Wat is DDoS en hoe bescherm je je website?
Auteur: Redactie Domeny.ForSale Gepubliceerd
Kort samengevat: DDoS is een aanval die een website, server of andere internetdienst met verkeer uit veel verschillende bronnen probeert te overbelasten, zodat de dienst moeilijk of helemaal niet meer te gebruiken is. Dat hoeft geen inbraak of gegevensdiefstal te betekenen: het belangrijkste doel is de dienst onbereikbaar maken. Bescherming bestaat uit het herkennen en wegfilteren van schadelijk verkeer, liefst voordat het de overbelaste infrastructuur bereikt.
Hoe werkt een DDoS-aanval?
DDoS staat voor Distributed Denial of Service, oftewel een gedistribueerde aanval die een dienst onbeschikbaar maakt. Een server heeft een beperkte bandbreedte, rekenkracht en capaciteit voor gelijktijdige verbindingen. De aanvaller probeert minstens één van die middelen uit te putten. Daardoor krijgen echte gebruikers foutmeldingen, moeten ze wachten op een antwoord of kunnen ze geen verbinding maken.
Je kunt het vergelijken met een winkel waarvan de ingang en kassa’s worden geblokkeerd door een menigte die niets wil kopen. De winkel bestaat nog steeds, maar gewone klanten kunnen niet meer vlot winkelen. Op internet kan zo’n blokkade zowel een afzonderlijke website treffen als een gameserver, een maildienst of de infrastructuur van een provider.
Het woord ‘gedistribueerd’ betekent dat de aanval verkeer uit veel verschillende bronnen gebruikt. Daarvoor wordt vaak een botnet ingezet: een netwerk van apparaten die door criminelen zijn overgenomen, zoals computers, routers en camera’s. Een aanval kan ook externe servers gebruiken die ertoe worden gebracht antwoorden naar het adres van het slachtoffer te sturen. Niet elk apparaat dat aan dit verkeer bijdraagt, hoeft dus geïnfecteerd te zijn.
DoS is de overkoepelende naam voor aanvallen die een dienst onbeschikbaar maken; DDoS is de gedistribueerde variant. Eén IP-adres blokkeren, dus het adres van een apparaat of een punt in het netwerk, is meestal niet genoeg om een aanval uit veel bronnen te stoppen.
Wat kan er precies overbelast raken?
Niet elke DDoS-aanval bestaat simpelweg uit het versturen van enorme hoeveelheden gegevens. Meestal worden drie soorten aanvallen onderscheiden:
- Volumetrische aanvallen laten de verbinding vollopen met grote hoeveelheden verkeer. Zelfs een krachtige server helpt niet als legitieme verbindingen hem niet kunnen bereiken.
- Aanvallen op netwerkmechanismen putten de middelen uit die nodig zijn om verbindingen af te handelen, bijvoorbeeld op een server of een apparaat dat het netwerk beveiligt.
- Aanvallen op de applicatie belasten specifieke functies van een website, zoals het zoeken naar producten of het genereren van rapporten. Ze kunnen op gewone bezoeken lijken en hebben niet zo veel bandbreedte nodig.
Een webwinkel kan bijvoorbeeld bestaande afbeeldingen snel weergeven, maar veel meer tijd nodig hebben voor ingewikkelde zoekopdrachten in de catalogus. Het massaal aanroepen van zo’n functie kan de database overbelasten, terwijl de capaciteit van de verbinding niet volledig wordt benut. Daarom moet de bescherming worden afgestemd op het middel dat daadwerkelijk de bottleneck vormt.
Hoe onderscheid je DDoS van een storing of veel belangstelling?
Een trage website is geen bewijs van een aanval. Een succesvolle reclamecampagne, een fout in de applicatie, databaseproblemen of een hostingstoring kunnen vergelijkbare verschijnselen veroorzaken. Pas aanvullende signalen versterken het vermoeden van DDoS: een ongebruikelijke stijging van het aantal verbindingen, herhaalde verzoeken aan één functie of waarschuwingen van de beveiligingsdienst.
Controleer de beschikbaarheidsmonitoring, verkeersstatistieken en logs: registraties van gebeurtenissen en verzoeken die de server afhandelt. Vergelijk het moment waarop de prestaties verslechterden met het plaatsen van een advertentie, een configuratiewijziging en meldingen van de provider. Het aantal paginaweergaven in een analysetool laat mogelijk niet de hele aanval zien, omdat een deel van het schadelijke verkeer de analysecode van de website niet uitvoert.
DDoS op zichzelf bevestigt geen datalek, maar sluit het ook niet uit. Als er tegelijkertijd onbekende aanmeldingen of bestandswijzigingen plaatsvinden, behandel die dan als afzonderlijke signalen van een mogelijke beveiligingsinbreuk.
Hoe beperk je het risico en kies je passende bescherming?
De basis is bescherming die verkeer onderschept voordat het de server bereikt, in het netwerk van de provider of bij een gespecialiseerde dienst die verkeer filtert. Een lokale firewall kan verzoeken weigeren, maar maakt geen bandbreedte vrij op een verbinding die al door de aanval is volgelopen.
Een CDN, een netwerk van servers dat als tussenlaag content levert, kan de website ontlasten en functies voor DDoS-bescherming bieden. Een WAF, een firewall voor webapplicaties, helpt verdachte verzoeken aan de website te filteren. Deze beveiligingsmiddelen zijn echter niet onderling uitwisselbaar en garanderen geen weerbaarheid: de dekking van de dienst, de configuratie en het soort aanval zijn bepalend.
Controleer voordat je hosting of aanvullende bescherming kiest in de actuele documentatie van de aanbieder:
- of de bescherming alleen websites omvat of ook andere diensten die je gebruikt;
- of de bescherming automatisch wordt ingeschakeld en hoe je een lopende aanval meldt;
- welke limieten, uitsluitingen en eventuele kosten gelden;
- of de provider tijdens een aanval het verkeer naar het beschermde adres kan afsluiten om zijn eigen netwerk te beveiligen.
Als je een beveiligingsdienst als tussenlaag gebruikt, moet de rechtstreekse toegang tot de oorspronkelijke server volgens de aanbevelingen van die dienst worden beperkt. Anders kan een aanvaller het filter omzeilen. Back-ups helpen om gegevens na andere incidenten te herstellen, maar stoppen op zichzelf geen DDoS-aanval.
Wat doe je als de dienst niet meer werkt?
Neem eerst contact op met je hostingprovider of de aanbieder van je beveiligingsdienst. Geef door wanneer het probleem begon, welke diensten zijn getroffen, wat de symptomen zijn en welke meetgegevens beschikbaar zijn. Vraag om de oorzaak te bevestigen en passende filtering in te schakelen.
Bij een aanval op de applicatie kan het helpen om het aantal verzoeken tijdelijk te beperken of een functie die bijzonder veel capaciteit vraagt uit te schakelen. Zulke maatregelen kunnen het gebruik echter ook voor echte klanten bemoeilijken. Het beperken van zoekopdrachten naar producten kan bijvoorbeeld de webwinkel ontlasten, maar een te streng filter blokkeert een deel van de kopers.
Beschouw het herstarten van de server of het bijkopen van rekenkracht niet als een gegarandeerde oplossing. Bewaar logs, leg aangebrachte wijzigingen vast en informeer gebruikers via een onafhankelijk kanaal. Werkt de dienst op dit moment goed? Bereid dan nu één concreet onderdeel van je plan voor: de contactgegevens voor noodmeldingen bij de provider, samen met de procedure om een aanval te melden.
Zie ook: Wat betekent www?
Lees ook
