Wat moet je doen tijdens een DDoS-aanval?

Tijdens een DDoS-aanval is het belangrijkste dat je direct doet: je internetprovider of beveiligingsleverancier inschakelen en je systemen monitoren terwijl je het verkeer probeert te filteren of te beperken. Hoe snel je handelt, bepaalt in grote mate hoeveel schade de aanval aanricht. In dit artikel beantwoorden we de meest gestelde vragen over DDoS-aanvallen, van herkenning tot herstel en preventie.

Hoe herken je dat je onder een DDoS-aanval valt?

Je herkent een DDoS-aanval aan een plotselinge, extreme vertraging of onbereikbaarheid van je website, applicatie of netwerk zonder duidelijke technische reden. Het onderscheid met een gewone storing zit in de omvang en het patroon: het gaat om een onnatuurlijk grote hoeveelheid verkeer die gericht op jouw systemen binnenkomt.

Concrete signalen die wijzen op een DDoS-aanval zijn onder andere:

• Je website laadt extreem traag of is volledig onbereikbaar voor gebruikers
• Je ontvangt een ongewoon hoog aantal verzoeken vanuit meerdere IP-adressen tegelijk
• Je netwerk loopt vast terwijl er geen grote interne activiteit is
• Medewerkers kunnen niet meer bij bedrijfssystemen of cloudapplicaties
• Je routerlogboeken tonen een explosie aan inkomend verkeer

Het lastige is dat een DDoS-aanval in eerste instantie kan lijken op een technische storing of een plotselinge piek in legitiem bezoek. Kijk daarom altijd naar de bron van het verkeer. Als het afkomstig is van honderden of duizenden verschillende IP-adressen in korte tijd, is een DDoS-aanval een reële mogelijkheid. Monitoringtools en je firewall-dashboard geven je hier snel inzicht in.

Welke stappen moet je direct zetten tijdens een DDoS-aanval?

Zodra je vermoedt dat je te maken hebt met een DDoS-aanval, moet je snel en gestructureerd handelen. De eerste stap is het bevestigen van de aanval via je netwerk- en serverlogboeken, gevolgd door het inschakelen van hulp en het beperken van de schade.

Doorloop de volgende stappen zo snel mogelijk:

1. Bevestig de aanval: Controleer je logboeken en monitoringtools om te bevestigen dat het inderdaad om abnormaal verkeer gaat en niet om een technische storing.
2. Informeer je team: Zorg dat de juiste mensen binnen je organisatie direct op de hoogte zijn, zoals je IT-verantwoordelijke of systeembeheerder.
3. Neem contact op met je internetprovider: Je provider kan verkeer analyseren, filteren of omleiden via zogenoemde scrubbing-diensten.
4. Activeer je DDoS-mitigatieoplossing: Als je een beveiligingsdienst of -appliance hebt, schakel die dan direct in.
5. Blokkeer verdachte IP-adressen: Als het verkeer uit specifieke regio’s of IP-ranges komt, kun je die tijdelijk blokkeren via je firewall.
6. Schakel niet-kritieke systemen af: Verklein het aanvalsoppervlak door systemen die niet noodzakelijk zijn tijdelijk offline te halen.
7. Documenteer alles: Houd bij wanneer de aanval begon, welk verkeer je ziet en welke maatregelen je neemt. Dit is later nodig voor analyse en eventuele aangifte.

Probeer tijdens de aanval rustig en methodisch te werken. Paniekbeslissingen, zoals het volledig afsluiten van alle systemen zonder plan, kunnen de schade vergroten in plaats van beperken.

Wat doet je internetprovider voor je tijdens een aanval?

Je internetprovider speelt een cruciale rol tijdens een DDoS-aanval. De meeste zakelijke providers hebben de mogelijkheid om kwaadaardig verkeer te filteren voordat het jouw netwerk bereikt, via technieken zoals traffic scrubbing, blackholing of rate limiting.

Wat je van je provider kunt verwachten, hangt af van je abonnement en de afspraken die je hebt gemaakt:

• Traffic scrubbing: Het aanvalsverkeer wordt omgeleid naar een speciaal filtercentrum. Daar wordt het schadelijke verkeer eruit gefilterd en alleen het legitieme verkeer wordt doorgestuurd naar jouw netwerk.
• Blackholing: In extreme gevallen stuurt de provider al het verkeer naar jouw IP-adres weg. Dit stopt de aanval, maar maakt jouw dienst ook onbereikbaar voor echte gebruikers. Het is een noodmaatregel.
• Rate limiting: De provider beperkt de hoeveelheid verkeer die naar jouw netwerk mag, wat de impact van de aanval vermindert.

Neem bij een aanval zo snel mogelijk contact op met de technische support van je provider. Hoe eerder zij kunnen ingrijpen, hoe minder schade de aanval aanricht. Vraag vooraf ook altijd na welke DDoS-beschermingsopties jouw provider aanbiedt, zodat je weet wat je kunt verwachten als het misgaat.

Hoe lang duurt een DDoS-aanval gemiddeld?

De duur van een DDoS-aanval varieert sterk. Veel aanvallen duren enkele minuten tot een paar uur, maar complexere of gerichte aanvallen kunnen dagen aanhouden. Er is geen vaste tijdsduur: aanvallers bepalen zelf hoe lang ze doorgaan, afhankelijk van hun doel en middelen.

Korte aanvallen van enkele minuten worden soms gebruikt als afleiding of om de verdediging te testen. Langere aanvallen zijn vaak gericht op het maximaliseren van schade of het afdwingen van losgeld. Volumetrische aanvallen, waarbij enorm veel dataverkeer wordt gegenereerd, zijn doorgaans korter maar intenser. Applicatielaagaanvallen zijn subtieler en kunnen langer onopgemerkt blijven.

Wat de duur ook is, het is belangrijk om je systemen en logboeken actief te blijven monitoren, ook nadat het lijkt alsof de aanval voorbij is. Aanvallers gebruiken soms een pauze om een tweede golf voor te bereiden.

Wat moet je na een DDoS-aanval als eerste doen?

Direct na een DDoS-aanval is de eerste prioriteit het herstellen van je diensten en het analyseren van wat er is gebeurd. Controleer of alle systemen weer normaal functioneren en of er tijdens de aanval andere beveiligingsincidenten hebben plaatsgevonden, want DDoS-aanvallen worden soms gebruikt als afleiding voor een gelijktijdige inbraakpoging.

Voer de volgende herstelstappen uit:

• Systeemcontrole: Verifieer dat alle servers, applicaties en netwerken weer stabiel en veilig zijn.
• Logboekanalyse: Bekijk de logboeken van de aanval om te begrijpen hoe de aanval verliep, welk verkeer er was en welke systemen zijn geraakt.
• Communiceer met betrokkenen: Informeer medewerkers, klanten of partners die hinder hebben ondervonden van de uitval.
• Evalueer je reactie: Wat ging er goed en wat kon beter? Gebruik de aanval als leerpunt voor je incidentresponsplan.
• Versterk je beveiliging: Implementeer direct de lessen die je hebt geleerd om herhaling te voorkomen.

Hoe voorkom je een volgende DDoS-aanval?

Een DDoS-aanval volledig voorkomen is helaas niet mogelijk, maar je kunt de impact drastisch beperken door de juiste beveiligingsmaatregelen vooraf te treffen. Een goede voorbereiding is de sterkste verdediging.

De meest effectieve preventieve maatregelen zijn:

• DDoS-mitigatiedienst afnemen: Kies een provider of beveiligingsleverancier die actieve DDoS-bescherming biedt, inclusief real-time monitoring en automatische respons.
• Gebruik een Content Delivery Network (CDN): Een CDN verspreidt je verkeer over meerdere servers wereldwijd, waardoor het moeilijker wordt om één punt te overbelasten.
• Beperk je aanvalsoppervlak: Zet alleen de poorten en diensten open die echt nodig zijn, en gebruik firewalls om ongewenst verkeer te blokkeren.
• Stel rate limiting in: Beperk het aantal verzoeken dat één IP-adres in een bepaalde tijd kan doen.
• Maak een incidentresponsplan: Zorg dat iedereen in je organisatie weet wat hij of zij moet doen als er een aanval plaatsvindt.
• Test je systemen regelmatig: Voer stresstests uit om te zien hoe je infrastructuur reageert op piekverkeer.

Preventie begint bij bewustzijn. Bedrijven die weten dat ze een potentieel doelwit zijn, zoals webshops, financiële dienstverleners of organisaties met een publiek profiel, doen er goed aan om DDoS-bescherming als een standaard onderdeel van hun beveiligingsstrategie te beschouwen.

Moet je aangifte doen na een DDoS-aanval?

Ja, het is sterk aan te raden om aangifte te doen na een DDoS-aanval. Een DDoS-aanval is in Nederland strafbaar onder de Wet computercriminaliteit. Door aangifte te doen bij de politie geef je opsporingsdiensten de mogelijkheid om de daders te traceren en draag je bij aan een breder beeld van cybercriminaliteit in Nederland.

Houd bij het doen van aangifte rekening met het volgende:

• Bewaar al je bewijsmateriaal: Logboeken, schermafbeeldingen, tijdstempels en andere documentatie zijn essentieel voor een aangifte.
• Doe aangifte bij de politie: Dit kan online via de website van de politie of op een politiebureau. Bij grote aanvallen kun je ook contact opnemen met het Team High Tech Crime (THTC).
• Meld het bij het Nationaal Cyber Security Centrum (NCSC): Als je een vitale of overheidsgerelateerde organisatie bent, is melding bij het NCSC verplicht of sterk aanbevolen.
• Informeer je verzekeraar: Als je een cyberverzekering hebt, meld de aanval dan ook daar zo snel mogelijk.

Aangifte doen helpt niet alleen bij het opsporen van daders, maar kan ook relevant zijn voor je verzekeringsclaim of voor het aantonen van schade in een juridische procedure.

Hoe Kinwell helpt bij bescherming tegen DDoS-aanvallen

Een DDoS-aanval overkomt je sneller dan je denkt, en de gevolgen voor je bedrijfsvoering kunnen groot zijn. Bij Kinwell begrijpen we dat MKB-organisaties niet altijd de interne expertise of capaciteit hebben om dit soort dreigingen zelfstandig het hoofd te bieden. Daarom bieden wij via Kinwell Secure een compleet pakket aan beveiligingsdiensten dat je organisatie beschermt, ook als het gaat om DDoS-dreigingen.

Wat we voor je kunnen doen:

• Proactieve netwerkmonitoring zodat aanvallen vroeg worden gesignaleerd
• Firewallbeheer en traffic filtering om kwaadaardig verkeer buiten de deur te houden
• Incidentrespons waarbij we direct actie ondernemen als er iets misgaat
• Advies op maat over preventieve maatregelen die passen bij jouw organisatie en sector
• Bewustzijnstraining zodat jouw medewerkers weten hoe ze moeten handelen bij een cyberincident

Wil je weten hoe goed jouw organisatie beschermd is tegen DDoS-aanvallen en andere cyberdreigingen? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee.