Comment détecter et prévenir le détournement d’adresses IP

Une anomalie de route exige d’abord des faits vérifiables

Notez le préfixe touché, l’ASN d’origine, l’heure, les lieux d’observation, les symptômes et la source de chaque constat. L’équipe réseau doit distinguer une modification d’origine, une panne applicative, une altération DNS, un équipement compromis et un litige d’enregistrement.

Comparez plusieurs points de vue avec les routeurs, les fournisseurs et les journaux de service. Isolez ce qui est compromis selon l’incident, tout en conservant les éléments utiles à l’enquête.

L’opérateur et l’amont qui contrôlent l’annonce peuvent la corriger. NRS Shield aide à comprendre le risque lié aux ressources et à la gouvernance ; une POA est une décision distincte de représentation, avec un périmètre, une durée, des droits de décision et un retrait explicites.

Pourquoi le contrôle des routes concerne l’activité

Un service en ligne dépend aussi de la manière dont les autres réseaux atteignent son préfixe. Une annonce d’origine erronée ou malveillante peut interrompre une connexion, détourner un flux, exposer des données et empêcher des clients d’accéder au service.

L’article conserve le chemin complet de la source : comprendre le détournement, le détecter, le prévenir, y répondre et convertir l’expérience en pratique durable. Une observation externe reste un indice, pas une conclusion.

Comprendre le détournement IP

Le détournement IP désigne généralement une annonce non autorisée qui fait dévier le trafic destiné à une organisation. BGP échange les informations de routage ; si un réseau accepte une origine ou un chemin erroné, le trafic peut être inspecté, modifié, abandonné ou livré au mauvais service.

Une fausse origine, une erreur de configuration, un routeur compromis et un problème d’enregistrement peuvent produire des symptômes proches. Un préfixe annoncé par un ASN inhabituel impose une vérification ; il ne prouve ni une attaque ni un droit sur le préfixe.

Détecter un détournement

Surveillez les annonces BGP, l’ASN d’origine, le chemin AS et les changements de préfixe. BGPStream et RIPE NCC peuvent aider à établir une chronologie, à confronter aux routeurs, aux notifications des fournisseurs, aux traceroutes, aux journaux et aux comptes.

Un chemin inconnu, un préfixe plus spécifique, une latence inhabituelle, des pertes de paquets ou des clients dirigés vers un lieu inattendu sont des signaux à examiner. Comparez plusieurs lieux et moments : un seul point de mesure peut être incomplet ou refléter une évolution légitime.

Prévenir et réduire l’exposition

Maintenez des filtres de préfixes exacts à la frontière du réseau et une politique claire de peering. Désignez les responsables des ROA, de la validation RPKI et des alertes, puis vérifiez régulièrement que les autorisations correspondent au déploiement réel.

RPKI peut aider à reconnaître une origine incompatible avec une autorisation valide, si les ROA sont correctes et si le réseau applique le résultat. DNSSEC authentifie les données DNS ; il ne sécurise pas directement le routage BGP. Aucun dispositif ne supprime toute possibilité de détournement.

Réagir lorsque l’incident est confirmé

Alertez l’ISP, l’amont et les pairs capables d’agir, avec le préfixe, l’ASN, la chronologie et les observations. Vous pouvez retirer une annonce d’une session BGP que vous contrôlez, mais vous ne pouvez pas retirer directement l’annonce d’un autre opérateur.

Conservez les routes observées, journaux, configurations, changements de comptes et effets sur le service. Coordonnez avec le RIR compétent si l’enregistrement est en cause et envisagez un signalement selon les faits et la juridiction. Surveillez encore après le rétablissement.

Conclusion

Le détournement IP est un risque sérieux de sécurité du routage. La réponse doit relier observations, contrôles techniques, coopération entre opérateurs et conservation des preuves. Aucun outil ne garantit seul la sécurité d’un préfixe ou l’identification d’un auteur.

Inscrivez les filtres, les ROA, les contacts et les plans de continuité dans l’exploitation courante. Gérez les ressources, leurs autorisations et leur chaîne de responsabilité comme des actifs de continuité.

Source et note éditoriale

NRS a publié l’article le 18 avril 2025 et a enregistré une modification le 4 novembre 2025. Les cinq thèmes et la conclusion sont conservés ; cette édition précise les limites du retrait BGP, de RPKI, de DNSSEC et des signaux de détection. Les références concernent des couches différentes et ne prouvent à elles seules ni un droit juridique, ni une attribution, ni un délai de rétablissement.

Article original de NRS · RIPE NCC : validation d’origine BGP · MANRS : sécurité du routage · BGPStream : données de routage · RFC 4033 : DNSSEC · RFC 4271 : BGP-4

Transformer l’incident en capacité de gouvernance

Après l’incident, revoyez les registres, contrats, autorisations, contrôles et plans de continuité. NRS Shield est une voie de soutien ; une délégation de représentation doit être décidée séparément dans la POA. Lire, demander de l’aide ou rejoindre la communauté ne crée pas un mandat. Les actions actuelles distinguent les dossiers en cours des archives.

Découvrir NRS Shield · POA et représentation · Actions actuelles