DDoS. distributed denial of service-aanval reëel gevaar voor IEdErE organisatie. Een whitepaper van proserve

Transcriptie

1 DDoS distributed denial of service-aanval reëel gevaar voor IEdErE organisatie

2 2 3 Inhoud 1. Inleiding 1. Inleiding 3 2. Wat is een Distributed Denial of Service? 4 3. Hoe bescherm je je tegen een DDoS? 6 4. Anti-DDoS-dienstverlening van proserve 7 5. Voordelen van anti-ddos-service van proserve 8 De afgelopen jaren zijn Distributed Denial of Service-aanvallen (DDoS) regelmatig in het nieuws geweest. Zowel grote, wereldwijd actieve multinationals als nationale onderwijsinstellingen en lokale bedrijven waren het slachtoffer van een stortvloed aan dataverkeer op hun server(s). Het type aanvallen en de gebruikte methoden Nu pc-gebruikers zich beter bewust zijn van zijn in de loop van de jaren regelmatig veranderd. veiligheid zoeken aanvallers naar andere middelen, Ook de motieven veranderden mee. DDoS is zoals servers in datacenters en consumentenrouters. steeds meer een middel van cybercriminelen of Servers in datacenters zijn aantrekkelijk omdat cyberactiegroepen geworden om financiële of ze vaak gigabitsnelheden ondersteunen. Routers politiek-morele druk op bedrijven en organisaties uit zijn een ideaal middel omdat ze nagenoeg in te oefenen. Veel organisaties zijn of worden onder iedere woning of kantoor wel te vinden zijn en er druk gezet om losgeld te betalen of belemmerd in nauwelijks naar omgekeken wordt. De meeste zijn hun werk. Daarnaast is er de ontevreden student of typische consumentenproducten die slechts licht boze werknemer die met relatief simpele middelen beveiligd zijn. een organisatie lam kan leggen. Blackholing Verschuiving Lange tijd was blackholing het enige antwoord Aanvankelijk speelden DDoS-aanvallen zich af op een DDoS-aanval. Hierbij leidt een bedrijf of op de netwerklagen 3 en 4. Omdat deze relatief serviceprovider bij een aanval alle verkeer om naar eenvoudig met netwerkfirewalls te beschermen een zwart gat, zodat het de servers niet bereikt en zijn, zochten aanvallers nieuwe doelen, waaronder kan beschadigen. Nadeel van deze methodiek is dat SSL en de applicatielaag. Daar hebben traditionele alle verkeer dus ook het legale in de omleiding firewalls die geen inzicht hebben in verkeer wordt meegenomen. Er zijn nu nieuwe technologieën geen vat op. Daarnaast is er ook een verschuiving beschikbaar die deze ongewenste situatie oplossen. in de middelen die aanvallers gebruiken. Lange tijd Hierbij wordt IP-verkeer bij een aanval gewassen waren dat zogenaamde zombie-pc s, die ongemerkt en gescheiden. Proserve heeft zijn netwerk geschikt geïnfecteerd werden met malware en op afstand gemaakt voor deze voorziening. In deze whitepaper inzetbaar waren voor aanvallen. beschrijven we deze voorziening en gaan we dieper in op verschillende aspecten van DDoS. Over proserve proserve is onderdeel van de IT-Ernity groep. Met circa honderd werknemers bedient het bedrijf meer dan klanten, beheert het domeinnamen en ruim servers. Vanuit haar vestigingen in Amsterdam, Zwolle, Son en Papendrecht levert zij samen met diverse gerenommeerde partners internetservices in de breedste zin van het woord. Kwaliteit en veiligheid zijn belangrijke pijlers in de dienstverlening, hetgeen zich laat onderschrijven door de ISO 9001 en certificering. Het DNA van de organisatie laat zich het beste vertalen in no-nonsense, business aware, innovatief, pro-actief, professioneel en mensgericht. Bekende klantnamen zijn KPMG, Vakantieveilingen.nl, Bol.com, Wegener en Funda.

3 4 Application 54% 5 2. Wat is een Distributed Denial of Service? SMTP 9% HTTPS 13% HTTP 21% VOIP Een DDoS-aanval is in feite niets meer dan een poging om het netwerk, de (web)server en de applicaties van een organisatie uit te schakelen door ze te overbelasten. Een DDoS-aanval is mogelijk vanaf enkele hosts of in het geval van een botnet vanaf tientallen, duizenden of Bescherm je server! DNS 11% honderdduizenden machines. op dit moment zijn dat nog vooral geïnfecteerde pc s. omdat gebruikers de laatste jaren voorzichtiger zijn met het openen van verdachte s of websites, verleggen cybercriminelen hun aandacht naar andere middelen. Zo zijn servers in datacenters interessant omdat ze snel zijn en veel bandbreedte bieden. dat vergroot de potentiële aanvalskracht. daarnaast blijken ook consumentenrouters een steeds interessanter doelwit. de meeste van deze devices zijn maar heel beperkt beveiligd. Ze werken vaak met protocollen waar in geen jaren naar gekeken is en waar vervolgens heel onverwacht gaten in worden ontdekt. technologieleverancier prolexic constateerde in 2013 een groei van maar liefst 718 procent in de gemiddelde bandbreedte van een aanval naar gemiddeld 48,25 gbps. de onderzoekers van gartner stelden vast dat 25 procent van de ddos-aanvallen in 2013 plaatsvond op de applicatielaag. Het vakblad It World noemde in een publicatie china, de verenigde staten, duitsland en Iran als belangrijkste bronlanden voor aanvallen. Aanvalsvectoren ddos-aanvallen bestaan er in verschillende soorten en er zijn allerlei manieren waarop een aanval kan plaatsvinden de zogenoemde aanvalsvectoren. deze vectoren zijn over het algemeen onder te verdelen in drie brede categorieën: Bescherm je server! SMTP 9% HTTPS 13% HTTP 21% DNS 11% Application 54% VOIP Network 46% TCP Other 6% TCP - SCN Flood 25% UDP 7% ipv6 ICMP 6% De volumetrische aanvallen. deze proberen alle bandbreedte binnen het netwerk of de service of tussen het netwerk en de dienst en de rest van het internet te vullen met data. dat leidt uiteraard tot verstopping en uiteindelijk tot volledige onbereikbaarheid. organisaties hebben in het verleden geprobeerd deze aanvallen op te vangen door te investeren in meer bandbreedte. omdat de aanvallen probleemloos mee konden groeien met die grotere bandbreedte, is meer capaciteit geen optie meer. TCP State-Exhaustion-aanvallen. deze aanvallen proberen de connection state-tabellen in bijvoorbeeld load-balancers, firewalls en de applicatieservers zelf te overvoeren. Zelfs zeer zware devices die miljoenen connecties kunnen ondersteunen, zijn met dit type aanvallen uit de lucht te halen. Aanvallen op de applicatielaag. deze richten zich op een bepaald aspect van een applicatie of dienst op laag 7 van het osi-model. dit zijn de gevaarlijkste aanvallen, omdat ze zeer effectief zijn en slechts een aanvalsmachine nodig hebben die maar heel langzaam verkeer genereert. deze aanvalsmethodieken zijn de laatste jaren populair geworden, mede omdat ze moeilijk proactief te detecteren en af te slaan zijn. Risico s binnen deze verschillende categorieën zijn de daadwerkelijke aanvalsvectoren steeds weer anders. Zij worden binnen de hackersgemeenschap ontwikkeld en zijn soms al voor tien dollar aan te schaffen. daadwerkelijke ddos-aanvallen zijn te koop op het internet voor enkele dollars per uur tot een paar tientjes voor een hele dag. dat geeft meteen de ernst van de situatie aan. Het is relatief eenvoudig een ddos-aanval uit te voeren. voor iedere organisatie die afhankelijk is van een website of webdienst zijn de risico s groot. Een webwinkel bijvoorbeeld kan zich geen downtime veroorloven. dat tast direct de omzet en winst aan. Hetzelfde geldt voor het toenemende aantal bedrijven dat gebruik maakt van diensten als software-as-a-service. bij een aanval op een serviceprovider lopen deze diensten het risico uit te vallen. dat zal het hele bedrijfsproces bij een gebruiker stilleggen. In de afgelopen jaren is geen enkele sector gevrijwaard gebleven van aanvallen, variërend van de financiële sector en de overheid tot aan gamingbedrijven en horeca.

4 Hoe bescherm je je tegen een DDoS? 4. Anti-DDoS-dienstverlening DDoS + NaWas In de netwerksector wordt dagelijks gewerkt aan oplossingen waarmee de negatieve gevolgen van een DDoS-aanval zoveel mogelijk te beperken zijn. Tot nu toe werd alle dataverkeer bij een aanval omgeleid naar een zogenaamde black hole. Dat was weliswaar afdoende om een Naast het opstellen van risicoplannen zijn er verschillende technische mogelijkheden om de negatieve gevolgen van een DDoS-aanval Traffic Analyzer Klant 10MBps totale uitval van systemen te voorkomen, maar leidt ertoe dat ook het reguliere verkeer wordt zoveel mogelijk op te vangen. Het gaat om zeer omgeleid. gespecialiseerde apparatuur die in de sector bekend staat als Intelligent DDoS Mitigation daarom zijn er nieuwe technologieën ontwikkeld die onderscheid kunnen maken tussen legaal Systems (IDMS). Deze systemen zijn aan de en illegaal verkeer. die komen in het volgende hoofdstuk aan de orde. Zij zijn onderdeel van een algemene aanpak die bedrijven kunnen hanteren om de risico s en impact van een ddos-aanval te minimaliseren. Die aanpak bestaat uit de volgende stappen. randen van het netwerk, in de cloud of in een hybride opstelling te installeren en reageren direct bij een aanval. De markt voor deze apparatuur groeit volgens IDC met zo n achttien procent per jaar en is in 2017 goed voor een DDoS Attack 3GBps Proserve NaWas 1. stel een risicoplan op, inclusief alle procedures en stappen die nodig zijn als een ddos-aanval omzet van 870 miljoen dollar. wordt ontdekt. Er zijn tal van praktijkvoorbeelden waarbij een organisatie veel tijd nodig had om een team samen te stellen dat daadwerkelijk in actie kon komen. In het risicoplan staan alle namen en actuele contactgegevens van alle betrokkenen (interne medewerkers en externe leveranciers) bij een calamiteit vermeld. 2. creëer een whitelist. organisaties die te maken hebben met regelmatig terugkerende of vaste In nederland zijn deze systemen geïnstalleerd bij stichting nationale beheersorganisatie Internet providers (nbip). deze organisatie behartigt de beheerbelangen van een groot aantal nederlandse Internet service providers en hostingbedrijven. Valide verkeer 7MBps klanten kunnen overwegen een whitelist aan te leggen, zodat het verkeer van deze partijen op initiatief van de nbip is de nationale anti-ddos de analyzers zijn na verloop van tijd in staat om door te laten is bij een aanval. Wasstraat (nawas) in het leven geroepen. deze volledig geautomatiseerd verdacht verkeer dat bij 3. Wees alert op rookgordijnen. aanvallers maken soms gebruik van afleidingsmanoeuvres om een security-afdeling in een verkeerde richting te sturen. terwijl de specialisten zich op een bepaald aanvalsdoel richten, kunnen aanvallers elders in het netwerk actief zijn en bijvoorbeeld systemen platleggen. 4. Overleg regelmatig met toeleveranciers over risico s, regelgeving en technologische ontwikkelingen, zodat het mogelijk is om best practices te hanteren bij het tegengaan van ddos-aanvallen. voorziening die het nbip beheert maakt het mogelijk om het dataverkeer van een aangesloten nbip-lid bij een ddos-aanval naar de wasstraat te leiden waar het wordt gescheiden in gewenst en ongewenst verkeer. proserve is lid van de nbip en heeft zijn netwerk geschikt gemaakt om gebruik te maken van de nationale Wasstraat. Netwerk proserve binnenkomst, door te routeren naar de nationale Wasstraat. deze reinigt het verkeer en stuurt het schone verkeer naar proserve terug. Belang Een enquête die de nbip uitvoerde onder Internet service providers onderstreept het belang van goede anti-ddos-voorzieningen. Zo hadden dertig organisaties gemiddeld bijna negen keer per jaar 5. Zorg intern voor optimale beveiliging zodat de eigen It-middelen niet geïnfecteerd kunnen om gebruik te kunnen maken van de nationale te maken met een ddos-aanval. In 75 procent van worden en misbruikt worden voor een aanval. Wasstraat heeft proserve zijn eigen core netwerk de aanvallen werd de hele infrastructuur geraakt 6. Zorg intern voor bewustwording over de risico s van een aanval. Het tegengaan van aanvallen en het voorkomen van een negatieve impact zijn niet alleen de verantwoordelijkheid van de Internet service provider of de hostingleverancier. organisaties hebben ook hun eigen verantwoordelijkheid om voorzorgsmaatregelen te treffen en een doelgericht plan te ontwikkelen dat direct in werking treedt bij een aanval. voorzien van analyzers. deze gespecialiseerde devices inspecteren en analyseren alle verkeer dat bij proserve binnenkomt. de analyzers zijn zelflerende devices die net als antivirusoplossingen werken met signatures. Zij zijn bijvoorbeeld in staat om verkeer met weinig data te herkennen. dat kan of negatief beïnvloed. Een gemiddelde aanval was tussen de 100 mbit/sec. en 25 gbit/sec. groot en in bijna veertig procent van de gevallen was de Isp niet in staat om een aanval zelfstandig te pareren. vandaar ook dat een ruime meerderheid van de Isp s zich zeer geïnteresseerd toonde in een wijzen op een ddos-aanval. gezamenlijke voorziening tegen ddos-aanvallen.

5 5. Voordelen van anti-ddos-service van proserve De anti-ddos-service van proserve biedt klanten verschillende voordelen: Het volledige core-netwerk van proserve wordt 24x7 gemonitord op verdacht verkeer. Bij het vermoeden van een aanval is meteen actie te ondernemen. De beschikbaarheid van de servers en websites stijgt en de risico s die horen bij het exploiteren van websites of het gebruiken van diensten als Software-as-a-Service nemen af. De dienstverlening aan klanten, partners en leveranciers blijft ook bij een aanval beschikbaar. Klanten zijn een minder aantrekkelijk doelwit voor aanvallers. proserve Nieuwland Parc LJ Papendrecht The Netherlands Postbus AJ Alblasserdam T E sales@proserve.nl