Wat is een DDoS-aanval?

Een DDoS-aanval (Distributed Denial of Service) overspoelt een server, een website of een compleet netwerk met zoveel verzoeken dat legitieme gebruikers er niet meer doorheen komen. De aanval heet gedistribueerd omdat hij niet van één enkele computer komt, maar tegelijk van honderden tot honderdduizenden gekaapte apparaten, het zogenoemde botnet.

Hoe een DDoS-aanval verloopt

Het begint bij het botnet. Aanvallers infecteren computers, routers, camera's of slecht beveiligde servers van anderen met malware en besturen die daarna centraal op afstand. De eigenaren merken daar meestal niets van. Op commando sturen al deze apparaten tegelijk verzoeken naar hetzelfde doel.

Het effect ontstaat op de zwakste plek: ofwel de verbinding zit dicht, ofwel de CPU en het werkgeheugen van het doelsysteem zijn volledig bezet met het beantwoorden van de verzoeken. In beide gevallen is de dienst niet meer bereikbaar voor echte gebruikers. Precies daarom komen firewallregels op de server vaak te laat, want ze worden pas actief als de pakketten allang over de lijn zijn gekomen.

Typische aanvalsvormen

• Volumetrische aanvallen: UDP-floods en vergelijkbare patronen die simpelweg de bandbreedte verzadigen. Gemeten wordt in Gbit/s.
• Protocolaanvallen: SYN-floods en state exhaustion, die de verbindingstabellen van servers, firewalls en load balancers vullen. Gemeten wordt in pakketten per seconde.
• Aanvallen op applicatieniveau (Layer 7): HTTP-floods, dure zoekopdrachten, login-floods. Ze hebben weinig bandbreedte nodig en lijken sterk op echt verkeer.
• Spelspecifieke exploits: Nullping, QuietException of fake handshake-floods tegen gameservers, die het opbouwen van de verbinding misbruiken in plaats van de lijn te vullen.

Wat is een amplification-aanval?

Bij een amplification-aanval (versterkingsaanval) gebruikt de aanvaller openbaar bereikbare diensten van anderen als versterker. Hij stuurt kleine verzoeken naar open DNS-, NTP- of Memcached-servers en vult daarbij het IP-adres van het slachtoffer in als afzender. De antwoorden zijn een veelvoud groter dan de verzoeken en gaan allemaal naar het slachtoffer.

Uit een paar megabit aanvalsverkeer worden op die manier snel honderden gigabit. Voor de aanvaller is dat goedkoop, voor het doelwit verwoestend, en de eigenlijke afzender blijft verborgen.

Waarom werken vervalste IP-adressen zo goed?

Bij IP-spoofing zet de aanvaller een verkeerd afzenderadres in de pakketten. Dat heeft twee effecten. Ten eerste laat de bron zich niet meer eenvoudig blokkeren, omdat elk verzoek van een ander, vrij verzonnen adres lijkt te komen. Ten tweede is spoofing de voorwaarde voor amplification-aanvallen, want anders zouden de antwoorden van de misbruikte diensten nooit bij het slachtoffer terechtkomen.

Tegen gespooft verkeer helpen blokkeerlijsten niet. Nodig is een filtering die het gedrag van het dataverkeer beoordeelt en de vervalste pakketten weggooit voordat ze het doel bereiken.

Waarom wordt juist mijn server aangevallen?

De motieven zijn zelden technisch. In de praktijk zien wij vooral deze patronen:

• Concurrentie: een ander gamingnetwerk, een andere webshop of een andere Discord-server wil uw gebruikers.
• Wraak: een verbannen speler, een ontslagen medewerker of een boze klant.
• Afpersing: een korte aanval als waarschuwing, gekoppeld aan een losgeldeis.
• Vandalisme: boekbare aanvalsdiensten kosten een paar euro, dus de drempel is navenant laag.

Voor de afweer maakt het motief niet uit. Bepalend is dat de bescherming permanent actief is en niet pas geboekt of ingeschakeld hoeft te worden als de aanval al loopt.

Wat helpt er echt tegen DDoS-aanvallen?

Effectieve bescherming zit in het netwerk vóór de server, niet op de server. KernelHost gebruikt daarvoor een permanente bescherming in twee lagen: de globale filtercapaciteit ligt op 17 Tbps en vangt volumetrische aanvallen dicht bij hun bron af. Direct vóór de server in Frankfurt werkt de Arbor-realtimefiltering met 3,2 Tbps, die complexe, protocolspecifieke patronen pakket voor pakket verwijdert.

Belangrijk daarbij: er wordt geen null-routing ingezet. Bij null-routing zou het aangevallen IP-adres volledig uit het netwerk worden gehaald, de server zou offline zijn en de aanvaller had zijn doel bereikt. In plaats daarvan blijft het IP-adres bereikbaar en vallen alleen de schadelijke pakketten weg. De bescherming zit in elk serverpakket inbegrepen, waarbij de standaardtarieven 3,2 Tbps vermelden en de Professional-tarieven 17 Tbps.

Aanvullend blijven monitoring, actuele software, spaarzaam geopende poorten en rate limits in de applicatie zinvol. Een stapsgewijs overzicht daarvan vindt u in het artikel Server tegen DDoS-aanvallen beschermen. Hoe dat er specifiek voor game- en voiceservers uitziet, laat Gameserver-DDoS-bescherming in realtime zien.

Praktijkgevallen: echt afgeweerde aanvallen

De volgende aanvallen troffen klantservers van KernelHost en werden volledig in realtime gefilterd, telkens zonder uitval. De schermafbeeldingen komen uit de live monitoring van de afweer.

TeamSpeak 3-voiceserver, poort 9987 UDP

Complexe aanval met meerdere gelijktijdige aanvalspatronen, ruim 473,4 Gbit/s en ruim 41,5 miljoen pakketten per seconde. In realtime gefilterd, zonder downtime.

ARK-gameserver, poort 7777 UDP

Eenvoudige UDP-flood zonder complexe structuur, maar wel ruim 112,2 Gbit/s en ruim 8,7 miljoen pakketten per seconde. In realtime gefilterd, zonder downtime.

All-port-aanval, poorten 0-65535 TCP/UDP

Ruim 12 verschillende hoofdaanvalspatronen tegen alle poorten tegelijk, in totaal ruim 21,3 Gbit/s en ruim 3,9 miljoen pakketten per seconde. Volledig in realtime gefilterd.

Minecraft en OpenVPN, poorten 25565 TCP en 1194 UDP

Gecombineerde aanval met ruim 16 verschillende hoofdaanvalspatronen, ruim 4 miljoen pakketten per seconde en ruim 8,6 Gbit/s. Beide diensten bleven doorlopend bereikbaar.