Wat is een DDoS-aanval en hoe bescherm je een website ertegen?

Een DDoS-aanval (Distributed Denial of Service) probeert een website offline te halen door hem te overspoelen met veel meer verkeer dan hij aankan, tegelijk verstuurd vanaf talloze machines, totdat echte bezoekers er niet meer doorheen komen. Bescherming ertegen betekent dat je dat kwaadaardige verkeer eruit filtert voordat het je server bereikt, met een mitigatielaag die voor de site staat en de aanval absorbeert of blokkeert. Het doel is simpel: de site beschikbaar houden voor echte gebruikers, ook terwijl een aanval bezig is.

Wat is een DDoS-aanval?

Een Denial of Service-aanval heeft als doel een website of dienst onbereikbaar te maken. Een Distributed Denial of Service-aanval doet hetzelfde vanaf veel bronnen tegelijk, vaak duizenden gecompromitteerde apparaten die samen als botnet optreden, wat het veel lastiger maakt om te stoppen door simpelweg één adres te blokkeren. Het verkeer is bedoeld om iets eindigs uit te putten: de verbindingen van de server, de verwerkingscapaciteit, of de bandbreedte van het netwerk waarop hij draait.

Het belangrijkste verschil met een gewone verkeerspiek is de bedoeling en het patroon. Een drukke verkoopdag stuurt je meer echte bezoekers, terwijl een DDoS-aanval je verkeer stuurt dat alleen bedoeld is om middelen op te slokken en echte bezoekers te verdringen. Volgens de DDoS-rapportages van Cloudflare is het aanvalsvolume jaar op jaar sterk gestegen en worden de grootste geregistreerde aanvallen inmiddels gemeten in terabits per seconde, ver buiten wat een enkele onbeschermde server kan absorberen.

Hoe werkt een DDoS-aanval eigenlijk?

De meeste aanvallen vallen in drie brede types, en het helpt om te weten welk type welk is, omdat ze verschillend worden afgeweerd.

Volumetrische aanvallen zijn het brute-krachttype: ze verzadigen je beschikbare bandbreedte met pure hoeveelheid, zoals een UDP-flood, zodat er niets anders meer doorheen kan. Protocolaanvallen richten zich op de manier waarop verbindingen worden opgezet en putten server- of firewallmiddelen uit met bijvoorbeeld SYN-floods, die verbindingen openen en nooit voltooien. Aanvallen op de applicatielaag zijn het stilst en vaak het lastigst te herkennen: ze bootsen echt gebruikersgedrag na en sturen verzoeken die legitiem lijken, maar gericht zijn op de duurste onderdelen van je site, zoals een zoek- of loginfunctie, totdat de applicatie bezwijkt.

Wat alle drie gemeen hebben, is dat ze een resource overbelasten. Het verweer is in alle gevallen hetzelfde: het kwaadaardige verkeer identificeren en verwijderen voordat het de aangevallen resource bereikt.

Wat kost een DDoS-aanval een bedrijf?

De voor de hand liggende kosten zijn de storing: zolang de site onbereikbaar is, kunnen bezoekers niet boeken, kopen of contact opnemen, en voor een zorg- of kliniekwebsite kan dat betekenen dat patiënten niet bij zorginformatie of afspraakformulieren kunnen. Schattingen uit de sector leggen de kosten van ongeplande websitedowntime vaak op duizenden euro's per uur voor een bedrijf dat online transacties doet, al hangt het werkelijke bedrag volledig af van wat je site voor je doet.

De minder zichtbare kosten tellen ook mee. Er is de reputatieschade van een site die zichtbaar plat ligt, de personeelsuren die in brandjes blussen gaan zitten, en in sommige gevallen een DDoS-aanval die als rookgordijn wordt gebruikt om af te leiden van een tweede inbraakpoging. Voor een gereguleerde of patiëntgerichte organisatie roept een storing bovendien vragen op over beschikbaarheid en continuïteit die verder gaan dan gemiste omzet.

Hoe houdt DDoS-mitigatie een site online?

Effectieve mitigatie plaatst een filterlaag tussen het internet en je server, zodat verkeer wordt geïnspecteerd voordat het je ooit bereikt. Legitieme bezoekers komen erdoorheen, terwijl verkeer dat overeenkomt met aanvalspatronen aan de rand wordt geabsorbeerd of weggegooid, verspreid over infrastructuur met veel meer capaciteit dan een enkele origin-server.

Dit werkt het best als een altijd actieve laag in plaats van iets dat je midden in een aanval aanzet, omdat de eerste minuten van een aanval de minuten zijn waarin de schade ontstaat. Een mitigatiedienst ziet het verkeer als eerste, herkent de kenmerken van de hierboven genoemde aanvalstypes en schaalt op om volume te absorberen dat je eigen hardware zou overweldigen. Bij EuroraCloud draait de DDoS-mitigatie vanaf onze gedecentraliseerde infrastructuur in Nederland, Frankrijk en Duitsland, waardoor verkeer binnen Europa blijft om redenen van datasoevereiniteit en latency, en tegelijk de capaciteit biedt om grote aanvallen op te vangen.

Wat moet je nu doen?

Begin met weten of je op dit moment überhaupt een mitigatielaag hebt, want veel websites zijn alleen beschermd door de standaardinstellingen van hun hostingprovider, die vaak mager zijn. Als een aanval vandaag je site offline zou halen, is dat het gat om te dichten, ongeacht of je ooit eerder geraakt bent, want de hele bedoeling van mitigatie is dat het al aanstaat wanneer een aanval begint.

Wil je zien waar je eigen site staat, dan kan EuroraCloud je huidige situatie bekijken en je laten zien wat onze mitigatie oplost. Bekijk wat EuroraCloud oplost

Conclusie: wat moet je onthouden over DDoS-bescherming?

Een DDoS-aanval hoeft niets te doorbreken om je te raken. Hij maakt je site simpelweg onbereikbaar, en voor een bedrijf dat afhankelijk is van zijn website om te informeren, te boeken of te verkopen, is een uur offline een reële kostenpost. De drie aanvalstypes werken verschillend, maar het antwoord op alle drie is hetzelfde: een mitigatielaag voor je site die kwaadaardig verkeer wegfiltert voordat het binnenkomt. Het nuttigste wat je kunt doen is controleren of die laag er vandaag al is, want mitigatie beschermt je alleen als het draait voordat een aanval begint, niet erna.