DDoS-Shield : planification résiliente aux DDoS pour contrer les attaques de couche d'application

Contrecarrer les attaques par déni de service distribué (DDoS) devient de plus en plus difficile avec les vastes ressources et techniques de plus en plus disponibles pour les attaquants. Dans cet article, nous considérons des attaques sophistiquées qui sont conformes aux protocoles, non intrusives et utilisent des demandes légitimes de couche d'application pour submerger les ressources systèmes. Nous caractérisons les attaques de ressources de couche d'application comme des inondations de requêtes, asymétriques ou répétées, en fonction des paramètres de charge de travail de l'application qu'elles exploitent. Pour protéger les serveurs de ces attaques, nous proposons un contre-mécanisme appelé DDoS Shield qui se compose d'un mécanisme d'attribution de suspicion et d'un planificateur résilient aux DDoS. Contrairement aux travaux antérieurs, notre mécanisme de suspicion attribue une valeur continue plutôt qu'une mesure binaire à chaque session client, et le planificateur utilise ces valeurs pour déterminer si et quand planifier les requêtes d'une session. Grâce à des expériences sur un banc d'essai d'une application web, nous démontrons la puissance de ces attaques de ressources et évaluons l'efficacité de notre contre-mécanisme. Par exemple, nous menons une attaque asymétrique qui submerge les ressources du serveur, augmentant le temps de réponse des clients légitimes de 0,3 secondes à 40 secondes. Dans le même scénario d'attaque, DDoS Shield améliore la performance des victimes à 1,5 seconde.