DDoS et Firewall
DDoS est l'un des six types d'attaque du duel de cartes, et Firewall est la défense qui le contre. Tu trouveras ici ce qu'ils représentent dans la sécurité réelle, comment ils s'affrontent dans le jeu et leurs 19 cartes.
L'attaque : DDoS
Une attaque DDoS (Distributed Denial of Service) ne veut rien voler : elle veut rendre un service injoignable, en l'inondant de requêtes ou de trafic venant de milliers d'appareils à la fois, souvent des ordinateurs, caméras et routeurs infectés réunis dans un botnet. Le résultat est un site ou une appli qui ne répond plus aux vrais clients, parfois utilisé comme diversion pour une autre attaque.
La défense : Firewall
Le pare-feu décide quel trafic peut entrer et sortir d'un réseau ou d'un ordinateur, selon des règles : ports ouverts seulement pour les services nécessaires, accès d'administration seulement depuis des réseaux de confiance. Contre les DDoS, il travaille avec des filtres en amont, des limites au nombre de requêtes et des réseaux de distribution (CDN) capables d'absorber d'énormes pics de trafic avant qu'ils n'atteignent le serveur.
Qui arrête quoi
- Firewall contre DDoS : dégâts divisés par deux. Les filtres, les limites de requêtes et les réseaux d'absorption arrêtent le trafic en trop avant qu'il n'atteigne le serveur.
- DDoS contre EDR : double dégâts. Une vague de trafic n'exécute aucun programme sur les ordinateurs : pour l'EDR, il n'y a rien à bloquer.
- DDoS contre IDS : double dégâts. L'IDS voit l'attaque et donne l'alerte, mais la détecter ne suffit pas : la connexion reste saturée.
- Phishing contre Firewall : double dégâts. L'e-mail arrive par des canaux normaux et autorisés, et c'est une personne qui fait entrer l'attaquant de l'intérieur : les règles sur les ports ne voient rien d'anormal.
- Malware contre Firewall : double dégâts. Le malware est déjà dans le réseau et communique par des ports autorisés, mêlé au trafic web normal.
Dans toutes les autres combinaisons, les dégâts sont normaux.
Les combos avec DDoS
- Tempête (DDoS → DDoS, +2 dégâts): des vagues de trafic l'une après l'autre additionnent leurs effets.
- Diversion (DDoS → Exploit, +2 dégâts): pendant que la défense est occupée par le DDoS, un exploit passe inaperçu.
Cartes d'attaque DDoS (8)
SYN flood
Inonde le serveur de connexions à moitié ouvertes pour épuiser ses ressources.
Ping flood
Une rafale de pings pour saturer la connexion. Le DDoS le plus simple qui soit.
Slowloris
L'adversaire a 1 de bande passante en moins pendant 1 tour.
Saturation de l'uplink
On remplit la liaison du data center jusqu'à la faire saccader. On la limite avec plusieurs fournisseurs et un filtrage anti-DDoS. Pendant 1 tour, l'adversaire pioche une carte de moins.
Amplification DNS
Beaucoup de dégâts pour son coût.
DDoS multivecteur
Il frappe en même temps le réseau, les protocoles et l'application : la défense ne sait pas d'où vient le coup. La défense adverse la plus faible perd 3 de résistance et toutes les défenses adverses subissent 1 dégât.
Botnet
Des milliers d'appareils infectés qui attaquent ensemble. Le DDoS le plus puissant.
Mirai
L'attaque la plus puissante du jeu.
Cartes de défense Firewall (11)
Firewall périmétrique
Filtre le trafic qui entre dans le réseau et qui en sort.
Règle de firewall
Une règle qui bloque un port inutile. Petite, mais elle coûte peu.
VLAN segmenté
Le réseau découpé en segments séparés : qui entre dans l'un ne voit pas les autres, et une panne ou un intrus restent isolés. Régénère : +1 de résistance au début du tour.
Web application firewall
Provocation : doit être frappée en premier.
CDN anti-DDoS
Un réseau distribué qui absorbe les pics de trafic malveillant.
Microsegmentation
Bouclier : −1 à chaque dégât à ton core.
Accélérateur CDN
Un CDN rapproche les contenus des utilisateurs et décharge les serveurs, ce qui libère de la capacité. Bande passante : +1 de bande passante au début du tour.
Bouclier réactif
Un firewall qui adapte ses règles en temps réel au trafic suspect. Provocation : doit être frappée en premier. Armure : −1 à chaque coup subi.
Security group
Le pare-feu virtuel de chaque instance cloud : ouvert seulement aux ports nécessaires. Bouclier : −1 à chaque dégât à ton core.
Landing zone
La zone de départ de chaque compte cloud, avec règles et protections déjà en place. Provocation : doit être frappée en premier. Bouclier : −1 à chaque dégât à ton core. Régénère : +1 de résistance au début du tour.
Data diode
Une liaison physique à sens unique : les données sortent, mais rien ne peut rentrer. Utilisée dans les réseaux industriels et classifiés. Provocation : doit être frappée en premier. Armure : −1 à chaque coup subi.
Guides associés (en anglais)
Pour apprendre la partie technique, il y a les laboratoires simulés :