Une attaque massive de 1,3 Tbps peut rendre une organisation hors service en quelques minutes si la réponse de la défense intervient trop tard. C’est l’une des idées centrales abordées lors de la table ronde organisée par AOTEC, où plusieurs experts du secteur ont analysé les défis croissants en cybersécurité qui affectent déjà opérateurs, entreprises et fournisseurs de services numériques.

Zigor Gaubeca, CIO, a expliqué que l’une des clés pour contenir ce type d’attaque en à peine cinq minutes réside dans la mise en place d’une première couche de protection capable d’absorber et de filtrer le trafic malveillant avant qu’il n’atteigne le réseau du client. Lors d’attaques volumétriques, l’objectif n’est pas toujours d’exploitation d’une vulnérabilité précise, mais plutôt de saturer liens, équipements et services afin de les rendre inaccessibles. La défense doit donc commencer en amont, dans une infrastructure conçue pour nettoyer le trafic avant que l’impact ne se propage.

La première barrière : stopper l’attaque avant qu’elle n’atteigne le réseau

Les attaques DDoS volumétriques restent parmi les menaces les plus difficiles à gérer pour les opérateurs et les entreprises connectées. Leur principe est simple : envoyer un volume massif de trafic vers une cible afin d’épuiser sa capacité réseau ou sa puissance de traitement. Lorsque le volume atteint plusieurs térabits par seconde, la protection locale seule ne suffit généralement plus.

La table ronde d’AOTEC s’est précisément concentrée sur ce point. Pour stopper une attaque de 1,3 Tbps, une réponse ne peut se limiter aux pare-feux internes, règles manuelles ou interventions tardives. Il faut disposer d’une architecture de mitigation distribuée, capable de détecter les schémas anormaux, de dévier le trafic vers des systèmes de nettoyage et de ne rediriger que les connexions légitimes.

Cette approche est particulièrement cruciale pour les opérateurs de télécommunications, les fournisseurs d’accès à Internet et les entreprises ayant des services critiques exposés. Si le trafic malveillant pénètre directement dans le réseau, le dégât est déjà fait : liens congestionnés, services dégradés et clients impactés. La défense la plus efficace consiste donc à empêcher l’attaque d’atteindre l’infrastructure sensible.

L’analyse de Gaubeca adressa un message clair au secteur : la cybersécurité ne peut plus être considérée comme un ajout en fin de processus. Elle doit faire partie intégrante de la conception du réseau, de l’exploitation quotidienne et de la stratégie de continuité d’activité.

Formation, crédibilité et mouvement latéral

La discussion ne s’est pas limitée aux attaques DDoS. Francesco Collini, de FlashStart, a souligné l’importance de la formation et de la sensibilisation des clients. En cybersécurité, de nombreuses vulnérabilités ne proviennent pas d’attaques sophistiquées mais d’erreurs humaines, de crédentiels volés, de liens malveillants ou encore de configurations faibles.

La formation ne supprime pas tous les risques, mais elle réduit leur surface d’exposition. Un client qui comprend quels signaux surveiller, comment protéger ses accès et quand alerter en cas de comportement suspect devient un acteur de la défense. Pour les opérateurs et fournisseurs, ce point devient de plus en plus critique : sécuriser le réseau passe aussi par aider les utilisateurs à ne pas devenir le maillon faible.

Jesús Feliz Fernández, d’INCIBE, a insisté sur un autre aspect essentiel : la prévention du déplacement latéral. Lorsqu’un attaquant obtient un accès initial à un système, son prochain objectif est souvent de se déplacer dans le réseau pour atteindre des crédentiels, serveurs, sauvegardes, systèmes d’administration ou données sensibles. Comprendre ce processus de mouvement est vital avant de déployer de nouvelles solutions.

Kepa Unzilla Galán, de Sarenet, a renforcé cette idée en soulignant l’importance de la gestion des crédentiels, de la prévention du déplacement latéral et de la nécessité de plans de reprise structurés. La continuité d’activité ne dépend pas seulement d’empêcher tous les attaques, ce qui est impossible, mais aussi de limiter leur impact et de restaurer les services de façon contrôlée lors d’un incident.

La gestion des identités, le principe du moindre privilège, la segmentation, la surveillance continue et la sauvegarde testée restent des éléments fondamentaux. La technologie évolue, mais certaines vulnérabilités persistent : mots de passe réutilisés, accès excessifs, manque de visibilité interne, plans de récupération jamais éprouvés.

IA pour détecter le trafic anormal, mais avec discernement

L’intelligence artificielle a également été un sujet central du débat. Son rôle dans la détection en temps réel des anomalies et du trafic malveillant devient de plus en plus crucial, notamment lorsque le volume de signaux dépasse la capacité d’analyse manuelle des équipes de sécurité.

Lors d’attaques massives, l’IA peut aider à distinguer les schémas de trafic légitime et malveillant, à repérer des comportements inhabituels, à prioriser les alertes et à accélérer la réponse. Elle peut aussi être précieuse contre des menaces moins prévisibles, comme les attaques de type zero-day ou les campagnes évolutives en cours d’exécution.

Cependant, l’IA ne remplace ni l’architecture défensive ni l’expertise humaine. Un modèle peut identifier une anomalie, mais l’organisation doit disposer de processus clairs pour décider de la suite à donner à cette alerte. Bloquer en excès peut impacter les utilisateurs légitimes ; tarder à agir peut permettre à l’attaque de progresser. Le secret réside dans la combinaison entre automatisation, règles métier, supervision technique et capacité d’intervention.

La table ronde a livré un message cohérent : la cybersécurité ne peut plus se limiter à une accumulation de produits isolés. Il faut adopter une stratégie multicouche. Une première ligne contre les attaques volumétriques, des contrôles d’accès renforcés, la prévention du mouvement latéral, une formation continue, une surveillance en temps réel et des plans de reprise éprouvés.

Pour les opérateurs, cette vision revêt une importance particulière. Leur réseau ne se limite pas à un simple canal Internet ; c’est la base sur laquelle s’appuient entreprises, administrations, commerces, services essentiels et citoyens. Une attaque qui détériorerait cette infrastructure ne toucherait pas seulement un serveur, mais la confiance dans le service en lui-même.

AOTEC a ainsi servi de point de rencontre pour une discussion devenue de plus en plus urgente. Les attaques sont plus fortes, la surface d’exposition s’élargit et les entreprises dépendent plus que jamais de services connectés. Contenir une attaque de 1,3 Tbps en cinq minutes exige des compétences techniques renforcées, mais aussi une préparation préalable. La défense commence bien avant que le trafic malveillant ne fasse son apparition.

Questions fréquentes

Qu’est-ce qu’une attaque DDoS volumétrique ?
Une attaque visant à saturer un réseau ou un service en envoyant des quantités massives de trafic malveillant, empêchant ainsi l’accès aux utilisateurs légitimes.

Pourquoi est-il crucial d’arrêter l’attaque avant qu’elle n’atteigne le réseau ?
Parce que si le trafic malveillant pénètre dans l’infrastructure du client, cela peut saturer les liens, dégrader les services et compliquer la réponse. La mitigation préalable limite l’impact.

Quel rôle joue l’IA en cybersécurité réseau ?
Elle permet de détecter les anomalies, d’identifier le trafic malveillant et de prioriser en temps réel les alertes, mais doit être accompagnée d’une supervision humaine et d’une architecture adaptée.

Quelles autres mesures sont nécessaires en complément de la protection DDoS ?
Formation des utilisateurs, gestion des crédentiels, segmentation, prévention du déplacement latéral, surveillance continue et plans de récupération testés.

via : LinkedIN