Vue d'ensemble
Le protocole Network Time Protocol (NTP) est une norme Internet utilisée pour synchroniser les horloges des appareils avec des références temporelles. Il permet de synchroniser les horloges entre plusieurs serveurs et clients distribués, garantissant ainsi que tous les équipements connectés à Internet affichent la même heure.
Description
Mécanisme d'attaque
NTP repose sur le protocole UDP et fonctionne selon un modèle client-serveur. Contrairement au TCP, UDP est un protocole sans connexion qui n'utilise pas de poignée de main en trois étapes (three-way handshake). Les attaquants exploitent cette vulnérabilité pour lancer des attaques DDoS. Le processus d'attaque se déroule comme suit :
Identifiez les cibles, notamment les objets visés par l'attaque et les ressources du serveur NTP sur le réseau.
-
Usurpez l'adresse IP de la cible et envoyez des requêtes de synchronisation horaire au serveur NTP en utilisant cette adresse falsifiée. Les attaquants envoient des requêtes contenant des commandes monlist, ce qui aggrave l'impact de l'attaque.
La fonctionnalité monlist intégrée à NTP sert à surveiller les serveurs NTP, mais elle présente une vulnérabilité. Lorsqu'un serveur NTP répond à une commande monlist, il renvoie les adresses IP des 600 derniers clients ayant effectué une synchronisation temporelle avec lui. Le système divise les paquets de réponse toutes les six adresses IP et peut retourner jusqu'à 100 paquets pour une seule commande monlist. Dans ce scénario, le serveur NTP est submergé par un volume de trafic UDP amplifié.
Des tests en laboratoire indiquent que si un paquet de requête mesure 234 octets, chaque paquet de réponse atteint 482 octets. Le trafic est ainsi amplifié par un facteur de 206. Ce résultat s'obtient grâce à la formule suivante : 482 × 100/234 = 206. Ce volume élevé de trafic sature le réseau, rendant les services indisponibles.
Pour atténuer les attaques DDoS basées sur NTP, appliquez l'une des méthodes suivantes :
Achetez des ressources de bande passante suffisantes.
Utilisez des services d'atténuation des attaques DDoS pour nettoyer le trafic entrant anormal et rediriger le trafic légitime vers vos serveurs.
Configurez votre pare-feu afin d'autoriser uniquement le trafic entre les serveurs NTP et des adresses IP fixes via le port UDP 123.
Désactivez la fonctionnalité monlist sur le serveur NTP.
Mettez à jour la version du serveur NTP vers la version 4.2.7 p26.
Champ d'application
Anti-DDoS Pro et Anti-DDoS Premium