Test DDoS ou test de charge : lequel vous faut-il ?

Définition

Les tests de charge et de stress simulent un comportement utilisateur réaliste : navigation, connexion, recherche, ajout au panier, paiement ou appels d'API. Les tests augmentent progressivement le trafic jusqu'aux niveaux attendus et de pointe, puis parfois au-delà pour trouver les points de rupture. Les résultats portent sur les temps de réponse, les taux d'erreur, le débit et l'utilisation des ressources, et ils aident à identifier les goulets d'étranglement tels que des requêtes de base de données lentes, des pools de connexions limités ou un autoscaling qui réagit trop lentement. Le test de résilience DDoS simule des schémas de trafic hostiles : inondations au niveau réseau, épuisement des connexions ou volumes élevés de requêtes applicatives conçues pour contourner le cache. Les résultats portent sur la capacité des services de mitigation, de la limitation de débit, des règles WAF et des protections en amont à détecter et absorber le trafic, le temps nécessaire pour y parvenir et l'impact subi par les utilisateurs légitimes. Le test de charge concerne surtout la capacité et l'efficacité ; le test DDoS concerne surtout la protection et la réaction. Les deux nécessitent un périmètre écrit, des limites de sécurité et des conditions d'arrêt, et le test DDoS requiert en outre, dans la plupart des cas, l'approbation des fournisseurs.

Public concerné

Cette comparaison aide les équipes qui :

• Préparent un lancement, une campagne ou un pic saisonnier et veulent pouvoir se fier à leur capacité
• Ont souscrit un CDN ou un service de mitigation DDoS et veulent voir comment il se comporte
• Ont subi des ralentissements ou des interruptions et ne savent pas si la cause était la charge ou une attaque
• Doivent expliquer à leur direction pourquoi deux tests de trafic sont proposés

Ce qu'il aide à clarifier

Comparer les deux aide à clarifier :

• Si votre principal risque est une demande réelle dépassant la capacité ou un trafic hostile dépassant la protection
• Quel environnement convient : un environnement de préproduction proche de la production pour les tests de charge, ou une plage coordonnée en production pour les tests de résilience
• Quels indicateurs comptent : temps de réponse et taux d'erreur, ou détection, délai de mitigation et impact sur les utilisateurs
• Quels fournisseurs doivent être informés ou approuver l'activité

Ce qui est inclus

• Choisissez le test de charge si : un lancement ou un pic approche, les performances font l'objet de plaintes récurrentes, ou vous avez modifié votre architecture ou votre hébergement
• Choisissez le test DDoS si : vous dépendez de services de mitigation que vous n'avez jamais vus à l'œuvre, vous exploitez un service très exposé, ou des clients ou partenaires vous interrogent sur votre résilience
• Pour le test de charge : définissez les parcours utilisateurs, les volumes attendus et de pointe, les données de test et les critères de réussite
• Pour le test DDoS : définissez les scénarios d'attaque, les débits maximaux, les approbations des fournisseurs et les conditions d'arrêt
• Pour les deux : convenez des environnements, des plages horaires, de la surveillance, des contacts nommés et du reporting
• Pensez à l'enchaînement : corrigez les problèmes de capacité révélés par le test de charge avant de tester les protections

Ce qui n'est pas inclus

• L'affirmation que l'un ou l'autre test assure la disponibilité ou protège contre tous les futurs événements de trafic
• Des tests sans autorisation écrite ni approbation des fournisseurs lorsque celle-ci est requise
• Une surveillance continue ou une réponse à incident, sauf périmètre distinct
• Des techniques détaillées de génération de trafic

Quand le choisir

En cas de doute, partez de la question à laquelle vous devez répondre. Si la question est « pouvons-nous servir les clients attendus le jour du lancement ? », menez un test de charge. Si la question est « nos protections tiendraient-elles si quelqu'un tentait de nous mettre hors ligne ? », menez un test de résilience DDoS. De nombreuses organisations font les deux successivement : un test de charge pour établir une base saine, puis un test de résilience pour évaluer les protections par rapport à cette base.

Notre approche

Définissez la réussite avant de tester. Pour un test de charge, il peut s'agir de temps de réponse acceptables pour un nombre donné d'utilisateurs simultanés. Pour un test de résilience, il peut s'agir du délai nécessaire à l'activation de la mitigation et du niveau d'impact subi par les utilisateurs légitimes pendant ce temps. Notre service Application Load & Stress Testing évalue le comportement de l'application selon des scénarios d'usage, des niveaux de charge, des environnements et des limites de sécurité convenus. Notre service DDoS Resilience Testing évalue des scénarios de perturbation convenus dans des limites écrites, y compris la coordination avec les fournisseurs. Chacun produit des observations écrites et des recommandations hiérarchisées, et la remédiation ou la surveillance continue peuvent être ajoutées dans un périmètre convenu séparément. Si vous prévoyez les deux, définissez leurs périmètres ensemble afin que les environnements, les contacts et les formats de rapport soient alignés et que les résultats puissent être comparés.

service DDoS Resilience Testing

Foire aux questions

Articles connexes