DOS-aanvallen uitgelegd: Wat ze zijn en hoe ze te voorkomen

De denial-of-service (DoS)-aanval is een beproefde strategie van cybercriminelen. Het eerste gedocumenteerde geval dateert van begin 2000, toen een 15-jarige Canadese hacker verschillende grote e-commercesites platlegde, waaronder Amazon en eBay.[1] We zijn nu twee decennia verder en een DoS-aanval kan nog steeds gevaarlijk effectief zijn. Sterker nog, deze aanvallen zijn groter en gedurfder geworden. Maar met de juiste tactieken om DoS-aanvallen te voorkomen, kunnen organisaties de verstoring die ze kunnen veroorzaken, voorkomen of beperken.

Wat is een Denial-of-Service (DoS) aanval?

Een denial-of-service-aanval is bedoeld om machines of netwerken te vertragen of plat te leggen, zodat ze onbereikbaar worden voor de mensen die ze nodig hebben. Informatiesystemen, apparaten of andere bronnen op het netwerk of de machine - e-mail, online accounts, e-commercesites en andere diensten - worden onbruikbaar in een DoS-toestand. Hoewel directe diefstal of gegevensverlies niet per se het doel van een DoS-aanval hoeft te zijn, kan een DoS-aanval een ernstige financiële impact hebben op de organisatie die het doelwit is, omdat deze tijd en geld kwijt is aan het herstellen van de situatie. Verlies van omzet, gefrustreerde klanten en reputatieschade zijn bijkomende kosten.

DoS-aanvallen zijn de afgelopen maanden toegenomen. In het eerste kwartaal van 2021 vonden ongeveer 3 miljoen DoS-aanvallen plaats - bijna een derde meer dan in dezelfde periode van het voorgaande jaar - en in januari werd het grootste aantal DoS-aanvallen ooit geregistreerd, met 972.000 aanvallen.[2] Tijdens de pandemie nam het aantal DoS-aanvallen toe omdat slechte actoren misbruik probeerden te maken van kwetsbaarder organisaties die op nieuwe manieren opereerden.

Hoe een DoS aanval werkt

Denial-of-service-aanvallen richten zich meestal op webservers van high-profile organisaties, zoals banken, e-commerce- en mediabedrijven, en overheidsinstanties. Daders gaan op twee manieren achter de bedrijfsmiddelen van organisaties aan: ofwel door hun netwerken te overstelpen met grote hoeveelheden verkeer, ofwel door snode gegevens te verzenden, zoals bugs die een crash veroorzaken. Ongeacht de methode is het beoogde resultaat hetzelfde: het netwerk of de machine platleggen. Andere netwerken of bedrijfsmiddelen die niet het doelwit van de DoS-aanvallers zijn, kunnen ook worden getroffen als het DoS-slachtoffer bijvoorbeeld een internet- of cloudserviceprovider voor anderen is.

Een potentieel gevaarlijker vorm van een DoS-aanval staat bekend als een gedistribueerde denial-of-service-aanval (DDoS). Bij een dergelijke aanval - die in tegenstelling tot een gewone DoS-aanval door meerdere systemen wordt uitgevoerd - kan elke op het internet gerichte dienst worden getroffen of volledig buiten werking worden gesteld. DDoS-aanvallen kunnen ook worden gebruikt om organisaties af te leiden van andere criminele activiteiten, zoals gegevensdiefstal of netwerkinfiltratie.

De grootste DDoS-aanval in de geschiedenis vond plaats in februari 2020, toen Amazon Web Services naar eigen zeggen een driedaagse DDoS-aanval afsloeg met een piekvolume van 2,3 terabytes per seconde.[3]

Soorten DoS-aanvallen

Er zijn verschillende overkoepelende soorten denial-of-service-aanvallen:

• Volumegebaseerde aanvallen: Hierbij wordt gebruik gemaakt van grote hoeveelheden nepverkeer om een onlinebron, zoals een server of website, te overweldigen. Het volume van de aanval wordt gemeten in bits per seconde.
• Protocol- of netwerklaagaanvallen: Hierbij worden grote aantallen pakketten naar de netwerkinfrastructuur en infrastructuurbeheersinstrumenten gestuurd. De omvang wordt gemeten in pakketten per seconde (PPS) en omvat DDoS-aanvallen met Smurfen (aanvallen op de netwerklaag die bedoeld zijn om een doelserver te overspoelen met foutberichten) en SYN-floods (die netwerken platleggen met halfgeopende verbindingsverzoeken).
• Aanvallen op de applicatielaag: Deze zijn vergelijkbaar met volumeaanvallen, maar worden uitgevoerd door toepassingen te overspoelen met kwaadaardige verzoeken. De omvang wordt gemeten in requests per second (RPS).

Preventie en bescherming van DoS-aanvallen

Het Cybersecurity and Infrastructure Security Agency (CISA), een onderdeel van het Amerikaanse ministerie van Binnenlandse Veiligheid, merkt op dat "de symptomen van een DoS-aanval kunnen lijken op niet-malicitaire beschikbaarheidsproblemen, zoals technische problemen met een bepaald netwerk of een systeembeheerder die onderhoud uitvoert." [4] CISA voegt daar echter aan toe: "Ongewoon trage netwerkprestaties en onbeschikbaarheid van een bepaalde website kunnen sterke tekenen zijn van een DoS-aanval."

Organisaties kunnen de volgende maatregelen nemen om denial-of-service-aanvallen te beschermen en te voorkomen:

• Bewaken en analyseren van netwerkverkeer: Netwerkverkeer kan worden bewaakt via een firewall of een intrusion detection system. Beheerders kunnen regels instellen die waarschuwen voor ongebruikelijk verkeer, verkeersbronnen identificeren of netwerkpakketten laten vallen die aan een bepaald criterium voldoen.
• Hun beveiliging versterken: Dit omvat het versterken van alle internetapparatuur om compromittering te voorkomen, het installeren en onderhouden van antivirussoftware, het instellen van firewalls die zijn geconfigureerd om bescherming te bieden tegen DoS-aanvallen en het volgen van robuuste beveiligingspraktijken om ongewenst verkeer te monitoren en te beheren.
• Monitor verkeer: Organisaties kunnen zich inschrijven voor een dienst die de abnormale verkeersstromen die typisch zijn voor een DoS-aanval detecteert of omleidt, terwijl het normale verkeer op het netwerk gewoon doorgang kan vinden.
• Stel een plan op voor de reactie op een DoS-aanval: Het komt erop aan een rampherstelplan voor een DoS-aanval op te stellen en uit te voeren dat communicatie, schadebeperking en herstel omvat.

De kern van de zaak

Nu DoS- en DDoS-dreigingen blijven toenemen, kan elke organisatie het doelwit worden. De gevolgen kunnen verder reiken dan kortstondige uitval van servers en resulteren in financiële verliezen, boze klanten en partners en schade aan het merk. Organisaties die de juiste beschermingspreventiemaatregelen nemen, kunnen de totale kosten van gerichte en volledige aanvallen beperken.

[1] "Denial of service attack," Britannica

[2] "The Beat Goes On," NetScout

[3] "De beroemdste DDoS-aanvallen in de geschiedenis," The Next Web

[4] "Understanding Denial-of-Service Attacks," Cybersecurity- en Infrastructuurbeveiligingsagentschap