1,3 Tbps. C’est le volume d’une attaque capable de mettre une organisation hors service en quelques minutes si la défense ne se déclenche pas en amont. Lors de la table ronde organisée par AOTEC, plusieurs experts du secteur ont analysé les défis que ce type de menace impose aux opérateurs, aux entreprises et aux fournisseurs de services numériques.

Zigor Gaubeca, CIO, a posé le problème clairement : contenir une attaque volumique de cette ampleur en cinq minutes nécessite une première couche de protection capable d’absorber et de filtrer le trafic malveillant avant qu’il n’atteigne le réseau du client. Le message est simple — mais souvent ignoré : la défense doit commencer bien avant que le trafic arrive.

Pourquoi la mitigation locale ne suffit pas à 1,3 Tbps

Les attaques DDoS volumiques fonctionnent sur un principe brutal : envoyer tellement de trafic que l’infrastructure cible ne peut plus répondre. Quand le débit dépasse le térabit par seconde, les pare-feux internes, les règles manuelles et les interventions tardives ne peuvent rien. L’attaque a déjà gagné avant même que l’équipe sécurité n’ait ouvert un ticket.

La réponse passe par une architecture de mitigation distribuée : détecter les schémas anormaux dès leur apparition, dévier le trafic vers des systèmes de nettoyage, ne router que les connexions légitimes. Ce modèle est incontournable pour les opérateurs télécoms, les fournisseurs d’accès et toute entreprise offrant des services critiques exposés. Si le trafic malveillant pènetre dans le réseau, le dégât est déjà là : liens congestionnioés, services dégradés, clients impactés.

Gaubeca a formulé un message que l’ensemble des intervenants a soutenu : la cybersécurité ne peut plus être un ajout en fin de processus. Elle doit faire partie de la conception du réseau, de l’exploitation quotidienne et de la stratégie de continuité d’activité. C’est vrai aussi à l’échelle des data centers dédiés à l’IA qui proliferent en Europe, dont la surface d’attaque grandit proportionnellement à leur capacité.

Formation, crédentiels et mouvement latéral : les trois angles négligés

Francesco Collini, de FlashStart, a abordé un angle souvent sous-estimé : la formation des utilisateurs. La majorité des incidents ne commencent pas par une attaque sophistiquée mais par une erreur humaine. Crédentiels réutilisés, liens malveillants cliqués, configurations par défaut laissées en place. Un client qui comprend ces risques devient un acteur de la défense, pas un maillon faible.

Jesús Feliz Fernández, d’INCIBE, a insisté sur la prévention du déplacement latéral. Quand un attaquant obtient un accès initial, son objectif suivant est de se déplacer dans le réseau pour atteindre des crédentiels d’administration, des sauvegardes, des systèmes sensibles. Comprendre ce processus est indispensable avant de déployer n’importe quelle solution de sécurité.

Kepa Unzilla Galán, de Sarenet, a complété le tableau en soulignant l’importance des plans de reprise structurés. La continuité d’activité ne dépend pas d’une protection totale — impossible à garantir — mais de la capacité à restaurer les services de manière maîtrisée quand un incident survient. Gestion des identités, principe du moindre privilège, segmentation, sauvegardes testées : ces bases restent sous-appliquées alors qu’elles réduisent considérablement l’impact d’une compromission.

L’IA dans la détection : utile, pas suffisante

L’intelligence artificielle a occupé une bonne partie des débats. Son rôle dans la détection en temps réel des anomalies devient crucial quand le volume de signaux dépasse la capacité d’analyse humaine. Face à une attaque de 1,3 Tbps générant des millions d’événements par seconde, aucune équipe SOC ne peut traiter le bruit sans aide algorithmique.

L’IA identifie les schémas de trafic anormaux, distingue le légitime du malveillant, priorise les alertes et accélère la réponse. Elle est aussi utile contre les attaques zero-day ou les campagnes évolutives qui changent de comportement en cours d’exécution. Pour aller plus loin sur la façon dont l’IA intègre l’infrastructure des nouvelles générations de serveurs, les architectures actuelles montrent comment le calcul évolue pour répondre à ces exigences.

Mais l’IA ne remplace pas l’architecture défensive. Un modèle détecte une anomalie ; l’organisation doit disposer de processus clairs pour décider quoi en faire. Bloquer trop tôt risque d’impacter des utilisateurs légitimes. Réagir trop tard laisse l’attaque progresser. L’équilibre passe par la combinaison d’automatisation, de règles métier, de supervision technique et de capacité d’intervention humaine.

La stratégie multicouche : la seule réponse réaliste

La table ronde d’AOTEC a délivré un message cohérent : aucune solution isolée ne suffit. Une première ligne contre les attaques volumiques, des contrôles d’accès renforcés, la prévention du déplacement latéral, une formation continue, une surveillance en temps réel et des plans de reprise éprouvés : c’est l’ensemble de ces couches qui fait la différence entre un incident géré et une crise ouverte.

Pour les opérateurs télécoms, l’enjeu est encore plus large. Leur infrastructure n’est pas simplement un réseau d’entreprise : c’est ce sur quoi reposent entreprises, administrations, services essentiels et citoyens. Une attaque qui dégrade cette infrastructure ne touche pas un serveur, elle érode la confiance dans le service lui-même.

Contenir 1,3 Tbps en cinq minutes, c’est techniquement faisable. Mais cela exige une préparation préalable, une architecture conçue pour ça et des équipes qui savent quoi faire quand l’alerte arrive. La défense commence bien avant que le trafic malveillant n’apparaisse sur les graphiques.

Questions fréquentes

Qu’est-ce qu’une attaque DDoS volumique ?

Une attaque visant à saturer un réseau ou un service en envoyant des volumes massifs de trafic malveillant, rendant l’infrastructure inaccessible aux utilisateurs légitimes. À 1,3 Tbps, aucune protection locale seule ne peut absorber l’impact.

Pourquoi faut-il mitiger l’attaque avant qu’elle atteigne le réseau ?

Si le trafic malveillant pénètre dans l’infrastructure cliente, les liens se congestionnen, les services se dégradent et la réponse devient plus difficile. La mitigation en amont, via des systèmes de nettoyage distribués, évite que l’impact ne se propage.

Quel est le rôle de l’IA dans la défense contre les DDoS ?

L’IA détecte les anomalies de trafic en temps réel, distingue le légitime du malveillant et priorise les alertes. Elle est utile mais doit être combinée à une architecture défensive et à des processus humains clairs pour décider des actions à entreprendre.

Qu’est-ce que le déplacement latéral dans une cyberattaque ?

Après un accès initial, l’attaquant cherche à se déplacer dans le réseau pour atteindre des systèmes plus sensibles : crédentiels d’administration, sauvegardes, bases de données critiques. La segmentation et le principe du moindre privilège réduisent cette capacité de propagation.

Comment préparer un plan de continuité face aux cyberattaques ?

Il faut combiner la prévention (segmentation, accès minimaux, sauvegardes testées) avec une capacité de réponse rapide (détection, confinement, restauration). Les plans doivent être éprouvés régulièrement en conditions réalistes, pas seulement rédigés sur papier.

Source : AOTEC via LinkedIn