16.4.2 Module 16 – Questionnaire sur les attaques ciblant les fondements du réseau

Explication: Une attaque TCP SYN par saturation exploite la connexion en trois étapes du protocole TCP. L’acteur de menace envoyant continuellement des paquets de demande de session TCP SYN avec une adresse IP source falsifiée de manière aléatoire à une cible.

Explication: Les attaques de reconnaissance visent à découvrir et à cartographier sans autorisation le réseau et ses systèmes. Les attaques d’accès et par exploitation de la confiance visent à manipuler les données, à accéder aux systèmes ou aux privilèges utilisateur sans autorisation. Les attaques de déni de service ou DoS visent à empêcher des utilisateurs et des terminaux autorisés à accéder à des ressources réseau.

Explication: Lors d’une attaque par inondation SYN TCP, le hacker envoie à l’hôte cible un flot continu de requêtes de session SYN TCP avec une adresse IP source usurpée. L’hôte cible répond avec un paquet TCP-SYN-ACK à chacune des requêtes de session SYN et attend un TCP ACK qui n’arrivera jamais. Finalement, la cible est submergée par des connexions TCP semi-ouvertes.

Explication: Les acteurs de menace s’intéressent notamment aux messages ICMP courants suivants:

• Requête d’écho et réponse par écho ICMP: utilisés pour les attaques de vérification de l’hôte et pour les attaques DoS.
• ICMP inaccessible: est utilisé pour les attaques de reconnaissance et d’analyse.
• Réponse de masque ICMP: est utilisé pour cartographier un réseau IP interne.
• Redirection ICMP: utilisé pour inciter l’hôte cible à envoyer l’ensemble du trafic via un appareil compromis et pour créer une attaque MITM.
• Détection de routeur ICMP: utilisé pour introduire de fausses entrées de route dans la table de routage d’un hôte cible.

Explication: Dans une attaque d’usurpation d’adresse IP, l’adresse IP d’un hôte réseau légitime est détournée et utilisée par un nœud indésirables. Cela permet au nœud indésirable d’être installé comme un nœud valide sur le réseau.

Explication: Le protocole IPv6 utilise des en-têtes d’extension pour transporter les informations de couche réseau facultatives. Ces en-têtes ne font pas partie de l’en-tête IPv6 principal. Il s’agit d’en-têtes distincts placés entre l’en-tête IPv6 et la charge utile.

Explication: Une attaque d’accès tente d’accéder à une ressource à l’aide d’un compte piraté ou d’une autre méthode. Voici les cinq types d’attaques d’accès :

• mot de passe – un dictionnaire est utilisé pour les tentatives de connexion répétées
• exploitation de la confiance – utilise des privilèges octroyés pour accéder au matériel non autorisé
• redirection de port – utilise un hôte interne compromis pour transmettre le trafic via un pare-feu
• man-in-the-middle (l’homme au milieu) – un appareil non autorisé est positionné entre deux appareils légitimes afin de rediriger ou de capturer le trafic
• dépassement de la mémoire tampon – un trop grand nombre de données envoyées à un emplacement de mémoire qui contient déjà des données

Explication: Une attaque de reconnaissance est la découverte et la documentation non autorisées de divers réseaux informatiques, systèmes de réseau, ressources, applications, services ou vulnérabilités.

Explication: La somme de contrôle de l’en-tête permet de déterminer si des erreurs ont été introduites pendant la transmission.

Explication: Le champ Time-to-Live (TTL) de l’en-tête IPv4 permet de limiter la durée de vie d’un paquet. L’hôte expéditeur définit la valeur de durée de vie initiale et celle-ci diminue d’un point chaque fois que le paquet est traité par un routeur. Si la valeur du champ TTL (durée de vie) arrive à zéro, le routeur rejette le paquet et envoie un message de dépassement de délai ICMP à l’adresse IP source. Le champ Differentiated Services (DS) permet de définir la priorité de chaque paquet. Les champs Sequence Number (numéro d’ordre) et Acknowledgment Number (numéro d’accusé de réception) sont deux champs de l’en-tête TCP.

Explication: ICMPv6, comme IPv4, envoie un message de dépassement de temps si le routeur ne peut pas transférer un paquet IPv6 parce que le paquet a expiré. Cependant, le paquet IPv6 n’a pas de champ TTL. Il utilise plutôt le champ « Hop Limit » pour déterminer si le paquet a expiré.

Explication: Un acteur de menace peut utiliser un outil comme UDP Unicorn ou Low Orbit Ion Cannon pour envoyer un flot de paquets UDP pour lancer une attaque UDP inondation qui entraîne la consommation de toutes les ressources d’un réseau. Ces types de programmes balayent tous les ports connus afin de trouver les ports fermés. Par conséquent, le serveur répond avec un message Port ICMP inaccessible. Étant donné que le nombre de ports fermés sur le serveur est si important que le trafic sur le segment est saturé et que toute la bande passante est consommée (ou presque). Le résultat est très similaire à celui d’une attaque DoS.

Explication: Une attaque par réinitialisation TCP peut être utilisée pour mettre fin à une communication TCP entre deux hôtes en envoyant un paquet TCP RST usurpé. La connexion TCP est interrompue en cas de réception d’un bit RST.