Attaque par Inondation UDP et Prévention

Comme pour l’attaque TCP SYN, l’attaquant peut utiliser la même technique, mais cette fois pour inonder le trafic UDP et rendre le routeur MikroTik inopérant.

Il va simplement créer et envoyer un grand nombre de datagrammes UDP à partir d’adresses IP usurpées pour cibler un routeur MikroTik. Lorsque le routeur reçoit ce type de trafic, il n’est pas en mesure de traiter toutes les demandes et consomme sa bande passante en envoyant des paquets ICMP « destination inaccessible ».

En conséquence, le routeur aura son CPU à 100% et la bande passante sur l’interface, où l’attaque arrive, sera utilisée par le trafic de l’attaque.

Mais comment l’attaquant peut-il réaliser cette attaque ?

Eh bien, c’est le même scénario que nous avons vu pour la syntaxe TCP. Il effectuera une attaque de reconnaissance pour voir comment cibler le routeur MikroTik victime à l’aide de l’inondation UDP. S’il constate qu’une application est ouverte (qui utilise le protocole UDP), il sait alors que cet appareil peut être attaqué par UDP.

En tant qu’ingénieurs en sécurité, nous devons donc bloquer sur le routeur toute application fonctionnant sur les protocoles UDP ou au moins définir un paramètre de sécurité sur le routeur MikroTik afin que ces applications ne soient plus visibles de l’extérieur par les attaquants.

Assez de théorie, faisons un LAB pour voir comment l’attaque peut se produire et comment la prévenir.

LAB: Attaque par inondation UDP et prévention

Je suis dans le même cas de figure. Supposons que mon routeur MikroTik soit connecté sur Ether1 à l’internet avec une adresse IP publique.

Comme expliqué, la première chose que l’attaquant va faire est de vérifier si le routeur a une application en cours d’exécution qui utilise le protocole UDP afin qu’il sache qu’il peut lancer une attaque par inondation UDP. Là encore, il peut utiliser NMAP sur Kali Linux pour vérifier cela :

Nous pouvons voir clairement que le DNS est ouvert sur le routeur MikroTik. Sur NMAP, il est indiqué que le DNS utilise le protocole TCP, mais nous savons que le DNS fonctionne à la fois sur les protocoles TCP et UDP, donc ici l’attaquant sait que ce routeur peut être attaqué par un flood UDP.

Lançons une attaque UDP flood et voyons son impact sur notre routeur MikroTik :