Très cher DDoS...
Les entreprises de sécurité informatique sonnent l’alerte : une vague d’attaques de sites serait à redouter pour Noël. Un peu d’agitation pour mieux vendre des logiciels de protection ?
Attention, la fin d’année va être chaude. Papa Noël a une sale hotte remplie de DDoS cette année... DDoS ? Les Distributed Denial of Service sont des attaques qui permettent de noyer un serveur web sous une pluie de demandes trafiquées jusqu’à lui faire rendre l’âme. Rappelez-vous du grand ralentissement de février 2000 : des sites aussi connus que Yahoo !, eBay, CNN ou E*Trade avaient été littéralement paralysés par un acte de piratage. Si l’on en croit Internet Security Systems (ISS), une entreprise de sécurité informatique, de vilains pirates seraient en train de préparer une nouvelle action de ce type. Et ça va faire mal ! Car la même société précise que seuls 10% des serveurs web d’entreprises faisant du commerce électronique sont capables de répondre à une telle attaque. En effet, faisant appel aux vulnérabilités intrinsèques du Réseau, elles sont pratiquement imparables... Les DDoS n’en font que plus fantasmer. Ainsi, pour le Yankee Group, le ralentissement de février a fait perdre 1,2 milliard de dollars aux entreprises touchées. Mais si l’on prend les quatre principales (Yahoo !, eBay, E*Trade et Amazon), que l’on se base sur leurs chiffres d’affaires annoncés, et que l’on calcule 3 heures de blocage, on tombe sur 4 malheureux millions de dollars...
Des failles difficiles à nier
Revenons à ISS, entreprise assez connue dans le monde de la sécurité informatique puisqu’elle distribue un logiciel, un scanner de vulnérabilités, détectant les failles d’un serveur. La boîte dispose également de sa propre équipe de hackers, la X-Force qui publie régulièrement des alertes de sécurité. Cela dit, elles se caractérisent la plupart du temps par leur manque de détails, ce qui les rend inutilisables. Elles sont ainsi à l’opposé de la philosophie de full disclosure (diffusion totale) adoptée par une majorité de hackers américains. Cette philosophie qui consiste à donner toutes les informations nécessaires pour que chacun puisse recréer - et analyser - le problème sur sa propre infrastructure dérange les éditeurs de logiciels. Les failles ainsi rendues publiques sont difficiles à nier...
Pipeau commercial
En claironnant l’imminence d’une attaque à grande échelle, ISS joue sur la peur panique que les DDoS provoquent, tant dans la presse que chez les investisseurs. Et tente surtout de se faire une pub commerciale pour pas un rond. Car tout en médiatisant la (supposée) menace de Noël, ISS annonce un partenariat avec une entreprise qui offre des services protégeant, paraît-il, contre les mêmes DDoS. Le filon de ce type d’attaque doit être juteux puisqu’une autre société de services informatiques, EDS, a annoncé en fin de semaine dernière avoir été informée deux mois auparavant de la vague d’attaques de type DdoS de février 2000. Comment ? Grâce à son nouveau service de veille. Mais, bien entendu, EDS n’avait alors prévenu que ses clients... Ce soudain regain d’intérêt pour les attaques dites de DDoS est difficile à expliquer. Les entreprises de sécurité essayent-elles de doper leurs résultats avant la clôture de l’exercice ? L’an dernier, il y avait le passage à l’an 2000 et ses catastrophes que l’on n’a jamais vues. Cette année, prenons garde aux vilaines attaques. Là encore, on risque de les attendre longtemps.