DoS- en DDoS-netwerkaanvallen

Bij een denial-of-service-aanval (DoS) wordt een systeem bewust overspoeld met nepverkeer, zodat legitieme gebruikers geen toegang meer hebben tot de diensten. De gevaarlijkste variant, een distributed denial-of-service-aanval (DDoS) vergroot de schade door systemen te overspoelen vanaf meerdere met het netwerk verbonden apparaten (botnets). Samengevat:

• Denial-of-aanval (DoS): overbelast een systeem met nepverkeer vanaf één enkele bron.
• Distributed denial-of-service-aanval (DDoS): vergroot de impact via botnets: netwerken van geïnfecteerde apparaten (waaronder IoT-apparaten, routers en camera’s) die miljoenen gelijktijdige verzoeken versturen.

Deze aanvallen zijn geëvolueerd door gebruik te maken van netwerken van gekaapte apparaten (waaronder IoT-apparaten zoals IP-camera’s of thuisrouters), die miljoenen gelijktijdige verzoeken versturen om de beoogde bronnen te overbelasten.

Het belangrijkste doel van een DoS- of DDoS-aanval is het verstoren van diensten:

• Geen toegang meer tot de website of het e-mailsysteem van een bedrijf.
• Volledige uitval van online systemen of diensten.
• Netwerkverzadiging waardoor de dagelijkse werkzaamheden stilvallen.

Hoewel ze meestal het gevolg zijn van een kwaadaardige actie, kunnen deze aanvallen ook ontstaan door configuratie- of technische fouten. Toch kunnen gerichte aanvallen leiden tot miljoenenverliezen, de reputatie van een bedrijf schaden en de deur openzetten voor andere bedreigingen (zoals ransomware of datalekkage).

Soms proberen aanvallers bedrijven af te persen door betaling te eisen om de aanval te stoppen. In andere gevallen gebruiken ze netwerkaanvallen als afleiding om op de achtergrond andere, complexere cyberaanvallen uit te voeren.

DDoS-aanvallen verlopen meestal via botnets: netwerken van geïnfecteerde apparaten die gecoördineerd samenwerken. Elk zombieapparaat stuurt enorme aantallen verzoeken naar de server van het slachtoffer, totdat de bandbreedte of verwerkingscapaciteit het begeeft.

Een bekend voorbeeld is de aanval uit 2016 op Dyn, een DNS-provider, waardoor diensten als Twitter, Netflix, Amazon en The New York Times tijdelijk onbereikbaar waren.

Tegenwoordig gebruiken aanvallers ook slecht beveiligde IoT-apparaten om hun aanvallen zo groot mogelijk te maken. Veelgebruikte technieken zijn:

• UDP-flood: een host overspoelen met UDP-pakketten.
• SYN-flood: het uitputten van TCP-bronnen.
• HTTP-flood: massaal nagebootst, ogenschijnlijk legitiem netwerkverkeer.
• Volumetrische aanvallen: verzadigen de netwerkbandbreedte door enorme hoeveelheden data te versturen (bijvoorbeeld DNS-amplificatie).
• Protocolaanvallen: misbruiken zwakke plekken in protocollen zoals TCP, UDP of ICMP om serverbronnen op te slokken.
• Aanvallen op de applicatielaag: richten zich op webapplicaties met ogenschijnlijk legitiem verkeer (waardoor ze lastiger te detecteren zijn).

Door deze aanvallen kan de getroffen server geen nieuwe verzoeken meer verwerken, wat de bedrijfsvoering rechtstreeks raakt.

Big data-analyse is uitgegroeid tot een cruciaal hulpmiddel in de verdediging tegen DDoS-aanvallen. In plaats van verkeer handmatig te inspecteren, analyseren moderne systemen in realtime patronen uit miljoenen datapunten om afwijkend gedrag in het netwerk op te sporen.

De voordelen van big data in cyberbeveiliging zijn onder meer:

• Realtime monitoring van miljoenen IP-adressen.
• Geautomatiseerde analyse van afwijkend verkeer op basis van geolocatie, poorten en protocollen.
• Machine learning-algoritmen die verdachte IP-adressen herkennen en nieuwe aanvalspatronen blokkeren.

Met moderne systemen kun je ook geoblocking toepassen wanneer er afwijkende patronen in bepaalde regio’s worden gezien, of eigen regels opstellen op basis van historisch verkeersgedrag.

Nu DDoS-aanvallen complexer en hardnekkiger zijn dan ooit, zijn verdedigingsstrategieën uitgegroeid tot slimmere, meer geautomatiseerde oplossingen. Reactieve maatregelen volstaan niet meer. Proactieve preventie en realtime aanpassingsvermogen zijn onmisbaar om de continuïteit van diensten te waarborgen.

• Gebruik van DDoS-scrubbingcentra die kwaadaardig verkeer in de cloud filteren voordat het het doelsysteem bereikt. Deze centra detecteren, analyseren en verwijderen ongewenst verkeer met geavanceerde deep-inspectietechnieken, zodat alleen legitieme verbindingen hun bestemming bereiken.
• Hybride oplossingen (on-premise en cloud) die lokale beveiligingsapparatuur combineren met het automatisch omleiden van verdacht verkeer naar scrubbingcentra in de cloud. Deze aanpak verkort de reactietijd en helpt grootschalige aanvallen op te vangen en te beperken.
• Inzet van SDN (Software Defined Networking) en ML (Machine Learning) voor vroege detectie en geautomatiseerde mitigatie. Met deze technologieën creëer je een dynamische, realtime respons die het netwerkgedrag aanpast op basis van waargenomen en aangeleerde verkeerspatronen.

Deze geavanceerde oplossingen vormen een nieuwe standaard in bescherming tegen DDoS-aanvallen, waarbij intelligentie en automatisering samen aanvallen indammen voordat ze het bedrijf echt schade toebrengen.

Naast kwaadaardig verkeer heeft ook het manipuleren van routeringsprotocollen zoals het Border Gateway Protocol (BGP) nieuwe mogelijkheden geopend om DDoS-aanvallen te versterken en de beschikbaarheid van internetdiensten aan te tasten. Onjuiste routering kan net zo effectief zijn als een klassieke volumetrische aanval, maar is veel moeilijker te detecteren.

BGP-hijacking kan enorme hoeveelheden verkeer omleiden of cruciale routes blokkeren en zo een DDoS-aanval versterken. Door onjuiste routeringsinformatie te verspreiden vanaf gekaapte autonome systemen kunnen aanvallers verkeer omleiden naar hun eigen servers of belangrijke diensten verstoren.

Het aantal wereldwijde BGP-incidenten is gedaald (slechts 3 wereldwijde BGP-routelekken en geen enkele BGP-hijack), grotendeels dankzij de uitrol van RPKI (Resource Public Key Infrastructure). Deze technologie controleert of route-aankondigingen legitiem zijn en helpt zo accidentele of kwaadaardige hijacks te voorkomen.

Toch blijven gerichte hijacks actief, vooral in de financiële sector. Een recent voorbeeld is het KlaySwap-incident, waarbij een BGP-aanval werd ingezet om verkeer om te leiden en cryptotegoeden te stelen. Dit laat zien hoe deze techniek heel gericht en met lucratieve doeleinden kan worden gebruikt.

Hoewel de cijfers verbeteren, blijft BGP-hijacking een sluimerende bedreiging, zeker in combinatie met DDoS-aanvallen om traditionele beveiligingsmaatregelen te omzeilen. Het beschermen van de wereldwijde routering is vandaag de dag een vast onderdeel van een robuuste cyberbeveiligingsstrategie.

Belangrijkste aanbevelingen:

• Zet firewalls en WAF’s (Web Application Firewalls) in om kwaadaardig verkeer te filteren.
• Schaf gespecialiseerde DDoS-mitigatiediensten aan (zoals Cloudflare, Akamai of geavanceerde clouddiensten).
• Segmenteer interne netwerken om domino-effecten te voorkomen.
• Monitor verkeer in realtime met AI-gestuurde tools.
• Bouw redundantie in, zodat het uitvallen van één dienst niet het hele systeem raakt.

We raden ook aan om DDoS-scrubbingdiensten te gebruiken. Die filteren kwaadaardig verkeer in realtime voordat het de doelserver bereikt, zodat alleen legitieme verbindingen het netwerk passeren.

DoS- en DDoS-aanvallen zijn geraffineerder, frequenter en schadelijker dan ooit. Ze treffen bedrijven van elke omvang en hun impact is niet alleen financieel, maar ook reputatie- en operationeel van aard. Investeren in proactieve cyberbeveiliging is essentieel om de continuïteit van je bedrijf te waarborgen.