L’assourdissant bruit de fond d’Internet

Un serveur privé virtuel (VPS), fraîchement installé et connecté à Internet, a reçu près de 100 000 visites par jour sans aucune sollicitation de sa part. Ces connexions proviennent de ce que l’on appelle le « bruit de fond d’Internet », c’est-à-dire l’activité constante et non sollicitée qui traverse le réseau, même lorsqu’un utilisateur ou un service ne fait rien. Ce phénomène illustre l’exposition permanente des machines connectées à des tentatives de connexion, souvent automatiques, provenant de robots ou de scanners malveillants. Pour étudier ce phénomène, les auteurs ont utilisé un outil nommé T-Pot, développé par Deutsche Telekom Security, qui agit comme un honeypot (pot de miel). Un honeypot est un système conçu pour attirer et enregistrer les attaques ou les tentatives d’intrusion, afin d’en analyser les méthodes. Dans ce cas précis, T-Pot a capté toutes les demandes adressées au serveur, pas seulement celles ciblant le port 22, utilisé par défaut pour les connexions SSH (Secure Shell), un protocole permettant de prendre le contrôle à distance d’un serveur.

Parmi les 100 000 visites quotidiennes enregistrées, une partie significative provenait d’attaques ciblant spécifiquement le port 22, utilisé pour les connexions SSH. Les auteurs précisent que leur précédent serveur avait subi 800 000 attaques en six mois, soit une moyenne de plus de 4 000 attaques par jour. Ces attaques visent souvent à exploiter des failles de sécurité pour prendre le contrôle du serveur, y installer des logiciels malveillants ou l’intégrer à un réseau de machines zombies (botnet). Les serveurs connectés à Internet sont des cibles privilégiées, car ils sont accessibles en permanence et peuvent servir de porte d’entrée vers d’autres systèmes. Les auteurs soulignent que ces attaques ne sont que la partie émergée de l’iceberg, car le bruit de fond inclut également des scans de ports, des tentatives de connexion via d’autres protocoles, et des requêtes automatisées provenant de robots divers.

Pour mieux comprendre l’ampleur du phénomène, les auteurs ont utilisé un honeypot capable de capturer plus d’un million d’événements en 24 heures. Parmi ces événements, ils ont observé des périodes de calme relatif, comme un intervalle de 34 secondes sans aucune tentative de connexion, qualifié de « record ». Cependant, ces moments de répit sont rares et de courte durée. Les auteurs mentionnent également la possibilité de suivre en temps réel les attaques sur leur serveur, ce qui permet de visualiser l’activité constante du réseau. Cette approche met en lumière la nécessité de sécuriser les serveurs, même lorsqu’ils ne sont pas exposés publiquement ou utilisés activement. Les attaques proviennent de sources variées, y compris des adresses IPv6, une version plus récente du protocole Internet qui permet un nombre quasi illimité d’adresses. Le commentaire d’un lecteur pose d’ailleurs la question de la répartition des attaques entre IPv4 et IPv6, soulignant l’importance croissante de ce dernier protocole.

Le bruit de fond d’Internet s’explique par plusieurs facteurs. D’abord, il y a les scans automatiques, réalisés par des robots qui explorent les plages d’adresses IP pour identifier des machines vulnérables. Ces scans peuvent être le fait de pirates cherchant à exploiter des failles, mais aussi de chercheurs en sécurité ou d’entreprises spécialisées dans la cybersécurité. Ensuite, il y a les attaques ciblées, souvent menées par des botnets, des réseaux de machines infectées contrôlées à distance. Enfin, il existe des requêtes légitimes mais non sollicitées, comme celles des moteurs de recherche ou des services cloud qui tentent de découvrir de nouveaux serveurs. Tous ces éléments contribuent à créer un environnement où les machines connectées sont constamment sollicitées, parfois de manière agressive. Les auteurs rappellent que cette activité incessante rend indispensable la mise en place de mesures de sécurité robustes, même pour des serveurs privés ou peu exposés.