DDoS-filtering werkt door binnenkomend internetverkeer in realtime te analyseren en kwaadaardige verzoeken te blokkeren voordat ze jouw netwerk of servers bereiken. Het systeem onderscheidt normaal gebruikersverkeer van aanvalsverkeer op basis van gedragspatronen, verkeersvolume en technische kenmerken. In dit artikel beantwoorden we de meest gestelde vragen over hoe DDoS-filtering precies in zijn werk gaat.
Wat gebeurt er met internetverkeer tijdens een DDoS-aanval?
Tijdens een DDoS-aanval (Distributed Denial of Service) wordt jouw server of netwerk overspoeld met een enorme hoeveelheid nepverzoeken, afkomstig van duizenden of zelfs miljoenen gecompromitteerde apparaten tegelijk. Het doel is simpel: jouw systemen zo zwaar belasten dat ze niet meer reageren op echte gebruikers.
Wat er concreet gebeurt, is het volgende: aanvallers sturen massaal verkeer naar één doelwit. Dat doelwit, of het nu een webserver, een DNS-server of een applicatie is, raakt overbelast. De bandbreedte raakt vol, de verwerkingscapaciteit is uitgeput en legitieme bezoekers kunnen niet meer bij jouw dienst. Voor een bedrijf betekent dit directe omzetderving, reputatieschade en in sommige gevallen ook kwetsbaarheid voor andere aanvallen die in de chaos plaatsvinden.
Het bijzondere aan een DDoS-aanval is dat het verkeer afkomstig is van apparaten die verspreid over de wereld staan, via zogenaamde botnets. Dat maakt het blokkeren van één IP-adres zinloos. Zonder actieve filtering is er geen onderscheid te maken tussen een echte klant en een aanvaller.
Hoe detecteert DDoS-filtering kwaadaardig verkeer?
DDoS-filtering detecteert kwaadaardig verkeer door binnenkomende datapakketten te vergelijken met bekende aanvalspatronen, drempelwaarden en gedragsmodellen. Wanneer het verkeersvolume plotseling stijgt of de kenmerken afwijken van normaal gebruik, slaat het systeem alarm en wordt het verdachte verkeer doorgestuurd voor verdere analyse of geblokkeerd.
Moderne detectiesystemen gebruiken meerdere methoden naast elkaar:
- Volumedrempelwaarden: Als het aantal verzoeken per seconde een bepaalde grens overschrijdt, wordt dit als verdacht gemarkeerd.
- Gedragsanalyse: Het systeem leert hoe normaal verkeer eruitziet voor jouw omgeving en signaleert afwijkingen.
- Handtekeningherkenning: Bekende aanvalspatronen worden herkend op basis van vaste kenmerken in de datapakketten.
- Stateful inspection: Het systeem houdt bij welke verbindingen legitiem zijn opgebouwd en welke niet.
Een belangrijk onderscheid is dat goede filtering niet alleen reageert op volume, maar ook op de kwaliteit van het verkeer. Een aanval met lage intensiteit maar hoge frequentie van specifieke verzoeken, ook wel een applicatielaagaanval genoemd, is veel lastiger te detecteren puur op basis van volume. Daarom combineren moderne systemen meerdere detectiemethoden tegelijk.
Wat is een scrubbing center en hoe werkt het?
Een scrubbing center is een gespecialiseerd datacentrum dat al het inkomende internetverkeer ontvangt, filtert en schoonmaakt voordat het naar het uiteindelijke doelwit wordt doorgestuurd. Het “vuile” verkeer, de aanvalspakketten, wordt tegengehouden, terwijl het legitieme verkeer ongehinderd doorstroomt.
Het proces werkt als volgt: wanneer een DDoS-aanval wordt gedetecteerd, wordt het verkeer omgeleid naar het scrubbing center via BGP-routering of DNS-omleiding. In het scrubbing center analyseren krachtige systemen elk pakket in milliseconden. Aanvalsverkeer wordt gefilterd op basis van IP-reputatie, gedragspatronen en technische kenmerken. Het resterende, schone verkeer wordt vervolgens via een beveiligde tunnel teruggestuurd naar de oorspronkelijke server.
Grote internetproviders en gespecialiseerde beveiligingsbedrijven beheren scrubbing centers op strategische locaties wereldwijd. Hoe dichter een scrubbing center bij de bron van het aanvalsverkeer staat, hoe sneller het kan reageren. Voor bedrijven die gebruikmaken van een cloudgebaseerde DDoS-bescherming, is het scrubbing center de kern van de beschermingslaag.
Welke soorten DDoS-aanvallen kan filtering tegenhouden?
DDoS-filtering kan de meeste bekende aanvalstypen tegenhouden, waaronder volumetrische aanvallen, protocolaanvallen en applicatielaagaanvallen. De effectiviteit hangt af van de kwaliteit en configuratie van het filtersysteem, maar moderne oplossingen dekken een breed spectrum aan aanvalsvectoren.
De drie hoofdcategorieën en hoe filtering daartegen werkt:
- Volumetrische aanvallen (zoals UDP floods en ICMP floods): Dit zijn de meest voorkomende aanvallen waarbij puur volume wordt ingezet om bandbreedte te verzadigen. Scrubbing centers absorberen dit verkeer effectief dankzij hun enorme verwerkingscapaciteit.
- Protocolaanvallen (zoals SYN floods en Ping of Death): Deze aanvallen misbruiken zwakheden in netwerkprotocollen. Stateful inspection en rate limiting houden dit soort aanvallen tegen door onvolledige verbindingen te herkennen en te blokkeren.
- Applicatielaagaanvallen (zoals HTTP floods): Dit zijn de meest geavanceerde aanvallen, waarbij verkeer eruitziet als normaal gebruikersgedrag. Gedragsanalyse, CAPTCHA-uitdagingen en sessievalidatie zijn hier de meest effectieve tegenmaatregelen.
Nieuwere aanvalstechnieken, zoals amplificatieaanvallen via DNS of NTP, worden ook steeds vaker tegengehouden door filtering op basis van IP-reputatielijsten en asymmetrische verkeersanalyse. Geen enkel systeem biedt honderd procent garantie, maar een goed geconfigureerde filteroplossing neutraliseert verreweg de meeste aanvallen voordat ze schade aanrichten.
Wat is het verschil tussen on-premise en cloudgebaseerde DDoS-filtering?
On-premise DDoS-filtering draait op hardware die fysiek bij jouw bedrijf staat en beschermt het netwerk lokaal. Cloudgebaseerde DDoS-filtering filtert verkeer op afstand, bij de provider, voordat het jouw netwerk überhaupt bereikt. Het grootste verschil zit in capaciteit en schaalbaarheid: een cloudoplossing kan vrijwel onbeperkte aanvalsvolumes verwerken, terwijl on-premise hardware een vast maximum heeft.
On-premise DDoS-filtering
Bij on-premise filtering staat de filterhardware in jouw eigen serverruimte of datacenter. Dit biedt lage latentie en volledige controle over de configuratie. Het nadeel is dat de capaciteit beperkt is tot wat de hardware aankan. Bij een zeer grote aanval, waarbij tientallen of honderden gigabits per seconde op je afkomen, raakt ook de filterapparatuur overbelast voordat het verkeer wordt tegengehouden. On-premise filtering is daardoor het meest geschikt als aanvullende laag, niet als enige verdediging.
Cloudgebaseerde DDoS-filtering
Cloudgebaseerde filtering werkt upstream: het verkeer wordt al bij de provider gefilterd, ver vóór jouw eigen netwerk. Omdat grote cloudproviders beschikken over enorme netwerkcapaciteit, kunnen ze ook de zwaarste aanvallen absorberen. Nadelen zijn een lichte toename in latentie en afhankelijkheid van de configuratie en responstijd van de provider. Voor de meeste MKB-bedrijven is een cloudoplossing de meest praktische en kostenefficiënte keuze, omdat er geen dure hardware aangeschaft hoeft te worden.
In de praktijk kiezen grotere organisaties vaak voor een hybride aanpak: on-premise apparatuur voor snelle eerste respons, gecombineerd met cloud-scrubbing voor grootschalige aanvallen.
Wanneer is DDoS-filtering noodzakelijk voor een MKB-bedrijf?
DDoS-filtering is noodzakelijk voor een MKB-bedrijf zodra jouw online diensten bedrijfskritisch zijn. Denk aan een webshop, een klantenportaal, VoIP-telefonie of cloudapplicaties waarvan medewerkers dagelijks afhankelijk zijn. Als een uur uitval direct leidt tot omzetverlies of reputatieschade, is DDoS-bescherming geen luxe maar een basisvereiste.
Veel MKB-ondernemers denken dat DDoS-aanvallen alleen grote bedrijven treffen. Dat klopt niet. Kleinere bedrijven worden juist vaker aangevallen omdat ze minder goed beschermd zijn. Aanvallers gebruiken geautomatiseerde tools die op grote schaal kwetsbare doelwitten zoeken, ongeacht de bedrijfsgrootte.
Signalen dat jouw bedrijf DDoS-filtering serieus moet overwegen:
- Jouw website of applicaties moeten continu bereikbaar zijn voor klanten of medewerkers
- Jouw bedrijf verwerkt betalingen, persoonsgegevens of gevoelige informatie online
- Jij hebt concurrenten of opereert in een sector die vaker doelwit is, zoals financiële dienstverlening, zorg of e-commerce
- Jouw huidige internetprovider biedt geen ingebouwde DDoS-bescherming
- Jij hebt al eerder last gehad van onverklaarbare uitval of trage verbindingen
De kosten van DDoS-filtering hangen af van factoren zoals de gewenste beschermingscapaciteit, de gekozen leverancier, het type dienst (cloud versus on-premise) en de benodigde responstijd bij een aanval. In verhouding tot de potentiële schade van een succesvolle aanval wegen die kosten voor de meeste bedrijven ruimschoots op.
Hoe Kinwell helpt met DDoS-bescherming
Wij begrijpen dat DDoS-aanvallen voor MKB-bedrijven een reëel risico vormen, zeker nu bedrijfsprocessen steeds afhankelijker worden van online bereikbaarheid. Vanuit Kinwell Secure helpen wij organisaties met een gelaagde aanpak voor netwerkbeveiliging, waarbij DDoS-filtering onderdeel is van een bredere beveiligingsstrategie.
Wat wij concreet bieden:
- Analyse van jouw huidige kwetsbaarheden op het gebied van netwerkbeveiliging en online bereikbaarheid
- Advies over de juiste filteroplossing, afgestemd op de schaal en aard van jouw bedrijf
- Implementatie en monitoring van beveiligingsmaatregelen, inclusief DDoS-bescherming
- Integratie met bestaande IT-omgevingen, zodat beveiliging geen extra complexiteit toevoegt
- Doorlopende ondersteuning van een team dat de Nederlandse MKB-markt goed kent
Wil je weten hoe jouw bedrijf beter beschermd kan worden tegen een DDoS-aanval en andere cyberdreigingen? Neem contact met ons op en we kijken samen naar de beste aanpak voor jouw situatie.
Vrijblijvend advies
Veelgestelde vragen
Hoe lang duurt het voordat DDoS-filtering actief is na implementatie?
De activatietijd hangt af van de gekozen oplossing. Een cloudgebaseerde DDoS-filteroplossing is doorgaans binnen enkele uren tot een dag operationeel, omdat het voornamelijk om DNS- of BGP-configuratie gaat. On-premise hardware vereist fysieke installatie en configuratie, wat meerdere dagen in beslag kan nemen. Het is verstandig om filtering te implementeren vóórdat een aanval plaatsvindt, zodat het systeem jouw normale verkeerspatroon al heeft geleerd en sneller afwijkingen herkent.
Kan DDoS-filtering ook legitiem verkeer per ongeluk blokkeren?
Ja, dit wordt ook wel een ‘false positive’ genoemd en is een bekend risico bij DDoS-filtering. Het kan voorkomen bij plotselinge, legitieme verkeerspieken, zoals tijdens een marketingcampagne of een virale post op sociale media. Goed geconfigureerde systemen minimaliseren dit risico door gebruik te maken van whitelists, gedragsmodellen die zijn afgestemd op jouw specifieke omgeving, en geleidelijke drempelwaarden in plaats van harde blokkeringen. Regelmatige finetuning van de filterregels door een beheerder of provider verkleint de kans op onterechte blokkades aanzienlijk.
Wat moet ik doen als mijn bedrijf op dit moment onder een DDoS-aanval staat?
Neem direct contact op met jouw internetprovider of beveiligingsleverancier, want zij kunnen verkeer omleiden naar een scrubbing center. Informeer ook jouw interne IT-afdeling of externe IT-partner zodat zij de impact kunnen monitoren en beperken. Documenteer ondertussen de aanval zo goed mogelijk, inclusief tijdstip, duur en zichtbare effecten, want dit is waardevol voor analyse achteraf. Als je nog geen DDoS-bescherming hebt, is een acute aanval helaas moeilijk snel op te lossen, wat nogmaals benadrukt waarom proactieve filtering essentieel is.
Biedt mijn huidige webhosting of internetprovider al DDoS-bescherming?
Sommige hosting- en internetproviders bieden een basisniveau van DDoS-bescherming, maar de capaciteit en kwaliteit hiervan verschilt sterk. Basisbeveiliging is vaak voldoende voor kleine aanvallen, maar schiet tekort bij gerichte of grootschalige aanvallen. Vraag jouw provider expliciet naar de maximale aanvalscapaciteit die zij kunnen absorberen, de responstijd bij een aanval en of er actieve monitoring plaatsvindt. Als deze informatie niet duidelijk is of de capaciteit beperkt is, is een aanvullende gespecialiseerde DDoS-filteroplossing sterk aan te raden.
Heeft DDoS-filtering invloed op de laadsnelheid van mijn website?
Bij cloudgebaseerde filtering wordt verkeer omgeleid via een scrubbing center, wat een kleine toename in latentie kan veroorzaken, doorgaans slechts enkele milliseconden. In de praktijk merken bezoekers hier niets van. Providers met scrubbing centers op strategische locaties wereldwijd, dicht bij de eindgebruiker, minimaliseren deze vertraging verder. On-premise filtering heeft vrijwel geen invloed op latentie. De impact op laadsnelheid is in verhouding verwaarloosbaar ten opzichte van de bescherming die filtering biedt.
Wat is het verschil tussen DDoS-filtering en een gewone firewall?
Een traditionele firewall filtert verkeer op basis van vooraf ingestelde regels, zoals het blokkeren van bepaalde poorten of IP-adressen, maar is niet ontworpen om massale aanvalsvolumes te verwerken. DDoS-filtering is specifiek gebouwd om grote hoeveelheden aanvalsverkeer in realtime te analyseren en te absorberen, vaak op een schaal van honderden gigabits per seconde. Beide oplossingen vullen elkaar aan: een firewall beschermt tegen ongeautoriseerde toegang, terwijl DDoS-filtering beschermt tegen overweldiging van jouw infrastructuur. Voor een solide beveiliging heb je beide nodig.
Hoe weet ik of mijn bedrijf al eerder doelwit is geweest van een DDoS-aanval?
Veel DDoS-aanvallen worden niet herkend als zodanig, omdat de symptomen, zoals trage verbindingen, onbereikbare websites of overbelaste servers, ook andere oorzaken kunnen hebben. Controleer de logs van jouw router, firewall of hostingprovider op onverklaarbare verkeerspieken op specifieke tijdstippen. Als jij regelmatig last hebt van onverwachte uitval zonder duidelijke technische oorzaak, is het verstandig om een netwerkanalyse te laten uitvoeren. Een beveiligingsspecialist kan aan de hand van verkeersdata bepalen of er sprake is geweest van aanvalspogingen.
