DDoS-bescherming begrijpen: wat het écht doet

Wat een DDoS-aanval eigenlijk is

Een distributed denial-of-service (DDoS)-aanval probeert een dienst onbereikbaar te maken door hem te overspoelen, meestal met verkeer dat vanuit veel bronnen tegelijk wordt verstuurd in plaats van vanuit één bron. Dat is het "distributed"-deel: het verkeer komt niet van één machine die je simpelweg kunt blokkeren, het komt van grote aantallen hosts, vaak onderdeel van een botnet, allemaal gericht op hetzelfde doelwit. Aanvallen vallen doorgaans in drie brede categorieën, en een echte aanval combineert er vaak meerdere:

• Volumetrische floods. Conceptueel de eenvoudigste soort: pure hoeveelheid verkeer gericht op de netwerkverbinding van een doelwit, met als doel alle beschikbare bandbreedte te verbruiken zodat legitiem verkeer er niet meer doorheen komt. UDP-floods en amplification-aanvallen (waarbij een klein verzoek een externe server verleidt om een veel groter antwoord naar het slachtoffer te sturen) zijn veelvoorkomende voorbeelden.
• Protocolaanvallen. Deze richten zich op zwakke plekken in hoe netwerkprotocollen verbindingen afhandelen, in plaats van op de ruwe bandbreedte. Een SYN-flood bijvoorbeeld opent enorme aantallen TCP-verbindingen en maakt ze nooit af, waardoor de resources voor verbindingstracking van een firewall of server uitgeput raken in plaats van de bandbreedte.
• Applicatielaagaanvallen. De meest gerichte soort: verkeer dat eruitziet als normale, geldige verzoeken (bijvoorbeeld HTTP-verzoeken naar een website), maar dat wordt verstuurd in een volume of patroon dat is bedoeld om de applicatie zelf, de database of de backend uit te putten, in plaats van het onderliggende netwerk. Omdat het verkeer er op netwerkniveau legitiem uitziet, is deze categorie doorgaans het lastigst te onderscheiden van echte gebruikers.

Always-on mitigatie versus on-demand mitigatie

Het verschil dat in de praktijk het meest telt, is wanneer de mitigatie daadwerkelijk ingrijpt:

• Always-on mitigatie betekent dat verkeer continu wordt geanalyseerd zodra het binnenkomt, dat aanvalsverkeer eruit wordt gefilterd en dat schoon verkeer wordt doorgelaten, de hele tijd, ongeacht of er op dat moment een aanval plaatsvindt. Er is geen moment waarop een aanval ongehinderd doorgaat terwijl een systeem beslist of het moet reageren.
• On-demand mitigatie wordt pas geactiveerd zodra een aanval is gedetecteerd en het verkeer wordt omgeleid naar scrubbing-infrastructuur. Die stap van detecteren en omleiden kost tijd, en gedurende die tijd staat het doelwit bloot aan in elk geval een deel van de aanval.

Always-on bescherming elimineert dat detectiegat door ontwerp, en dat is precies waarom het de standaardaanpak is voor alles wat geen downtime kan hebben bij het begin van een aanval.

Waarom detectiesnelheid én het aantal fout-positieven beide belangrijk zijn

Een mitigatiesysteem wordt op twee dingen beoordeeld, niet op één. Detectiesnelheid is de voor de hand liggende: hoe sneller aanvalsverkeer wordt geïdentificeerd en gefilterd, hoe korter de periode van impact. Maar het percentage fout-positieven telt net zo zwaar mee, en dat wordt makkelijk over het hoofd gezien. Een systeem dat te agressief is ingesteld, gaat legitiem verkeer blokkeren of afremmen dat alleen maar ongebruikelijk oogt, waardoor echte gebruikers en echte verzoeken in hetzelfde net verstrikt raken als de aanval. Het blokkeren van legitiem verkeer is ook een faalmodus, geen veilige standaardinstelling, want het praktische effect voor iedereen die erdoor wordt getroffen ziet er hetzelfde uit als de uitval die de bescherming juist moest voorkomen. Goed afgestelde mitigatie moet beide doelen tegelijk waarmaken: snel reageren, en voorkomen dat echt verkeer wordt aangezien voor een aanval.

Wat de DDoS-bescherming van Worldstream precies dekt

Alle Worldstream-servers hebben standaard 20 Gbit/s aan anti-DDoS-bescherming, op te schalen tot een mitigatiecapaciteit van 1 Tbit/s+. De mitigatie draait op Nokia Deepfield Defender, rechtstreeks geïntegreerd met de netwerkapparatuur, zodat verdacht verkeer al op netwerkniveau wordt geanalyseerd en gefilterd voordat het je server bereikt, niet erna. Dat is always-on bescherming in de hierboven beschreven zin: ze staat continu paraat, en wordt niet pas ingeschakeld zodra een aanval al bezig is. Filtering wordt afgestemd op je eigen risicoprofiel en verkeerspatroon, in plaats van op één vaste drempel voor iedereen, en je kunt achteraf een mitigatierapport aanvragen met de details van een specifieke aanval.