Ce sont toutes les attaques contre les réseaux qui existent et comment les éviter

Au cours des dix ou quinze dernières années, nous avons vu comment a changé le paradigme par lequel les pirates ou les cybercriminels cherchaient à exploiter toutes les vulnérabilités possibles, au sein de n’importe quelle organisation ou infrastructure nationale. Afin de contrer ce fait, chacun d’entre nous doit être clair sur le fait que nous devons changer notre perspective sur la façon dont nous voyons la sécurité dans le domaine informatique et réseau, nous devons connaître certaines attaques et comprendre ce que nous pouvons apprendre de eux, pour s’y préparer le mieux possible, et parfois même pour pouvoir les éviter. Dans ce monde de sécurité, nous ne pouvons pas dire que nous sommes prêts à empêcher toute attaque.

Index des contenus

• Attaque DoS ou attaque par déni de service
• Attaque par déni de service distribué – Déni de service distribué (DDos)
• Usurpation d’ARP
• Attaque de l’homme du milieu
• Attaque d’ingénierie sociale
• Impression au doigt du système d’exploitation
• Analyse des ports
• Tunnellisation ICMP
• L’attaque de LOKI
• Attaque de séquence TCP
• Attaques de redirection ICMP
• Attaque de transfert de zone DNS

Nous allons commencer la liste des menaces par les plus courantes depuis le début de l’activité cybercriminelle.

Attaque DoS ou attaque par déni de service

Une attaque par déni de service , a pour objectif de désactiver l’utilisation d’un système, une application, un ordinateur ou un serveur, afin de bloquer le service auquel il est destiné. Cette attaque peut affecter à la fois la source qui offre l’information, telle qu’une application ou le canal de transmission, ainsi que le réseau informatique, ou en d’autres termes, le cybercriminel tentera d’empêcher les utilisateurs d’accéder à des informations ou des services. Le type le plus courant est lorsqu’un attaquant «inonde» un réseau avec une grande quantité de données, provoquant la saturation de l’ensemble du réseau. Par exemple, dans une attaque DoS sur un site Web, lorsque nous écrivons une URL et y accédons, nous enverrons une demande pour nous montrer les informations, dans ce cas, un attaquant pourrait faire des millions de demandes dans le but de réduire l’intégralité de système. Pour cette raison, cette attaque prend le nom de « déni de service »,

Certains des problèmes que nous rencontrerons si nous effectuons une attaque DoS sont que nous remarquerons une énorme baisse des performances du réseau et beaucoup de lenteur (ouverture de fichiers ou accès à des sites Web). Un site Web particulier est totalement inaccessible et indisponible. Nous ne pourrons accéder à aucun site Web auquel nous tentons d’accéder. Augmentation drastique du nombre de spams que nous recevons.

Types d’attaques DoS

Attaque d’inondation ICMP

Ce type d’attaque par déni de service permet d’épuiser la bande passante de la victime. Il consiste à envoyer une grande quantité d’informations à l’aide de paquets ICMP Echo Request, c’est-à-dire le ping typique, mais modifié pour être plus volumineux que d’habitude. De plus, la victime pourrait vous répondre avec des paquets ICMP Echo Reply (réponse ping), nous aurons donc une surcharge supplémentaire, à la fois sur le réseau et sur la victime. Le plus normal est d’utiliser un ou plusieurs ordinateurs très puissants pour attaquer la même victime, de cette façon, la victime ne pourra pas gérer correctement le trafic généré.

Ping des morts

Cette attaque est similaire à la précédente, elle consiste à envoyer un paquet de plus de 65536 octets, faisant que le système d’exploitation ne sait pas comment gérer ce gros paquet, provoquant le plantage du système d’exploitation lors d’une tentative de réassemblage. Aujourd’hui, cette attaque ne fonctionne pas, car le système d’exploitation va directement supprimer les paquets. Il est très important de connaître cette attaque pour l’éviter à l’avenir, mais nous vous avons déjà dit que cette attaque ne fonctionne plus car les systèmes d’exploitation intègrent un grand nombre de protections pour l’empêcher.

Attaque à la larme

Ce type d’attaque consiste à envoyer une série de paquets très volumineux, dans le but que la cible (la victime) ne soit pas capable d’assembler ces paquets, saturant le système d’exploitation et le bloquant. Il est possible qu’une fois l’attaque arrêtée, elle doive être redémarrée pour qu’elle puisse à nouveau fonctionner correctement. Aujourd’hui, les noyaux des systèmes d’exploitation intègrent des protections contre ces attaques.

Attaque de deux secousses

Ce type d’attaque consiste à fragmenter un paquet ICMP, afin que la victime ne puisse pas le réassembler. Cela entraîne une augmentation de l’utilisation du processeur de la victime et entraîne un goulot d’étranglement majeur. Le résultat de cette attaque est généralement que le PC de la victime devient très lent, car le processeur est trop occupé à essayer de réassembler le paquet.

Attaque terrestre

Ce type d’attaque consiste à envoyer un faux paquet TCP SYN, où l’adresse IP de la cible est utilisée à la fois comme source et destination, dans le but que lorsqu’elle reçoit le paquet, elle se confond et ne sache pas où envoyer le paquet, et se bloque. Ce type d’attaque est normalement reconnu par les systèmes d’exploitation, les pare-feu et même les suites antivirus.

Attaque des Schtroumpfs

Cette attaque consiste à envoyer un grand nombre de messages de requête ICMP Echo à l’adresse IP de diffusion avec l’IP source de la victime. De cette façon, la victime réelle recevra toutes les réponses ICMP Echo Reply de l’ensemble du réseau, ce qui le saturera. Avant d’effectuer cette attaque, l’usurpation d’adresse IP doit être effectuée pour usurper l’adresse IP source de la demande d’écho ICMP, afin de mener plus tard cette attaque massive. Le réseau cessera de fonctionner normalement pendant l’attaque, car nous aurons un trafic de diffusion élevé. Les commutateurs d’aujourd’hui sont prêts à empêcher ces attaques automatiquement, sur la base de PPS (Packets Per Second)., Ces requêtes t

Inondation SYN

Ce type d’attaque est l’un des plus utilisés dans le monde, il consiste à envoyer des paquets TCP avec le drapeau SYN activé, dans le but d’envoyer des centaines ou des milliers de paquets vers un serveur et d’ouvrir différentes connexions, dans le but de le saturer avec plein. Normalement cette attaque est utilisée avec une fausse IP source, de sorte que toutes les réponses vont à une IP qui n’existe pas, ou à une IP victime qui sera également saturée par toutes les réponses TCP qui sont envoyées depuis le serveur.

Les attaques SYN Flood peuvent être facilement évitées grâce au pare-feu, en limitant le nombre de paquets TCP SYN pouvant être reçus, et même en mettant un proxy intermédiaire pour ajouter une vérification supplémentaire, avant de transmettre les messages au serveur Web ou à tout autre service qui les utilise. du protocole TCP.

Fraggle Deux Attaque

Cette attaque consiste à envoyer beaucoup de trafic UDP vers une adresse IP de diffusion, ces paquets ont l’IP source de la victime, logiquement un IP Spoofing a été réalisé pour réaliser cette attaque. Le réseau fournira le trafic réseau à tous les hôtes, car nous envoyons des paquets UDP à l’adresse de diffusion et les ordinateurs répondront. Cela entraînera la victime à recevoir une grande quantité de trafic qu’elle n’est pas en mesure de gérer correctement, et elle ne pourra pas travailler normalement.

Attaque par déni de service distribué – DDos

Cette attaque réseau consiste à faire s’effondrer une victime à partir de plusieurs ordinateurs sources, par exemple, un botnet composé d’un millier d’ordinateurs pourrait attaquer une certaine cible. Ces types d’attaques sont très fréquents, utilisant les techniques que nous avons expliquées précédemment, telles que le SYN Flood. Bien qu’il existe un serveur très puissant capable de gérer des millions de requêtes SYN Flood, si nous utilisons un botnet avec des centaines ou des milliers d’ordinateurs, il ne pourra pas le contenir et finira par se bloquer. Cette attaque «se propage» entre différents ordinateurs, qu’il s’agisse d’ordinateurs, d’autres serveurs infectés, d’appareils IoT piratés et bien plus encore.

Voici quelques conseils pour atténuer les attaques DDoS :

• Configurez correctement le pare-feu du routeur.
• Bloquez tout le trafic réseau, sauf ce que nous sommes spécifiquement autorisés à faire.
• Désactivez tout service que nous n’utilisons pas.
• Vérifiez souvent la configuration du réseau et les journaux que nous avons.
• Politique de journalisation robuste, permettant la corrélation d’événements (SIEM).
• Avoir une bonne politique de mot de passe avec ses autorisations correspondantes.
• Limitez la bande passante du réseau par port, pour éviter les attaques de notre propre réseau.

Usurpation d’ARP

Cette attaque sur les réseaux de données est l’une des plus populaires, elle permet d’attaquer des ordinateurs qui sont sur le même réseau local, qu’il soit filaire ou sans fil. Lorsqu’une attaque ARP Spoofing est effectuée, ce que nous faisons, c’est que l’attaquant peut usurper l’identité du routeur ou de la passerelle, et que tout le trafic réseau ou provenant d’un PC spécifique (victime) le traverse, lui permettant de lire, modifier et même bloquer le trafic réseau.

Cette attaque ne fonctionne que dans les réseaux IPv4, mais dans les réseaux IPv6, il existe également une attaque similaire, car le protocole ARP n’est disponible que dans les réseaux IPv4. Cette attaque est le moyen le plus simple d’effectuer un homme au milieu et de capturer toutes les informations de la victime. Pour détecter ces attaques, Reverse ARP pourrait être utilisé, un protocole qui sert à consulter l’IP associée à un MAC, si nous avons plus d’une IP cela signifie que nous sommes confrontés à une attaque. Certaines suites de sécurité détectent déjà ce type d’attaque, et même des commutateurs gérables permettent d’éviter ce type d’attaque en faisant du Binding IP-MAC.

Attaque par inondation MAC

C’est l’une des attaques les plus typiques dans les réseaux de données, elle consiste à inonder un réseau d’adresses MAC où l’on a un switch, chacune avec des adresses MAC sources différentes, dans le but de garder la table CAM des switchs et que le switch devient une plaque tournante. Cependant, de nos jours tous les commutateurs ont des protections contre cette attaque, permettant d’éliminer les adresses MAC rapidement, et de ne jamais s’effondrer, mais le CPU du commutateur sera à 100% et on remarquera des lenteurs dans le réseau.

Dans le cas de commutateurs gérés avec des VLAN, le débordement ne se produirait que dans le VLAN concerné, sans affecter le reste des VLAN du réseau. Pour éviter ce type d’attaque, il est conseillé de configurer la sécurité des ports sur les commutateurs, et de limiter un certain nombre d’adresses MAC par port, de cette façon, le port pourrait être désactivé automatiquement, ou restreindre directement l’enregistrement de nouveaux MAC jusqu’à nouvelle commande.

Empoisonnement du cache DNS

Ce type d’attaque consiste à fournir de fausses données via DNS ; pour qu’une victime obtienne ces informations et visite de fausses pages Web ou sous notre contrôle. L’ordinateur qui fait des requêtes DNS pourrait recevoir des adresses IP falsifiées en fonction de sa requête DNS, de cette manière, nous pouvons rediriger une victime vers n’importe quel site Web sous notre contrôle.

Usurpation d’adresse IP

Cette attaque consiste à usurper l’identité de l’adresse IP source d’un certain ordinateur, de cette manière, des paquets TCP, UDP ou IP pourraient être envoyés avec une fausse IP source, usurpant l’identité de la véritable adresse IP d’un appareil. Celui-ci a plusieurs objectifs, cacher la véritable identité de l’origine, ou se faire passer pour une autre équipe afin que toutes les réponses lui reviennent directement.

ACK inondation

Cette attaque consiste à envoyer un paquet de type TCP ACK vers une certaine cible, normalement elle est effectuée avec une IP usurpée, donc, une usurpation IP sera nécessaire. C’est similaire aux attaques TCP SYN, mais si le pare-feu bloque les paquets TCP SYN, c’est une alternative pour bloquer la victime.

Piratage de session TCP

Cette attaque consiste à prendre possession d’une session TCP déjà existante, là où la victime l’utilise. Pour que cette attaque réussisse, elle doit être effectuée à un moment précis, au début des connexions TCP c’est là que l’authentification est effectuée, c’est juste à ce moment-là que le cybercriminel exécutera l’attaque.

Attaque de l’homme du milieu

Les attaques de l’homme du milieu sont un type d’attaque qui permet à d’autres d’être menées plus tard. Les attaques MITM consistent à s’interposer entre la communication de deux ou plusieurs ordinateurs par l’attaquant, dans le but de lire, modifier à la volée et même interdire le passage du trafic d’une origine à une destination. Ce type d’attaque permet de connaître toute la navigation en ligne et toute communication qui va être effectuée, de plus, toutes les informations pourraient être dirigées vers un autre ordinateur existant.

Un exemple d’attaque MITM serait lorsqu’un cybercriminel intercepte une communication entre deux personnes, ou entre nous et un serveur Web, et que le cybercriminel peut intercepter et capturer toutes les informations sensibles que nous envoyons au site.

Comment prévenir les attaques Man-In-The-Middle ?

Les attaques MITM ne sont pas impossibles à éviter, grâce à la technologie «Public Key Infrastructure» nous pourrons protéger les différentes équipes des attaques, et cela nous permettrait de nous authentifier contre d’autres utilisateurs de manière sécurisée, en prouvant notre identité et en vérifiant l’identité du destinataire avec une cryptographie publique, en outre, nous pouvons signer numériquement les informations, garantir la propriété de non-répudiation, et même envoyer des informations entièrement cryptées pour préserver la confidentialité.

Dans une opération cryptographique qui utilise l’infrastructure à clé publique, les parties suivantes interviennent conceptuellement :

• Un utilisateur initiant l’opération.
• Certains systèmes serveurs qui attestent du fonctionnement et garantissent la validité des certificats, l’Autorité de Certification (AC), l’Autorité d’Enregistrement et le Système d’horodatage.
• Un destinataire des données chiffrées qui est signé, garanti par l’utilisateur à l’origine de l’opération.

Les opérations cryptographiques à clé publique sont des processus dans lesquels sont utilisés des algorithmes de chiffrement asymétriques connus et accessibles à tous, tels que RSA ou basés sur des courbes elliptiques. Pour cette raison, la sécurité que la technologie PKI peut apporter est fortement liée à la confidentialité de la clé privée.

Attaques d’ingénierie sociale

Bien que les attaques d’ingénierie sociale ne soient pas une attaque contre les réseaux de données, il s’agit d’un type d’attaque très populaire utilisé par les cybercriminels. Ces types d’attaques consistent à manipuler une personne pour qu’elle fournisse des informations d’identification d’utilisateur, des informations privées, etc. Les cybercriminels cherchent toujours tous les moyens possibles pour obtenir les identifiants des utilisateurs, les numéros de carte de crédit, les comptes bancaires, etc., pour y parvenir, ils essaieront de mentir aux victimes en se faisant passer pour d’autres personnes.

Ces types d’attaques ont beaucoup de succès car elles s’attaquent au maillon le plus faible de la cybersécurité : l’être humain. Il est plus facile d’essayer d’obtenir les informations d’identification d’une personne via l’ingénierie sociale que d’essayer d’attaquer un service comme Google pour extraire les mots de passe. Il est essentiel à qui faire confiance, quand le faire et aussi quand il ne faut pas le faire. Peu importe à quel point notre réseau est sécurisé, si nous confions notre sécurité à qui nous ne devrions pas, toute cette sécurité sera sans valeur.

Comment prévenir les attaques d’ingénierie sociale ?

La première recommandation est de ne pas être pressé de répondre aux cyber-attaquants, beaucoup de ces attaques sont toujours transmises avec une certaine urgence, par exemple, qu’il est urgent d’effectuer un transfert d’argent vers un destinataire que nous n’avons jamais eu auparavant. Es necesario que sospeches de cualquier mensaje extraño o no solicitado, si el correo que nos llega es de un sitio web o empresa que solemos utilizar, debemos emprender una pequeña investigación por nuestra parte, que recaiga incluso en ponernos en contacto con dicha compañía para verificar l’information.

• Attention aux demandes d’informations bancaires
• Ne fournissez jamais de mots de passe d’accès, même pas aux banques.
• Refusez tout type d’aide de tiers, il est possible que ce soient des cybercriminels pour voler des informations ou de l’argent.
• Ne cliquez pas sur les liens par email, ils pourraient être du phishing, évitez de télécharger tout document suspect.
• Établissez des filtres anti-spam, configurez notre équipe avec des antivirus et des pare-feu, vérifiez les filtres de messagerie et tenez tout à jour.

Impression au doigt du système d’exploitation

Le terme OS Finger Printing fait référence à toute méthode permettant de déterminer le système d’exploitation utilisé sur la victime, dans le but de le violer. Normalement, ces types d’attaques sont effectuées en phase de pentesting, cette reconnaissance du système d’exploitation se fait en analysant des indicateurs de protocole, le temps de réponse à une requête spécifique, et d’autres valeurs. Nmap est l’un des programmes les plus utilisés en matière d’impression digitale du système d’exploitation. A quoi sert un attaquant connaissant le système d’exploitation de la victime ? Pour mener des attaques plus ciblées sur ce système d’exploitation, connaître les vulnérabilités et les exploiter, et bien plus encore.

Il existe deux types différents d’empreinte digitale du système d’exploitation :

• Actif : il s’obtient en envoyant des packages spécialement modifiés créés pour l’équipe cible, en examinant en détail la réponse et en analysant les informations recueillies. Nmap effectue ce type d’attaques pour obtenir un maximum d’informations.
• Passif : dans ce cas, les informations reçues sont analysées, sans envoyer de paquets spécifiquement conçus à l’ordinateur cible.

Analyse des ports

Dans tout test de pente, l’analyse des ports est la première chose à faire pour tenter de violer une cible. C’est l’une des techniques de reconnaissance les plus utilisées par les cybercriminels pour découvrir les services exposés avec des ports ouverts, si un pare-feu est utilisé et même quel système d’exploitation la victime utilise. Tous les ordinateurs connectés au réseau local ou à Internet utilisent un grand nombre de services qui écoutent sur certains ports TCP et UDP. Ces analyses de ports nous permettent de savoir quels ports sont ouverts, et même quel service est derrière eux, afin d’exploiter une vulnérabilité de ce service.

Dans les scans de ports, nous enverrons des messages à chaque port un par un, selon le type de réponse reçue, le port sera ouvert, filtré ou fermé. L’un des programmes les plus utilisés pour le scan des ports est Nmap, c’est le couteau suisse du scan des ports car nous avons aussi Nmap NSE qui permet d’utiliser des scripts pour exploiter des vulnérabilités connues, ou pour attaquer des serveurs Samba, FTP, SSH etc.

Connaître les ports que nous avons ouverts est également très important, car un port identifie un service qui s’exécute dans le système. Par exemple, le protocole FTP utilise le port 21, s’il est ouvert c’est peut-être parce que nous avons un serveur FTP à l’écoute, et nous pourrions l’attaquer. L’analyse des ports est la première phase d’un pentest.

Comment empêcher l’analyse des ports ?

Nous ne pouvons pas éviter l’analyse des ports, car nous ne pouvons pas empêcher un cybercriminel ou un cybercriminel d’essayer de voir quels ports nous avons ouverts, mais ce qui est en notre pouvoir, c’est de protéger tous les ports avec un pare-feu bien configuré de manière restrictive. Il faut garder à l’esprit qu’effectuer un port scan est illégal, selon plusieurs tribunaux, car il s’agit de la première étape de l’intrusion ou de l’exploitation d’une vulnérabilité.

Pour limiter les informations que nous allons fournir à un attaquant lors d’un scan de port, nous devons procéder comme suit :

• Fermez tous les ports du pare-feu, sauf ceux qui doivent être ouverts pour le bon fonctionnement du système.
• L’utilisation d’une politique de pare-feu restrictive n’ouvre que ce qui va être utilisé.
• Fermez les services du système d’exploitation qui ne sont pas nécessaires.
• Configurer les services Web, SSH, FTP de manière à ce qu’ils nous fournissent des informations telles que le numéro de version, pour éviter l’exploitation d’éventuelles vulnérabilités.
• Utilisez TCP Wrappers, un wrapper TCP qui donnera à l’administrateur une plus grande flexibilité pour autoriser ou refuser l’accès à certains services.
• Utilisez des programmes comme fail2ban pour bloquer les adresses IP qui mènent des attaques.
• Utilisez des IDS / IPS comme Snort ou Suricata, pour bloquer les IP des attaquants.

Tunnellisation ICMP

Ce type d’attaque est principalement utilisé pour contourner les pare-feu, car les pare-feu ne bloquent normalement pas les paquets ICMP. Ils pourraient également être utilisés pour établir un canal de communication crypté et difficile à tracer. Ce qu’un tunnel ICMP fait est d’établir une connexion secrète entre deux ordinateurs, cela peut également être utilisé avec UDP en utilisant DNS.

Pour empêcher les tunnels ICMP, il est nécessaire d’inspecter le trafic ICMP en détail et de voir quel type de messages sont échangés. De plus, cela est compliqué si le cryptage des données est utilisé, mais nous pouvons le détecter car ce sera un trafic ICMP qui n’est pas «normal», donc toutes les alertes IDS / IPS seront ignorées si nous les configurons correctement.

L’attaque de LOKI

Ce n’est pas une attaque contre les réseaux de données, c’est un programme client/serveur qui permet d’exfiltrer des informations via des protocoles qui ne contiennent normalement pas de charge utile, par exemple, le trafic SSH pourrait être tunnelé dans le protocole ICMP avec ping et même avec UDP pour DNS. Cela peut être utilisé comme porte dérobée sur les systèmes Linux pour extraire des informations et les envoyer à distance sans éveiller les soupçons. C’est quelque chose que nous devrions également contrôler à travers des pare-feu.

Attaque de séquence TCP

Ce type d’attaque consiste à tenter de prédire le numéro de séquence d’un trafic TCP, dans le but d’identifier les paquets d’une connexion TCP, et de détourner la session. L’exemple typique est un scénario dans lequel un attaquant surveille le flux de données entre deux ordinateurs, l’attaquant pourrait couper la communication avec l’ordinateur réel et s’établir comme l’ordinateur réel, tout en prédisant le numéro de séquence du prochain paquet TCP. L’attaquant «tuerait» le véritable ordinateur, en utilisant une attaque par déni de service (DoS) ou similaire.

Grâce à cette prédiction du numéro de séquence, le paquet pourra atteindre sa destination avant toute information de l’hôte légitime, car ce dernier subit une attaque DoS et ne permettra pas la communication avec l’hôte victime. Ce paquet de l’attaquant pourrait être utilisé pour accéder au système, mettre fin de force à une connexion ou envoyer directement une charge utile malveillante.

Comment empêcher l’attaque de séquence TCP ?

L’IETF a publié en 2012 une nouvelle norme pour établir un algorithme amélioré et empêcher un attaquant de deviner le numéro de séquence initial dans les communications TCP. Cette norme est conçue pour augmenter la robustesse des communications TCP contre l’analyse prédictive et la surveillance des attaquants. Actuellement, tous les systèmes d’exploitation utilisent cette nouvelle norme pour empêcher cette attaque, par conséquent, un attaquant ne sera pas en mesure de prédire les numéros de séquence, mais les attaquants peuvent toujours les deviner dans certaines circonstances, bien que cela soit beaucoup plus difficile qu’avant.

Attaques de redirection ICMP

Cette attaque réseau appelée ICMP Redirect, permet de rediriger vers un hôte source qui utilise une passerelle différente afin qu’il puisse être plus proche de la destination. Logiquement, un attaquant va se mettre en passerelle, dans le but que tout le trafic passe par lui pour le capturer, le modifier ou le bloquer. Ces messages sont envoyés aux différents hôtes, mais de nos jours, ce type d’attaques ICMP Redirect sur les systèmes Linux n’est pas affecté, car en interne, il est désactivé, mais il est possible que dans d’autres systèmes d’exploitation, ils soient affectés.

Attaque de transfert de zone DNS

Cette attaque affecte les serveurs DNS, elle consiste en ce que le serveur DNS renvoie une liste de noms d’hôtes et d’adresses IP dans le domaine, ces transferts de zone sont normalement effectués entre serveurs DNS faisant autorité, mais cette attaque pourrait amener les cybercriminels à consulter les serveurs DNS pour avoir une liste d’hôtes à attaquer.