service, ce que le salarié constate à l'écran et les réflexes de l'organisation.

En 30 secondes

Où ça arrive
Sur les sites, messageries, comptes en ligne et autres services accessibles par Internet1.
Ce que veut l'attaquant
Rendre le service indisponible, pour des raisons politiques, pour faire diversion ou pour extorquer de l'argent2.
Le réflexe
Prévenir l'administrateur réseau, qui vérifie si la panne vient d'une maintenance ou d'un incident interne, et qui peut surveiller le trafic pour confirmer une attaque1.
Si c'est déjà fait
L'administrateur peut contacter le fournisseur d'accès et appliquer des règles de pare-feu ; le reste du réseau reste à surveiller, car l'attaque sert parfois de diversion1.

De quoi parle-t-on

Une attaque par déni de service (DoS) empêche des utilisateurs légitimes d'accéder à un site, à une messagerie, à un compte en ligne ou à un autre service. L'attaquant inonde la cible de trafic jusqu'à ce qu'elle ne puisse plus répondre ou qu'elle tombe en panne1.

Dans sa forme distribuée (DDoS), plusieurs machines agissent ensemble contre une même cible1. Pour le salarié, le résultat se voit surtout comme une lenteur ou une page qui ne s'ouvre plus. Ces signes peuvent ressembler à un problème de disponibilité sans malveillance, mais peuvent aussi indiquer une attaque DoS ou DDoS1.

Questions directes

Qu'est-ce qu'un botnet ?

C'est un groupe d'appareils connectés détournés par un attaquant, qui les pilote avec un logiciel de commande et de contrôle. Les appareils infectés sont eux aussi des victimes de l'attaque1. Un botnet peut être loué à d'autres personnes, souvent par des services « attack-for-hire » qui permettent à des utilisateurs sans compétence de lancer un DDoS1.

Pourquoi est-ce plus difficile à arrêter qu'une attaque venue d'une seule machine ?

Le trafic arrive de nombreuses sources, ce qui le rend plus difficile à distinguer du trafic légitime3. Le DDoS rend aussi l'origine réelle de l'attaque plus difficile à identifier1. Dans les pires cas, chaque machine n'envoie qu'une faible quantité de trafic, et le distinguer de celui des clients légitimes devient extrêmement difficile4.

Comment savoir si c'est une attaque ou une simple panne ?

Les symptômes ressemblent à ceux d'un problème ordinaire ou d'une maintenance. La CISA cite trois signes qui peuvent indiquer une attaque : un réseau anormalement lent, un site précis qui ne répond plus, ou l'impossibilité d'ouvrir n'importe quel site1. La meilleure façon de trancher est la surveillance du trafic réseau1.

Peut-on être touché sans être visé ?

Oui. Si le fournisseur d'accès ou le fournisseur de cloud d'un réseau est attaqué, ce réseau perd aussi son service1.

Une attaque DDoS vole-t-elle des données ?

Les sources consultées décrivent une perte de disponibilité. Le NCSC britannique note qu'un site public indisponible peut gêner l'activité (ventes perdues, salariés qui ne peuvent plus travailler), même sans effet sur la confidentialité ou l'intégrité des données3. La CISA signale en revanche que des attaquants lancent un DDoS pour détourner l'attention et mener des attaques secondaires contre d'autres services du réseau1.

1Dans la peau de l'attaquant2 min

L'attaquant a besoin de volume. Il peut construire son propre botnet ou en louer le temps d'utilisation4. Les objets connectés, qui gardent souvent leur mot de passe par défaut, sont vulnérables : l'infection passe souvent inaperçue de leur propriétaire, et des centaines de milliers d'appareils peuvent être compromis sans qu'il le sache1.

Il peut aussi masquer ou falsifier l'adresse d'origine des paquets. Cela rend le filtrage par adresse source moins efficace, voire inutile, pour les défenseurs2.

Cet article les range en trois familles, un choix de présentation qui ne reprend pas une classification des sources.

La famille volumétrique sature la bande passante. MITRE donne l'exemple de 10 Gbit/s de trafic envoyés vers un serveur relié à Internet par une connexion de 1 Gbit/s2. Une variante utilise des serveurs tiers, les réflecteurs : l'attaquant leur envoie des paquets portant l'adresse falsifiée de la victime, et les réponses, plus volumineuses que les requêtes, partent vers elle. Le DNS et le NTP ont permis de telles amplifications ; le protocole memcache a montré une amplification allant jusqu'à 51 200 fois le paquet de départ5.

La famille protocolaire exploite le fonctionnement des échanges réseau. Lors d'une inondation SYN, l'attaquant demande une connexion sans terminer la poignée de main en trois temps : le port reste occupé, et si les demandes continuent, tous les ports ouverts sont saturés1. MITRE recommande d'activer les SYN cookies pour s'en défendre6.

La famille applicative vise les serveurs et les applications. Une inondation HTTP envoie un grand nombre de requêtes à un serveur web pour épuiser ses ressources7. Une attaque par renégociation SSL/TLS ouvre une connexion chiffrée puis enchaîne les demandes de renégociation, coûteuses en calcul7. Ces attaques épuisent la machine sans saturer le réseau6.

2Ce que vous voyez à l'écran1 min

Selon la CISA, les symptômes peuvent ressembler à des problèmes de disponibilité sans malveillance, mais peuvent indiquer une attaque DoS ou DDoS1. Ces symptômes sont une lenteur inhabituelle à l'ouverture de fichiers ou de sites, un site précis inaccessible, ou aucun site accessible1. Pour un client ou un collègue, c'est une page d'erreur ou un service qui ne répond pas.

Ces signes peuvent aussi venir d'une maintenance ou d'un incident technique1. Le salarié n'a donc pas à poser de diagnostic : il signale ce qu'il constate.

3Sous le capotÉquipes IT1 min

Côté réseau, une inondation directe utilise surtout des protocoles sans état comme UDP ou ICMP, mais TCP peut aussi servir4. Presque n'importe quel protocole réseau convient4.

Côté serveur, les attaques applicatives s'appuient sur des goulets d'étranglement propres à chaque couche : système d'exploitation, serveur web, DNS, base de données ou application6.

Pour se défendre, quand le volume dépasse la capacité de la connexion visée, il faut filtrer le trafic en amont, chez le fournisseur d'accès, dans un réseau de diffusion de contenu (CDN) ou chez un spécialiste de l'atténuation2. Selon le volume, un filtrage sur place est parfois possible : blocage des adresses sources, des ports ou des protocoles visés2.

4AutopsiesCas réels2 min

Septembre 2016 : Mirai contre le blog de Brian Krebs et OVH

Le 20 septembre 2016, le blog de sécurité de Brian Krebs a subi une attaque massive, l'une des plus importantes enregistrées, au-delà de 620 Gbit/s. Elle venait d'un botnet d'objets connectés piloté par le logiciel malveillant Mirai8. Mirai parcourt Internet en continu à la recherche d'appareils vulnérables, et teste une courte liste de 62 identifiants et mots de passe par défaut8. L'auteur présumé de Mirai a affirmé que plus de 380 000 appareils avaient été asservis lors de l'attaque contre le site de Krebs8.

Fin septembre, une autre attaque Mirai contre l'hébergeur français OVH a battu le record : au moins 1,1 Tbit/s, peut-être 1,5 Tbit/s8. Les appareils touchés étaient surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo numériques8. Le code source de Mirai a été publié en ligne fin septembre, ce qui ouvrait la voie à d'autres attaques8. Fin novembre 2016, un logiciel dérivé de Mirai a scanné le port TCP 7547 de routeurs à large bande vulnérables8.

La CISA recommande, pour un appareil infecté, de le déconnecter, de le redémarrer hors réseau (Mirai réside en mémoire vive), de remplacer le mot de passe par défaut, puis seulement de le reconnecter8.

Août 2023 : l'attaque HTTP/2 « Rapid Reset »

Google a décrit, le 10 octobre 2023, une attaque DDoS HTTP/2 inédite, dont le pic date d'août. La plus forte a dépassé 398 millions de requêtes par seconde, bien au-dessus de toute attaque de couche 7 signalée auparavant9. Elle a été largement arrêtée à la périphérie du réseau de Google par son infrastructure d'équilibrage de charge, sans panne9.

Le principe : le client ouvre de nombreux flux d'un coup, puis annule chaque requête aussitôt en envoyant une trame RST_STREAM, sans attendre la réponse9. Le serveur doit pourtant faire un travail important pour les requêtes annulées, alors que le client n'en paie presque pas le coût9. Google a coordonné la divulgation avec des partenaires du secteur et réservé l'identifiant CVE-2023-44487 pour suivre les correctifs9. Elle recommande d'appliquer les correctifs dès que possible9.

Autres cas datés

En 2016, APT28 a mené un DDoS contre l'Agence mondiale antidopage2. En 2019, Sandworm Team a temporairement perturbé des sites géorgiens après avoir compromis un hébergeur web6. Une série d'incidents en 2012 a visé de grandes banques américaines4.

5Ce que fait l'organisation1 min

La CISA indique qu'aucun moyen n'évite totalement d'être visé. Les administrateurs peuvent s'abonner à un service de protection qui détecte les flux anormaux et filtre le trafic, et préparer un plan de reprise après sinistre1. Le NCSC britannique reprend quatre pratiques : connaître son service, connaître ses défenses, créer un plan de réponse et le tester3.

Côté salarié, deux gestes : signaler rapidement une lenteur ou une indisponibilité inhabituelle à l'administrateur réseau, et changer les mots de passe par défaut des appareils connectés, y compris à domicile18.

Fiche

Identifiant
CP-066
Aile
1. Attaques et techniques
Compétence Brain
Comprendre le hacking (understand_hacking)
Réflexe Brain
cr-049
Schéma
G1 · Chaîne d'attaque (Kill Chain)
Langues
de, en, fr
Sources
9 sources vérifiées le 3 novembre 2026
Sources9 sources
  1. CISA, « Understanding Denial-of-Service Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Network Denial of Service, Technique T1498 - Enterprise ». https://attack.mitre.org/techniques/T1498/ (consulté le 3 novembre 2026)
  3. NCSC (Royaume-Uni), « Denial of Service (DoS) guidance ». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise ». https://attack.mitre.org/techniques/T1498/001/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise ». https://attack.mitre.org/techniques/T1498/002/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Endpoint Denial of Service, Technique T1499 - Enterprise ». https://attack.mitre.org/techniques/T1499/ (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise ». https://attack.mitre.org/techniques/T1499/002/ (consulté le 3 novembre 2026)
  8. CISA, « Heightened DDoS Threat Posed by Mirai and Other Botnets », 14 octobre 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consulté le 3 novembre 2026)
  9. Google, « How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack », 10 octobre 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consulté le 3 novembre 2026)

Citer cet article

Brain, « Le déni de service distribué (DDoS) », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/

BibTeX 
@misc{brain_cp066_fr_2026,
  author = {Brain},
  title = {Le déni de service distribué (DDoS)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0