'Nederland kreeg vorig jaar meer krachtige ddos-aanvallen te verduren'

Nederland kreeg vorig jaar vaker te maken met grote ddos-aanvallen. Het waren er elf van meer dan 40Gbit/s. In 2017 kwamen aanvallen van een dergelijke grootte niet voor en in 2016 waren dat er maar twee. Het totale aantal ddos-aanvallen steeg met 13,6 procent.

De cijfers blijken uit onderzoek van de Nationale Beheersorganisatie Internet Providers. Die stichting is de maker en beheerder van de NaWas, de 'nationale wasstraat' tegen ddos-aanvallen. Hoewel het aantal ddos-aanvallen groeide naar 938, is de groei wel afgevlakt. De stijging in 2017 ten opzichte van 2016 was nog 21,5 procent.

In het rapport staat dat verreweg de meeste ddos-aanvallen worden uitgevoerd met een capaciteit van minder dan 10Gbit/s. Het aandeel van ddos-aanvallen van minder dan 1Gbit/s is ongeveer een derde. De verdeling van de grootte van aanvallen is nagenoeg hetzelfde als in voorgaande jaren. De grootste aanval in 2018 was er een van 68Gbit/s. In 2017 was dat 36Gbit/s.

Het overgrote deel van de ddos-aanvallen duurde niet langer dan een uur, net als een jaar eerder. Er waren 29 ddos-aanvallen die langer dan vier uur duurden; in 2017 waren dat er 28. In 2018 detecteerde de NBIP 56 verschillende soorten aanvallen; dat waren er 46 een jaar eerder. De populairste methode was ldap-amplification, terwijl dat vorig jaar nog dns-amplification was. Die verschuiving komt volgens de stichting door veel media-aandacht en maatregelen die organisaties tegen dns-amplification hebben genomen.

De NBIP merkt op dat het opvallend is dat er in oktober 2018 relatief weinig ddos-aanvallen waren, terwijl dat een jaar eerder juist de maand met de meeste aanvallen was. De stichting noemt als mogelijke verklaring dat er eind vorig jaar wereldwijd een aantal grote botnets offline is gehaald.

Begin 2018 kregen veel Nederlandse websites ddos-aanvallen te verduren. Onder andere Tweakers was doelwit van een aanval van 25Gbit/s. Vorig jaar is er ook veel actie ondernomen tegen ddos-diensten. Zo haalde de Nederlandse politie in samenwerking met andere landen Webstresser.org offline, waarna ook verschillende Nederlandse gebruikers van de dienst werden aangehouden. Eind 2018 haalde de FBI in samenwerking met de Nederlandse politie vijftien ddos-diensten offline.

Reacties (21)

Eerlijk gezegd representateren deze cijfers niet heel Nederland. Als je naar de anti ddos service van Serverius bekijkt, dan hebben die al 1700 gemiddeld per maand gedaan in 2018 (https://serverius.net/sercurius/ddos-protection/). Daar hebben ze ook 1 Tbit+ gedaan zonder problemen. En dan zullen er nog tal van meer providers zijn. Wat denk je van Cloudflare in Amsterdam? Het zit globaal en daardoor is het lastig te tellen wat exact in Nederland gebeurd. Maar het geeft wel aan dat het cijfer hoger ligt dan wat het artikel beweert.

[Reactie gewijzigd door servicedb op 25 maart 2019 23:40]

NaWas kreeg vorig jaar meer krachtige ddos-aanvallen te verduren. Niet iedereen in Nederland gebruikt NaWas, vraag me af wat het marktaandeel van NaWas vs Akamai vs Cloudflare is. Zeker voor de grotere sites die waarschijnlijk ook grotere aanvallen te verduren krijgen.

De grote netwerken handelen dit zelf af, NaWas is een super initiatief, maar bedient vooral de kleinere netwerken.

De grootste aanval in 2018 was er een van 68Gbit/s. In 2017 was dat 36Gbit/s.

Hoe groter het netwerk, des te grotere publieke diensten er gedraaid worden die meer en grotere aanvallen aan kunnen trekken. Het is gewoon een wedstrijdje wie de meeste capaciteit in kan schakelen.

[Reactie gewijzigd door Stewie! op 25 maart 2019 17:17]

Ook de groten hebben vaak niet genoeg capaciteit om grote ddos attacks af te weren (enkele providers en overheidsnetwerken daargelaten). Maar die groten kiezen/kozen wel juist vaker voor de grote anti-ddos providers, zoals cloudflare of akamai.
Ik heb er me niet meer recent in verdiept, maar een paar jaar terug was dat het enige alternatief op down gaan. Ik kan me zeker voorstellen dat die organisaties niet snel overstappen op nawas. Als je tevreden bent, is overstappen altijd een gok!

Je hebt overigens gelijk dat het om capaciteit gaat. Niet alleen van de lijn, maar ook van de filters, en dat zijn veelal dure hardware en bijhorende dure manuren die (voor één organisatie) maar af en toe nodig zijn - en dus de investeringen niet verantwoorden als je hetzelfde ook als service kan afnemen en bovendien het risico kan afwentelen op een serviceprovider.

Mwah, de gemiddelde grote DDoS aanval is niet zo heel ingewikkeld.. enkele uitzonderingen daargelaten zijn het UDP reflection aanvallen waarbij iemand het IP adres van het doelwit spoofed, en daarna massaal bijvoorbeeld DNS/NTP/etc look-ups gaat doen bij exploitable daemons. Die daemons geven antwoord naar het slachtoffer, dat compleet overwelmd raakt door het volume van de gegenereerde antwoorden dat vaak stukken groter is dan het volume van de requests.

Maar als je een lijstje bijhoudt met de meest bekende UDP reflection source-poorten waar die antwoorden vandaan komen, kan zo goed als elke router filteren door middel van een domme stateless access-list. Geen nieuwe apparatuur voor nodig, alleen voldoende uplink capaciteit om het volume van de aanval te soaken.

De echte uitdaging zit 'm in de ingewikkeldere aanvallen, namelijk wanneer er geen UDP reflection bij betrokken is en het rauwe volume dus vaak lager ligt.

Het probleem zit hem in die 'ene' aanval waar je niet tegen gewapend bent met een simpele router, bijvoorbeeld omdat de aanval binnenkomt op een poort waar je ook nog services op wil leveren.

Daarnaast is het lang niet evident dat een router of firewall het nog kan behappen als z'n poortje naar 95% use gaat - het ddos verhaal is complexer dan bandbreedte alleen.

gezien je tegenwoordig DDAAS (DDos As a Service) hebt is het natuurlijk een logische gevolg dat er meer volgen. ipv dat je zelf een heel botnetwerk op moet tuigen bestel je een DDOS gewoon online en betaal je met bitcoin dus lekker untraceable.

Moet je die Bitcoin wel of zelf gemined hebben of anoniem van iemand gekregen. Koop je hem op een exchange met KYC dan is ie perfect te traceren.

denk niet dat de overheid Nadat ze de hacker achterhaald hebben de hacker zo ver gaan krijgen dat ie zijn bitcoin wallet af gaat staan om te kijken met wie hij zaken deed.

Je kunt elke transactie en al het verkeer van elk Bitcoin adres hier open zien. https://blockchair.com/

Als je een full node draait kunt je ook IP adressen verzamelen, zeker als je een SPV server draait.

[Reactie gewijzigd door Kain_niaK op 26 maart 2019 01:00]

tuurlijk,

Maar hoe haal je uit die grote bak het bitcoin address van de hacker als die zijn wallets niet vrij geeft ? Ip address heb je ook niks aan hacker zal zijn wallets niet op zelfde network als botnet hebben zitten.

Via deze software. https://www.chainalysis.com/

Ik vraag mij ook vooral of aanvallen als Slowloris hierdoor opgepikt worden. Deze zijn veelal dusdanig traag dat je het over enkele kilobytes per seconde praat.

Dat is meer een DoS he geen DDoS.

Afhankelijk van hoeveel systemen je er voor inzet natuurlijk. Je kan vanaf 1 computer een slecht geconfigureerde webserver plat houden. Maar vanuit meerdere wordt dat alleen maar makkelijker en nog slechter te vinden.

Ik denk dat een enkele datacenter er al gemiddeld meer dan 11 per jaar krijgt. Laat staan heel Nederland.

@tweakers is de aanvaller inmiddels al veroordeeld?

Ben je trouwens echt serieus "the man" als je magister platlegt?

Er zijn vast wel wat studenten die dat denken. Afgelopen vrijdag weer heel de dag ellende. Wel fijn dat magister zelf een storingspagina heeft waarop ze zetten dat ze down zijn. Bespaard me heel wat telefoontjes van docenten.

Ik help mijn buurmeisje met sommetjes, ze zit nu in het examenjaar, het zijn nu de schoolonderzoeken. Ontzettend niet-leuk als ze op cijfers zit te wachten, dit soort gedoe. Heel soms hoor je dat er iemand voor gepakt wordt, maar de combinatie pakkans-straf schrikt blijkbaar niet genoeg af

Op zoek naar een partner voor ruige seks. Ik hou van anale en BDSM. waar houd je van? Mijn sexy foto's en contacten hier http://sexbadoos.cf/flineyal