Een DDoS-aanval is een van de meest voorkomende redenen waarom een website zonder waarschuwing offline gaat. Elke server heeft een grens aan hoeveel verzoeken hij tegelijk aankan. Een DDoS-aanval overspoelt die grens met een enorm aantal verzoeken van duizenden verschillende apparaten tegelijk, tot de server geen capaciteit meer heeft en echte bezoekers er niet meer doorheen komen.
Anders dan de meeste andere aanvallen via het web probeert een DDoS-aanval niet in te breken op een website of er iets van te stelen. Het probeert de site omver te duwen. Als je begrijpt hoe dat werkt, snap je ook waarom bescherming ertegen er heel anders uitziet dan andere beveiligingsmaatregelen.
DDoS staat voor Distributed Denial of Service. "Denial of Service" betekent dat het doel is de site onbruikbaar te maken. "Distributed" betekent dat de aanval van duizenden plekken tegelijk komt en niet van één bron. Die spreiding maakt het moeilijk te stoppen. Je kunt niet één IP-adres blokkeren en er is een einde aan. Het volledige beeld van welke bedreigingen websites tegenkomen en waarom bescherming voor elke site telt, lees je in het artikel over waarom websitebeveiliging belangrijk is.
Hoe een DDoS-aanval werkt
De aanvaller stuurt al dat verkeer niet zelf. Hij gebruikt een groot netwerk van apparaten die ongemerkt door schadelijke software zijn overgenomen: thuiscomputers, routers, camera's en al het andere dat met internet is verbonden. De eigenaren van die apparaten hebben meestal geen idee dat er iets gebeurt.
Hoe de aanval verloopt
- De aanvaller geeft al deze apparaten de opdracht om tegelijk verzoeken naar de doelsite te sturen
- Doordat de verzoeken van duizenden verschillende locaties komen, ziet de server een enorme piek in wat op echt verkeer lijkt
- De server probeert de belasting aan te kunnen en heeft geen capaciteit meer voordat hij kan bijbenen
- De verzoeken van echte bezoekers raken verloren in de vloed en krijgen nooit antwoord
- De site lijkt offline zolang de aanval duurt
Waarom het moeilijk te stoppen is
Het gedistribueerde deel van een DDoS-aanval maakt het anders dan een simpele overspoeling vanuit één bron. Als één apparaat al het verkeer stuurde, zou het blokkeren van dat apparaat de aanval beëindigen. Zijn er duizenden apparaten, die elk een klein beetje verkeer sturen, dan maakt het blokkeren van één ervan nauwelijks verschil. Het totale volume veroorzaakt het probleem, en om het te stoppen moet je filteren op een niveau boven de afzonderlijke site.
Wat een DDoS-aanval met een website doet
De site gaat offline
Als de server overbelast raakt, stopt hij met reageren. Iedereen die een pagina probeert te laden, krijgt een foutmelding of een time-out. De site is niet kapot en er is niets verwijderd. Hij kan alleen geen verzoeken beantwoorden omdat hij een onmogelijk volume nepverzoeken verwerkt.
Voor de site-eigenaar zie je dat terug in meldingen die overal in bewakingstools afgaan, berichten van klanten die binnenkomen en een dashboard dat niet bereikbaar is omdat de server op niets reageert.
Echte bezoekers komen er niet doorheen
De server kan het verschil niet zien tussen een echte bezoeker en een van de aanvalsverzoeken. Hij probeert ze allemaal te verwerken en verwerkt uiteindelijk geen enkele goed. Iemand die echt een pagina wil lezen, een bestelling wil plaatsen of contact wil opnemen, wordt net zo volledig geblokkeerd als de vloed aan nepverzoeken. De site is voor iedereen onbereikbaar tot de aanval stopt of wordt gefilterd.
Hoe lang aanvallen duren
Sommige aanvallen zijn binnen enkele minuten voorbij. Andere duren uren, en in ernstiger gevallen dagen. De aanvaller bepaalt wanneer het stopt. Hoe langer het duurt, hoe meer het de site-eigenaar kost aan gemist verkeer, gemiste bestellingen en schade aan de prestaties in zoekmachines door langdurige uitval.
Waarom websites het doelwit van DDoS-aanvallen worden
Gerichte aanvallen
Sommige DDoS-aanvallen zijn op een specifieke site gericht. Een concurrent die een rivaal tijdens een drukke periode offline wil halen. Iemand met een grief tegen een bedrijf of een bekend persoon. Een gecoördineerde actie tegen een prominente organisatie. Deze aanvallen zijn bewust en gekozen.
Willekeurige geautomatiseerde aanvallen
Een groot deel van de DDoS-aanvallen heeft niets te maken met de specifieke site die wordt geraakt. Geautomatiseerde tools testen sites en vallen aan wat overbelast kan worden. De site hoeft geen gekozen doelwit te zijn. Hij moet alleen vindbaar zijn en op een server draaien die de belasting die de tool veroorzaakt niet kan opvangen.
Eisen van losgeld
In sommige gevallen nemen aanvallers contact op met een bedrijf voordat ze een aanval beginnen en eisen ze betaling om zich in te houden. Komt er geen betaling, dan begint de aanval. Dit soort aanval, soms ransom-DDoS genoemd, is een echte bedreiging voor webwinkels en online diensten waar uitval duidelijke en directe financiële kosten heeft.
Hoe websites worden beschermd tegen DDoS-aanvallen
Verkeer filteren op netwerkniveau
De effectiefste DDoS-bescherming werkt op netwerkniveau, voordat het aanvalsverkeer de server van de afzonderlijke site bereikt. Hostingproviders en content delivery networks letten op ongewone verkeerspatronen, zien wanneer een site wordt aangevallen en beginnen de binnenkomende vloed te filteren voordat de server eronder bezwijkt.
Dit werkt omdat het boven de afzonderlijke site plaatsvindt. Een server die overbelast zou raken als hij al dat verkeer direct moest verwerken, krijgt in plaats daarvan het volume op netwerkniveau onderschept en weggegooid voordat het aankomt.
Begrenzen van het aantal verzoeken (rate limiting)
Rate limiting stelt een plafond aan hoeveel verzoeken één bron in een kort tijdsbestek mag sturen. Een echte bezoeker die een pagina laadt, stuurt een klein aantal verzoeken. Een aanvalstool kan er duizenden per seconde vanaf dezelfde bron sturen. Rate limiting herkent bronnen die zich gedragen op een manier waarop geen echte bezoeker dat ooit zou doen, en vertraagt of blokkeert ze.
Rate limiting is op zichzelf geen complete verdediging tegen grote gedistribueerde aanvallen, omdat die verzoeken over zoveel bronnen verspreiden dat geen enkele de limiet haalt. Maar het vermindert de belasting van grotere aanvallen en handelt kleinschalige overspoelingspogingen helemaal af.
Verkeer verdelen over servers
Content delivery networks verspreiden de inhoud van een site over veel servers op verschillende locaties. Wordt een site aangevallen, dan wordt het verkeer over al die servers verdeeld in plaats van op één te landen. Een aanvalsvolume dat één server zou platleggen, moet groot genoeg zijn om er veel tegelijk te overbelasten om hetzelfde effect te hebben.
Een webapplicatiefirewall naast een CDN voegt nog een laag toe en filtert schadelijke verzoeken voordat ze de servers bereiken. Meer over hoe dat werkt, lees je in het artikel over wat een webapplicatiefirewall is en hoe het je site beschermt.
Wat je moet doen tijdens een DDoS-aanval
- Neem direct contact op met je hostingprovider. Die heeft tools op netwerkniveau waarmee aanvalsverkeer veel sneller kan worden opgespoord en gefilterd dan met alles wat je vanuit het dashboard van de site kunt doen
- Noteer wanneer de aanval begon en wat je ziet. Dat helpt het hostingteam te begrijpen waarmee ze te maken hebben en waar het verkeer vandaan komt
- Voer geen grote wijzigingen in de siteconfiguratie door terwijl de aanval bezig is. Wacht tot de situatie stabiel is voordat je iets aanpast
- Controleer of de back-ups van de site intact zijn. Een DDoS-aanval wijzigt of verwijdert geen inhoud, maar het is handig om te weten dat de back-ups veilig zijn
Hoe je back-ups instelt zodat ze klaarstaan als je ze nodig hebt, lees je in het artikel over hoe je een back-up van je website maakt. De volledige gids over je site beschermen tegen alle gangbare soorten aanvallen vind je in het artikel over hoe je je website beschermt tegen hackers.
Hoe WEMASY DDoS-bescherming regelt
De hosting van WEMASY bevat DDoS-bescherming en verkeersfiltering op netwerkniveau. Aanvallen worden opgespoord en gefilterd voordat ze individuele sites op het platform bereiken. Deze bescherming zit in elk abonnement en vraagt geen installatie of configuratie van site-eigenaren.
Sites op WEMASY hoeven geen aparte DDoS-beschermingsdiensten te kopen. De filtering op netwerkniveau handelt de verkeersvloeden met hoog volume af die een site op onbeschermde hosting offline zouden halen, en is standaard actief voor elke site op het platform.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.
Veelgestelde vragen
Wat is een DDoS-aanval?
Een DDoS-aanval, kort voor Distributed Denial of Service, is een aanval die de server van een website met zoveel verzoeken tegelijk overspoelt dat hij geen capaciteit meer heeft en niet meer reageert op echte bezoekers. De verzoeken komen tegelijk van duizenden verschillende apparaten, waardoor ze bij de bron moeilijk te blokkeren zijn. De site gaat offline of wordt erg traag zolang de aanval duurt. Anders dan hacken probeert een DDoS-aanval niet in de site te komen of er iets van te stelen. Het doel is simpelweg de site plat te leggen. Met de Websitebouwer van WEMASY stel je dit direct op je eigen website in.
Wat is het verschil tussen een DDoS-aanval en hacken?
Bij hacken zoekt iemand een manier om langs de beveiliging van een site te komen om er iets in te bekijken, te wijzigen of te stelen. Een DDoS-aanval doet dat allemaal niet. Het overspoelt de server met verkeer tot de site op niemand meer kan reageren. De inhoud, bestanden en gegevens van de site worden niet aangeraakt. Echte bezoekers kunnen de site alleen niet bereiken zolang de aanval loopt. Beide zijn bedreigingen, maar ze werken totaal anders en vragen om een ander soort bescherming.
Kan een kleine website het doelwit van een DDoS-aanval worden?
Ja. Een groot deel van de DDoS-aanvallen is geautomatiseerd en kiest zijn doelwitten niet specifiek. Tools zoeken sites die kunnen worden overbelast en raken alles wat ze vinden. Een kleine site met beperkte servercapaciteit kan zelfs makkelijker offline worden gehaald dan een grote site met meer middelen om verkeer op te vangen. Grootte biedt geen bescherming. Wat telt, zijn de verdedigingen op hosting- en netwerkniveau.
Hoe lang duurt een DDoS-aanval?
Dat hangt van de aanvaller af. Sommige aanvallen duren een paar minuten. Andere uren of zelfs dagen. De aanval gaat door zolang de aanvaller dat wil. Met bescherming op netwerkniveau kan aanvalsverkeer worden gefilterd voordat het de site bereikt, wat betekent dat de site online blijft terwijl de aanval loopt. Zonder die bescherming is de site de hele duur offline.
Wat moet ik doen als mijn site wordt getroffen door een DDoS-aanval?
Neem direct contact op met je hostingprovider. Die heeft tools op netwerkniveau waarmee aanvalsverkeer veel sneller kan worden opgespoord en gefilterd dan met alles wat je vanuit het dashboard van de site kunt. Noteer wanneer de aanval begon en wat je ziet. Voer geen grote configuratiewijzigingen door zolang de aanval actief is. Is de situatie stabiel, kijk dan of je hostingabonnement DDoS-bescherming bevat en of aanvullende maatregelen de moeite waard zijn.
Zit DDoS-bescherming bij mijn hosting?
Dat hangt af van de provider en het abonnement. Sommige hostingproviders leveren DDoS-bescherming op netwerkniveau standaard mee in alle abonnementen. Andere bieden het aan als add-on of alleen in hogere pakketten. Kijk in de documentatie van je hosting of neem contact op met je provider om te bevestigen wat is inbegrepen. Content delivery networks bieden ook DDoS-bescherming van nature, omdat verkeer dat over veel servers wordt verdeeld de impact van een aanval op één locatie verkleint.