Peut-être des robots qui récoltent des données pour des modèles d'intelligence artificielle ?
Les acteurs moins respectueux dans le domaine sont connus pour inonder les forums et dépôts de code via des proxy, ce qui leur permet de faire chaque requête depuis une nouvelle IP et d'éviter de se faire bloquer : https://about.readthedocs.com/blog/2024/07/ai-crawlers-abuse/ / https://saphi.re/blog/2025-abusive-ai-crawlers

Ça coûte étonnamment peu cher : https://brightdata.com/proxy-types/residential-proxies

Je fais filtrer plus large, sur les plages IP qui sont massivement utilisées.

Voici comment je trouve les top harceleurs :

cat 202507_ddos_ipv4_applicatif_11juillet2025.txt | cut -d. -f1,2 | sort -n | uniq -c | sort -nr
cat 202507_ddos_ipv6_applicatif_11juillet2025.txt | cut -d: -f1,2,3 | sort -n | uniq -c | sort -nr

Cela donne ces fichiers :
https://lafibre.info/images/stats/202507_ddos_applicatif_top_ipv4.txt
https://lafibre.info/images/stats/202507_ddos_applicatif_top_ipv6.txt

Cela se lit comme ça : il y a 9665 IPv4 distinctes sur la plage 14.191.xxx.xxx qui ont attaqué le forum.

   9665 14.191
   8772 169.224
   6596 172.56
   6372 177.37
   6297 179.125
   5872 172.59
   4962 152.59
   4844 187.19
   4231 152.58
   4196 37.111
   3733 172.58
   3575 191.5
   3298 186.249
   3272 14.231
   3270 176.29
   3234 37.77
   3156 45.187
   3132 37.238
   3051 170.78

Cela se lit comme ça : il y a 4131 IPv6 distinctes sur la plage 2001:ee0:4f39:: qui ont attaqué le forum.

   4131 2001:ee0:4f39
   4114 2001:ee0:4f36
   3834 2001:ee0:4f35
   3773 2001:ee0:4f3c
   3337 2001:ee0:4f3a
   2964 2001:ee0:4f37
   2793 2001:ee0:429d
   2781 2001:ee0:4f34
   2706 2001:ee0:4f3b
   2689 2001:ee0:4294
   2128 2001:ee0:4f3d
   2075 2001:ee0:4f38
   1977 2001:ee0:4f7c
   1576 2001:ee0:4f3e
   1483 2001:ee0:425e
   1363 2001:ee0:4255
   1335 2001:ee0:51c3
   1163 2001:ee0:42cb
   1098 2001:ee0:4790
   1089 2001:ee0:4681
   1068 2001:ee0:51c4
   1050 2803:1500:1c00

C'est les log Apache. Chaque requête est loguée (c'est le cas pour tous les serveurs).

Je filtre selon des règles bien précises (confidentiel) pour trouver un point qui caractérise l'attaquant.

Ensuite, j'extrais toutes les IP qui respectent cette règle, ce qui donne ces 1 837 517 IPv4 et 563 585 IPv6.

J'estime que 98% de ces IP sont liées aux attaques (il peut y avoir quelques IP légitimes dans le lot).

Je vais regarder la localisation de ces blocs d'IP massivement utilisé pour les attaques et s'il n'y a pas trop de risque de sur-blocage, je pense qu'elles seront définitivement bloquées.

Désolé pour ceux qui utilisent des VPN, mais il est probable que certains VPN hors d'Europe seront bloqués, ces plages bloquées sont nécessaires pour que le serveur (qui est significativement surdimensionné) puisse répondre pendant les attaques. Il n'est pas nécessaire de tout bloquer, il faut bloquer ce qui est nécessaire pour que le reste puisse être traité par le serveur (comme c'est le cas en ce moment).

Non, je ne peux pas lier les membres du forum. L'automatisation du blocage, c'est uniquement pendant les attaques et souvent chaque attaque est unique sur la façon de l'identifier.

Je vais prendre un exemple simple : si l'attaquant fait ses requêtes avec TLS 1.2 je le repère facilement et je vais bloquer toutes les IP qui font des requêtes en TLS 1.2, vu qu'aujourd'hui tout le trafic est en TLS 1.3 (cet exemple était intéressant il y a quelques années, toutes les attaques ces dernières années sont en TLS 13).

Hors attaque, il faut étudier à la main chaque plage que je souhaite bloquer définitivement. L'idée, c'est de bloquer des IP source d'attaques régulières (c'est toujours dans les mêmes pays, bien éloignés de chez nous) en évitant le surblocage.

Quel est le pourcentage d'IP qui sont hors des plages des OCENS Français ?

@ Vivien : mais je croyais qu'une attaque DDOS consistait à saturer la bande passante. Je ne comprends en quoi faire une liste des adresses IP à rejeter peut améliorer la connectivité au forum laFibre.info.