Un service qui devient soudainement inaccessible peut être victime d'un DoS ou d'un DDoS. Ces deux sigles sont souvent confondus, mais ils ne désignent pas exactement la même chose. Voici la comparaison DoS vs DDoS : ce que c'est, comment ça fonctionne, ce que signifient la volumétrie, le protocole et les couches OSI, et comment s'en protéger.
Un point essentiel à retenir dès maintenant : un DDoS n'exfiltre rien. Il coûte de la disponibilité, et il sert parfois de diversion pendant une intrusion réelle. Sa mitigation se joue en amont, chez l'opérateur ou via un service anti-DDoS, jamais sur le serveur déjà saturé.
DoS vs DDoS : la différence
Un DoS (Denial of Service, déni de service) est une attaque qui vise à rendre un service, une machine ou un réseau indisponible pour ses utilisateurs légitimes. Un DDoS (Distributed Denial of Service, déni de service distribué) est la même attaque, mais lancée depuis de nombreuses sources en même temps, ce qui la rend beaucoup plus difficile à bloquer, comme le rappelle Wikipédia.
| DoS | DDoS | |
|---|---|---|
| Sources | Une seule machine ou connexion | Des milliers, voire des millions de machines |
| Puissance | Limitée par la connexion de l'attaquant | Cumul de toutes les sources |
| Blocage | Souvent simple : on bloque l'adresse source | Difficile : trafic venant de partout |
| Moyens | Un poste, un script | Un réseau de machines compromises (botnet), des services détournés |
| Fréquence aujourd'hui | Rare contre des cibles bien connectées | Le cas le plus courant |
L'objectif ne change pas : épuiser une ressource (bande passante, capacité de traitement des paquets, table de connexions, processeur de l'application) pour que les vrais utilisateurs ne puissent plus se connecter. Dans la triade classique de la sécurité (confidentialité, intégrité, disponibilité), le DoS et le DDoS s'attaquent à la disponibilité.
Comment fonctionne un DDoS ?
Les botnets
La plupart des DDoS s'appuient sur un botnet : un réseau de machines infectées (ordinateurs, objets connectés, routeurs, caméras) contrôlées à distance. En 2016, le botnet Mirai, composé d'objets connectés compromis, a attaqué l'infrastructure du fournisseur DNS Dyn et perturbé de nombreux sites majeurs, selon Wikipédia.
La réflexion et l'amplification
Une autre technique consiste à envoyer de petites requêtes à des serveurs mal configurés (DNS, NTP, CLDAP…) en usurpant l'adresse de la victime : les serveurs répondent alors à la victime, avec des réponses bien plus volumineuses que les requêtes. On parle de réflexion et d'amplification. Wikipédia cite un facteur d'amplification de plus de 556 pour certains serveurs NTP : quelques octets envoyés par l'attaquant deviennent des centaines de fois plus de trafic vers la cible.
Les services de location d'attaques
Des services criminels louent des attaques par déni de service. Ils sont illégaux : plus de 150 pays criminalisent ces attaques, et en France elles relèvent des atteintes aux systèmes de traitement automatisé de données.
Les trois familles d'attaques et les couches OSI
Le guide de l'ANSSI et le guide conjoint de la CISA, du FBI et du MS-ISAC distinguent trois familles : volumétriques, protocolaires et applicatives.
Un rappel sur les couches OSI
Le modèle OSI décrit les communications réseau en sept couches. Trois nous intéressent ici :
| Couche | Nom | Rôle | Exemples |
|---|---|---|---|
| 3 | Réseau | Adressage et routage des paquets | IP, ICMP |
| 4 | Transport | Communication entre applications, fiabilité | TCP, UDP |
| 7 | Application | Services utilisés par les utilisateurs | HTTP, DNS |
Le tableau des trois familles
| Famille | Couches OSI | Ce qui est épuisé | Unité de mesure | Exemples |
|---|---|---|---|---|
| Volumétrique | 3 et 4 | La bande passante | bits par seconde (bps, Gbps, Tbps) | Inondation UDP, réflexion et amplification DNS, NTP, CLDAP |
| Protocolaire | 3 et 4 | Les ressources des équipements (tables de connexions, pare-feu, répartiteurs) | paquets par seconde (pps) | Inondation SYN (TCP), fragments malformés |
| Applicative | 7 | Les ressources de l'application (processus, base de données, CPU) | requêtes par seconde (rps) | Inondation HTTP, connexions lentes de type Slowloris |
Volumétrique : saturer le tuyau
Le but est de remplir la liaison de la cible avec du trafic inutile, jusqu'à ce qu'aucune requête légitime ne passe. Peu importe la solidité du serveur : si le « tuyau » d'accès est plein, il est inatteignable. La mesure clé est le débit (Gbps, Tbps).
Protocolaire : exploiter le fonctionnement du protocole
Ici, l'attaque profite du déroulement d'un protocole. Dans une inondation SYN, l'attaquant envoie un très grand nombre de demandes d'ouverture de connexion TCP sans jamais les terminer : le serveur ou le pare-feu garde des connexions « à moitié ouvertes » jusqu'à saturer sa table. Ces attaques se mesurent plutôt en paquets par seconde, car quelques octets par paquet suffisent.
Applicatif : imiter des utilisateurs
Ces attaques ciblent une fonction précise de l'application. Une inondation HTTP envoie des requêtes qui ressemblent à celles de vrais utilisateurs, en visant les pages coûteuses (recherche, connexion, génération de rapports). Une attaque lente (comme Slowloris ou l'envoi très lent du corps d'une requête) maintient des connexions ouvertes avec très peu de bande passante. Elles sont plus difficiles à détecter, car le volume peut rester faible.
La volumétrie : de quelle échelle parle-t-on ?
Les attaques les plus médiatisées se comptent en térabits par seconde. Selon les rapports de Cloudflare relayés par la presse, un record de 31,4 Tbps a été atteint fin 2025, pour une attaque qui n'a duré que 35 secondes. Dans son rapport du premier semestre 2026, Cloudflare indique avoir bloqué 935 attaques réseau dépassant 1 Tbps (130 au premier trimestre, 805 au deuxième), et que les inondations DNS représentaient 40 % des attaques réseau au deuxième trimestre.
Mais la réalité du terrain est différente :
- Selon le même rapport, 96,62 % des attaques réseau restent sous 500 Mbps et 90,60 % durent moins de 10 minutes.
- Une attaque de quelques centaines de Mbps suffit à saturer la liaison d'une PME ou d'un petit hébergeur.
- Les attaques brèves et répétées sont fréquentes : elles visent à perturber, à tester les défenses ou à faire pression.
À retenir : ce n'est pas la taille record qui compte pour vous, mais le rapport entre la capacité de votre liaison (ou de votre application) et le trafic reçu.
Pourquoi lance-t-on un DDoS ?
- Extorsion : demande de rançon pour cesser l'attaque ou l'empêcher.
- Hacktivisme et contexte géopolitique : Cloudflare relie une partie des pics de 2026 à des événements internationaux.
- Concurrence, vengeance, jeux en ligne.
- Diversion : occuper les équipes pendant qu'une autre attaque se déroule.
Le DDoS comme diversion
Un DDoS n'exfiltre rien par lui-même. Mais le guide de la CISA rappelle qu'il peut servir à détourner l'attention d'actes plus graves, comme l'installation d'un logiciel malveillant ou l'exfiltration de données. Pendant une attaque, continuez à surveiller le reste du système d'information : journaux d'authentification, accès administrateur, flux sortants inhabituels, nouvelles connexions.
Comment se protéger : la mitigation se joue en amont
C'est le principe central : on ne défend pas un DDoS sur le serveur saturé. Si la liaison est pleine, le trafic malveillant a déjà atteint la porte avant d'arriver au serveur, et aucun réglage local ne peut le faire disparaître. L'ANSSI recommande une combinaison de mesures : filtrage des trafics malveillants, protection en amont auprès de l'opérateur, externalisation de la protection auprès de prestataires spécialisés et plan de crise.
Les mesures techniques
| Mesure | Ce qu'elle apporte |
|---|---|
| Protection anti-DDoS chez l'opérateur | Filtrage du trafic avant qu'il n'atteigne votre liaison |
| Service anti-DDoS externalisé (centre de nettoyage, réseau de diffusion de contenu) | Absorbe et filtre de gros volumes ; masque l'adresse réelle du serveur |
| Filtrage en périphérie et limitation de débit | Réduit certains trafics abusifs |
| Protection de la couche 7 (pare-feu applicatif, détection de robots, limitation par client) | Traite les attaques qui imitent des utilisateurs |
| Architecture résiliente (répartition de charge, redondance, capacité de réserve) | Absorbe les pics |
| Serveurs DNS résilients | Évite que la résolution de noms ne devienne le point faible ; voir notre guide pour sécuriser le service DNS |
| Ne pas exposer l'adresse d'origine | Empêche de contourner le service de protection |
Les mesures organisationnelles
- Identifier les services critiques et leur tolérance à l'indisponibilité.
- Contractualiser avec l'opérateur et le prestataire : délais d'intervention, capacité, contacts d'urgence.
- Préparer un plan de crise : qui décide, qui appelle l'opérateur, qui communique.
- Tester régulièrement les procédures et la protection.
- Éviter de participer aux attaques : fermer les services DNS ou NTP ouverts à tous, sécuriser les objets connectés et filtrer les adresses usurpées.
Que faire pendant une attaque ?
- Confirmer qu'il s'agit d'une attaque et non d'une panne : hausse brutale du trafic, latence, erreurs. Notre outil réseau (ping, traceroute, dig) aide à vérifier l'accessibilité.
- Contacter tout de suite l'opérateur et le prestataire anti-DDoS pour activer la mitigation.
- Conserver les journaux et un échantillon du trafic pour l'analyse (voir notre guide sur Wireshark).
- Surveiller le reste du système d'information : une diversion est possible.
- Communiquer auprès des équipes et des clients de manière claire.
- Déposer plainte et signaler l'incident aux autorités compétentes ; en cas d'incident majeur, faites appel à votre CERT ou à un prestataire de réponse à incident, comme l'explique notre article sur les différences entre CERT, CSIRT, SOC et SecOps.
Le référentiel des ports et protocoles est utile pour repérer les services souvent abusés en réflexion, comme le DNS (53), le NTP (123) ou le CLDAP (389).
Points clés
- Un DoS vient d'une seule source ; un DDoS de très nombreuses sources, ce qui le rend bien plus difficile à bloquer.
- Trois familles : volumétriques (couches 3-4, mesurées en bps), protocolaires (couches 3-4, en pps) et applicatives (couche 7, en rps).
- Les records se comptent en Tbps (31,4 Tbps fin 2025), mais la plupart des attaques sont petites et courtes ; elles suffisent pourtant à saturer une PME.
- Un DDoS n'exfiltre rien : il coûte de la disponibilité et peut servir de diversion pendant une vraie intrusion.
- La mitigation se joue en amont, chez l'opérateur ou via un service anti-DDoS, jamais sur le serveur déjà saturé.
- Préparez un plan de crise, des contacts d'urgence et une surveillance du reste du système d'information.