Quels sont les niveaux de défense contre les attaques DDoS, et que gère chacun d'eux ?

Question

Accepted Answer

La défense contre les DDoS est une **défense en profondeur** : aucun contrôle seul n'arrête chaque attaque, donc vous empilez des niveaux qui absorbent, filtrent ou bloquent chacun une classe de trafic différente. L'ordre compte — poussez autant de travail que possible vers l'edge, loin de votre origine.

## Les niveaux, de l'edge vers l'intérieur

- **CDN / centres de nettoyage** (Cloudflare, Akamai, AWS Shield) — le niveau le plus externe. Avec **anycast**, la même IP est annoncée depuis de nombreux points de présence, donc une inondation volumétrique est **répartie sur la capacité mondiale** au lieu d'un seul data center. Les centres de nettoyage absorbent l'inondation et ne transmettent que le trafic propre.
- **WAF (Web Application Firewall)** — inspecte les requêtes HTTP et bloque les modèles malveillants : mauvaises signatures, user agents suspects, mauvaises IPs connues, et les inondations **Layer 7** qui imitent les vraies requêtes.
- **Rate limiting** — limite les requêtes par IP, clé API ou utilisateur sur une fenêtre de temps, renvoyant `429 Too Many Requests`. Arrête les clients abusifs sans nuire aux clients normaux.
- **Blackhole en amont / ISP (null-route)** — le dernier recours pour le volume brut. Le fournisseur supprime tout le trafic vers l'IP ciblée (**remotely-triggered blackhole, RTBH**), sacrifiant cette unique IP pour protéger tout le reste.
- **Autoscaling + surprovisionnement** — capacité d'origine supplémentaire pour **absorber** ce qui glisse à travers, gagnant du temps pendant que les autres niveaux s'engagent.

## Comment ils travaillent ensemble

Le modèle mental est **absorb -> filter -> block** :

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Les attaques volumétriques meurent au niveau CDN/scrubbing ; les attaques de couche application qui ressemblent à du vrai trafic sont filtrées par le WAF et le rate limiter.

## Pourquoi c'est important

S'appuyer sur un seul niveau échoue de manière prévisible : un WAF ne peut pas arrêter une inondation de 1 Tbps (le tuyau sature en premier), et un CDN seul transmettra volontiers une inondation HTTP intelligente à votre origine. L'empilement signifie que chaque classe d'attaque rencontre un contrôle conçu pour lui, et l'origine ne voit que le trafic que les couches externes n'ont pas pu gérer seules.