Тест: Comprendre les Attaques DDoS et Contre-mesures — 22 въпроса

1. Qu’est-ce qu’un DDoS ?

A. Une intrusion furtive qui cherche surtout à voler des identifiants

B. Une attaque visant à rendre un service indisponible en utilisant plusieurs machines coordonnées

C. Une panne technique provoquée par une seule machine mal configurée

D. Une attaque qui chiffre les fichiers d’un serveur pour bloquer l’accès au service

Answer: (B)

Обяснение

Un DDoS cherche à rendre un service inaccessible en s’appuyant sur plusieurs machines, souvent coordonnées. La version à une seule machine correspond plutôt à un DoS.

2. En quoi un DDoS se distingue-t-il principalement d’un DoS ?

A. Il nécessite toujours une exploitation d’authentification

B. Il repose forcément sur le protocole UDP

C. Il vise uniquement les bases de données

D. Il s’appuie sur plusieurs machines au lieu d’une seule

Answer: (D)

Обяснение

La différence clé est la répartition de l’attaque sur plusieurs machines pour un DDoS, contre une seule machine pour un DoS. L’objectif d’indisponibilité reste le même.

3. Que fait une attaque UDP Flood ?

A. Elle envoie un grand volume de paquets UDP vers une cible

B. Elle fragmente les paquets pour perturber leur réassemblage

C. Elle ouvre une connexion TCP complète puis la ferme immédiatement

D. Elle modifie les enregistrements DNS d’un domaine

Answer: (A)

Обяснение

Un UDP Flood consiste à inonder la cible avec un très grand volume de paquets UDP. UDP étant sans connexion, il n’y a pas d’échange préalable de type handshake.

4. Quel mécanisme explique l’amplification DNS dans une attaque DDoS ?

A. Le protocole DNS établit une session avant chaque réponse

B. Des réponses DNS plus volumineuses que les requêtes initiales sont renvoyées vers la victime

C. Des fragments IP mal formés empêchent le réassemblage des paquets

D. Les paquets UDP déclenchent automatiquement un chiffrement côté serveur

Answer: (B)

Обяснение

L’amplification DNS exploite le fonctionnement du DNS pour faire revenir vers la victime un volume de trafic fortement accru. La fragmentation problématique relève plutôt des attaques de type Teardrop.

5. Quel est le rôle du three-way handshake TCP ?

A. Attribuer une adresse IP à chaque hôte du réseau

B. Chiffrer automatiquement les données applicatives

C. Répartir le trafic entre plusieurs serveurs applicatifs

D. Établir une connexion entre client et serveur avant l’échange de données

Answer: (D)

Обяснение

Le three-way handshake TCP est le mécanisme en trois étapes qui établit la connexion avant le transfert des données. Les étapes sont SYN, SYN/ACK, puis ACK.

6. Pourquoi un SYN Flood perturbe-t-il un serveur TCP ?

A. Parce qu’il supprime les routes réseau vers la cible

B. Parce qu’il envoie massivement des demandes de connexion inabouties sans ACK final

C. Parce qu’il empêche le serveur d’émettre le SYN initial

D. Parce qu’il remplace les paquets TCP par des paquets ICMP

Answer: (B)

Обяснение

Dans un SYN Flood, l’attaquant envoie de nombreux SYN sans terminer le handshake, ce qui laisse des connexions semi-ouvertes. Cela épuise les ressources liées aux connexions en attente.

7. Qu’est-ce qu’un botnet ?

A. Un protocole qui vérifie l’authenticité des paquets

B. Un ensemble de machines compromises contrôlées à distance pour mener des actions malveillantes

C. Un pare-feu qui bloque automatiquement les requêtes suspectes

D. Un serveur DNS qui réécrit les adresses IP

Answer: (B)

Обяснение

Un botnet regroupe des machines infectées et pilotées à distance, souvent via un serveur de commande et de contrôle. Il sert fréquemment à lancer des attaques distribuées.

8. Que se passe-t-il lorsque le backlog d’un serveur est saturé ?

A. Le serveur transforme les requêtes entrantes en paquets DNS

B. Le serveur augmente instantanément sa bande passante disponible

C. Le serveur refuse même les nouvelles connexions légitimes jusqu’à libération d’entrées

D. Le serveur convertit automatiquement les connexions incomplètes en connexions établies

Answer: (C)

Обяснение

Le backlog stocke les connexions TCP incomplètes en attente d’un ACK final ; s’il est plein, de nouvelles connexions légitimes peuvent être refusées. Les entrées ne deviennent pas automatiquement établies.

9. Quelle technique fait partie des variantes mentionnées du SYN Flood ?

A. Une attaque par phishing ciblé

B. Un SYN Flood distribué via un botnet

C. Une suppression de fichiers par ransomware

D. Un vol de session par injection SQL

Answer: (B)

Обяснение

Parmi les variantes citées figurent notamment le SYN Flood distribué via un botnet et d’autres formes liées à l’établissement TCP. Les autres propositions relèvent d’attaques d’un autre type.

10. Quelle contre-mesure est citée pour aider à détecter ou limiter un SYN Flood ?

A. La compression des requêtes DNS

B. La duplication des adresses MAC

C. Les SYN cookies

D. Le chiffrement asymétrique des fichiers

Answer: (C)

Обяснение

Les SYN cookies figurent parmi les mesures mentionnées pour contrer ce type d’attaque en limitant l’allocation de ressources aux connexions incomplètes. Ils visent à réduire l’impact du remplissage du backlog.

11. Quel indicateur est le plus utile pour détecter un SYN Flood en cours sur un serveur ?

A. Un grand nombre de connexions en état SYN_RECV

B. Un afflux de requêtes HTTP en mode POST

C. Une diminution de la taille des paquets DNS

D. Une hausse des connexions déjà établies

Answer: (A)

Обяснение

Un SYN Flood se traduit typiquement par une accumulation de demi-connexions en attente, visibles en SYN_RECV. Le fait d’avoir beaucoup de connexions déjà établies correspond plutôt à un trafic normal ou à une charge applicative.

12. Quelle mesure est explicitement citée comme contre-mesure possible face à un SYN Flood ?

A. La désactivation complète du protocole TCP

B. Le chiffrement systématique des paquets UDP

C. L’activation des SYN cookies

D. L’augmentation du nombre de domaines DNS

Answer: (C)

Обяснение

Les SYN cookies font partie des contre-mesures mentionnées pour limiter l’impact d’un SYN Flood. Les autres propositions ne répondent pas au problème de saturation du backlog lors de l’établissement TCP.

13. Quel est l’un des rôles du RSSI pendant une crise de DDoS ?

A. Réécrire le code applicatif du site en production

B. Remplacer le pare-feu par un routeur plus rapide

C. Supprimer les journaux pour alléger les serveurs

D. Coordonner la réponse et les acteurs concernés

Answer: (D)

Обяснение

Le RSSI pilote la gestion d’incident en coordonnant la réponse et les bons intervenants. La conservation des journaux est au contraire importante pour l’analyse et la traçabilité.

14. Pourquoi une méthodologie inspirée de l’ANSSI est-elle utile pendant une crise DDoS ?

A. Pour empêcher toute communication entre équipes

B. Pour éviter d’identifier les causes de l’attaque

C. Pour remplacer totalement les outils de supervision

D. Pour structurer la riposte en phases et en tâches

Answer: (D)

Обяснение

La méthodologie ANSSI sert à organiser la réponse de manière rigoureuse, avec des phases et des tâches claires. Elle ne remplace pas les outils, mais aide à coordonner leur usage.

15. Quel usage de l’IA est évoqué comme un risque dans le contexte des DDoS ?

A. Automatiser et améliorer les attaques

B. Rendre impossible toute forme de détection

C. Supprimer le besoin de machines compromises

D. Ralentir systématiquement les débits réseau

Answer: (A)

Обяснение

L’IA peut servir à automatiser, adapter ou améliorer des attaques DDoS. Elle ne supprime pas les botnets ni n’empêche toute détection.

16. Quel est l’effet le plus plausible de l’IA dans les mécanismes de défense face aux DDoS ?

A. Aider à analyser plus vite les signaux et anomalies

B. Garantir l’arrêt immédiat de chaque attaque

C. Remplacer tout filtrage réseau par défaut

D. Éliminer la nécessité de superviser les ressources

Answer: (A)

Обяснение

Dans la défense, l’IA peut aider à repérer plus rapidement des anomalies et à soutenir l’analyse. Elle n’élimine ni la supervision ni le besoin de mesures de filtrage.

17. Dans une simulation d’attaque HTTP Flood, quel comportement est typiquement observé côté serveur quand le backlog est plein ?

A. Le serveur redirige automatiquement le trafic vers le client

B. Les nouveaux SYN peuvent être rejetés par RST ou ignorés

C. Les requêtes DNS sont converties en paquets UDP

D. Toutes les connexions passent immédiatement en ESTABLISHED

Answer: (B)

Обяснение

Quand le backlog est saturé, le noyau peut rejeter les nouveaux SYN en répondant par RST ou en les ignorant. Les connexions ne peuvent alors plus s’établir normalement.

18. Quel indice apparaît souvent dans les journaux pendant une attaque HTTP Flood simulée ?

A. Des fragments Teardrop marqués comme valides

B. Une baisse soudaine de toutes les erreurs réseau à zéro

C. Des adresses IP sources toutes identiques et légitimes

D. Des milliers de connexions en SYN_RECEIVED qui n’atteignent jamais ESTABLISHED

Answer: (D)

Обяснение

Les logs montrent fréquemment un grand nombre de connexions bloquées en SYN_RECEIVED sans passage à ESTABLISHED. Cela reflète l’échec de l’établissement des connexions pendant l’attaque.

19. Quelle idée centrale résume la conclusion sur le déni de service distribué ?

A. Le protocole TCP protège automatiquement contre toute saturation

B. La disponibilité d’un service peut être compromise par plusieurs sources de trafic

C. Les attaques DDoS n’affectent que les services DNS

D. Un seul paquet suffit à détruire définitivement un serveur

Answer: (B)

Обяснение

La conclusion insiste sur le fait qu’un DDoS vise l’indisponibilité d’un service en saturant ses ressources via plusieurs sources. Les autres propositions sont trop absolues ou trop restrictives.

20. Quel élément est présenté comme essentiel pour répondre efficacement à un DDoS ?

A. La suppression immédiate de tous les logs

B. L’arrêt permanent de tous les services exposés

C. Le calme des équipes et une organisation rigoureuse pendant la crise

D. L’abandon de toute coordination humaine

Answer: (C)

Обяснение

La conclusion souligne que la réponse dépend autant de l’organisation et du calme des équipes que des équipements. Supprimer les logs ou arrêter tous les services ne constitue pas une stratégie de crise pertinente.

21. Quel document est présenté comme une ressource de l’ANSSI pour approfondir la compréhension et la conduite face à un DDoS ?

A. Le glossaire DDoS d’Akamai consacré aux attaques de saturation

B. Le rapport Cloudflare DDoS 2025 Q4 sur les tendances de menace

C. Le guide ANSSI DDoS disponible sur messervices.cyber.gouv.fr

D. Le document CERT-FR RFX-010-2 sur un cas de référence

Answer: (C)

Обяснение

Le guide ANSSI DDoS est explicitement cité comme ressource de référence pour comprendre et gérer un DDoS. Le rapport Cloudflare et le document CERT-FR sont bien mentionnés, mais pour d’autres usages.

22. Quel rapport est cité pour présenter des tendances et observations sur les menaces DDoS, avec une édition 2025 Q4 ?

A. Le document CERT-FR RFX-010-2

B. Le rapport Cloudflare DDoS 2025 Q4

C. Le glossaire Akamai DDoS

D. Le guide ANSSI DDoS

Answer: (B)

Обяснение

Le rapport Cloudflare DDoS 2025 Q4 est la ressource indiquée pour les tendances et observations sur les menaces DDoS. Les autres documents sont des références utiles, mais ils ne correspondent pas à ce rôle précis.