Nederlandse onderwijsinstellingen hebben voor derde dag last van ddos-aanval

Voor de derde dag op rij hebben Nederlandse onderwijsinstellingen last van storingen die door een ddos-aanval worden veroorzaakt. Die begonnen in de ochtend, meldt SURF, de koepelorganisatie van Nederlandse onderwijs-ict.

SURF meldt dat er op vrijdagochtend om 08.20 opnieuw een grote ddos-aanval is gestart op 'verschillende plekken, geografisch verspreid op ons netwerk'. Dat gebeurde ook in de nacht van donderdag op vrijdag. Onder andere onderwijsinstelling Fontys schrijft dat een netwerkstoring kan ontstaan voor studenten en medewerkers. Bij Eduroam wordt gesproken over mogelijke problemen en actuele storingen bij zo'n vijftig onderwijsinstellingen door heel Nederland, al gaat het daarbij niet altijd om dezelfde soort storing. Die pagina geeft dus mogelijk niet alle ddos-aanvallen weer.

De ict-organisatie voor het Nederlands hoger onderwijs onderzoekt of eerder genomen mitigerende maatregelen nu weer werken. Het is de derde dag op rij dat er ddos-aanvallen plaatsvinden op het Nederlandse onderwijs. Dat begon woensdag, maar ook op donderdag vonden er aanvallen plaats. Er zijn vooralsnog geen aanwijzingen dat de ddos-aanvallen iets te maken hebben met de cyberaanval op de Technische Universiteit van Eindhoven.

Reacties (66)

[Calamor]

Er is een update geplaatst om 11.40 uur:

Inmiddels is de DDOS-aanval weer gestopt. Het was wederom een grote aanval met een groot volume aan verkeer die bovendien steeds van doelwit wijzigde.

We hebben gezien dat de mitigerende maatregelen positief effect hebben gehad. Om de aanvallers geen voordeel te geven, kunnen we geen details over deze maatregelen verstrekken. We blijven alert.

Inmiddels is er aangifte gedaan bij de politie. Ook dragen we bij aan het onderzoek van het NCSC naar de herkomst van de aanvallen.

Komt van https://grotestoring.nl/

[phantom09]

Is cloudflare geen optie?

[Ruben279]

In dit geval word eigenlijk de voordeur van een instelling gebarricadeerd. De wereld daar achter werkt prima, alleen je komt gewoon niet meer buiten.

De enige manier om zoiets op te vangen is door meerdere providers te nemen, en met slimme routeringsprotocollen er voor zorgen dat wanneer 1 lijn niet meer werkt je een automatische failover kan doen.

[phantom09]

Is dat zo? Ik lees iets anders:


DDoS protection that mitigates the biggest, most advanced attacks

DDoS attacks can slow or shut down services, but Cloudflare stops them all. With 321 Tbps of network capacity, Cloudflare has mitigated some of the largest DDoS attacks ever recorded, without slowing down performance for customers.

https://www.cloudflare.com/ddos/

[Ruben279]

De protectie die een Cloudflare oid levert is gericht op verkeer dat naar je (veelal) webservers gaat.
Normaal is het dus Internet -> Server, maar met Cloudflare protectie wordt het Internet -> Cloudflare -> Server

In dit geval gaat een Cloudflare DDOS protectie geen oplossing bieden. Inbound verkeer naar je server (intern gehost) zou wel kunnen maar outbound kan je niks mee beveiligen.

[cobis taba]

SURF heeft recent nog een podcast gemaakt over DDoS-mitigatie en het soort aanvallen dat SURF regelmatig tegenkomt. Toevallig, want van voor deze aanval (en gaat daar dus niet op in), maar niettemin interessant .

https://www.surf.nl/en/po...o-know-about-ddos-attacks

[RobbyTown]

Naast onderwijs. Nu ook de ziekenhuizen https://www.nu.nl/binnenl...fen-door-cyberaanval.html

[rob12424]

Dat was al zo. SURF is voor ziekenhuis, onderwijs en Onderzoeksinstellingen.

[RobbyTown]

Aha oke dank voor de verheldering. In artikel word onderwijs aangehaald. Ziekenhuis/zorg niet. Dacht los van stond.

[janger12]

Kleine toevoeging: dit geldt volgens mij alleen voor academische ziekenhuizen (behorend bij een universiteit), niet voor gewone ziekenhuizen. Zij hebben hier geen hinder van, of mogelijk een beetje omdat ze hun collega's bij academische ziekenhuizen minder goed kunnen bereiken.

[Reactie gewijzigd door janger12 op 17 januari 2025 10:31]

[wvdlinden]

van de website van SURF

Over het SURF-netwerk:
Het SURF-netwerk is een landelijk glasvezelnetwerk voor het onderzoek en onderwijs in Nederland

Dit betekent dus dat alle onderstaande partijen storingen kunnen ervaren:
Universiteiten, hogescholen, mbo's, academische ziekenhuizen en onderzoeksinstituten

en onder die onderzoeksinstituten valt ook weer van alles.

[mutsje]

En toe leveranciers die willen inloggen. Het is erg hinderlijk allemaal.

[nextware]

En ook op overheidsinstellingen zoals Waterschappen deze ochtend. Lijkt rond dezelfde tijd (11:40 uur) gestopt te zijn..

[Reactie gewijzigd door nextware op 17 januari 2025 13:06]

[SA65]

Ben geen hacker, maar kun je door eerst met een ddos aanval de boel te ontregelen, niet daarna makkelijker in het systeem proberen te komen?

[Barreljan]

Nee een DDoS is puur om net als voor een fysieke winkel de deur flink te blokkeren met massa's mensen die niet naar binnen willen. Jij als klant die wel binnen wilt komen, kan daar moeilijk doorheen. Meer niet.

[Scriptkid]

Ddos is wel vaak smoke en mirrors,

Aandacht weg trekken van de onderliggende afval of maskeren er van.

[Finger]

Als dat vaak gebeurt is het toch ook helemaal geen afleiding meer maar waarschuwing.

[Reactie gewijzigd door Finger op 17 januari 2025 18:01]

[Statera]

Heb je een bron hiervoor? Vraag me dit sterk af namelijk.

[CPV]

Vergelijk het maar met de Soundmix show. Iedereen ging bellen en het hele telefoonnet lag plat door de overbelasting.
https://www.nporadio1.nl/...orgde-voor-complete-chaos

[PdeBie]

Kleine correctie op je voorbeeld: Ook die massa's mensen willen naar binnen.
Het is gewoon een Black Friday bij de Mediamarkt of USA praktijken op BF

[wildhagen]

Nee. Een DDoS doet een overload aan verkeer waardoor je de site niet meer kunt bereiken (of de dienst als geheel). Ze komen dus niet daadwerkelijk het systeem binnen.

Wat wél kan, en soms ook gebeurt, is dat die DDoS een afleidingsmanouvre is. Dan is het de bedoeling dat al het IT-personeel zich daarop richt, terwijl er dan in de achtergrond via een hack geprobeerd wordt het systeem binnen te dringen.

Dit gebeurt uiteraard bij lang niet elke DDoS-attack, en die hack staat in zo'n geval op zich ook los van de DDoS-attack.

Kort samengevat: via een DDoS-attack zelf komen ze iig niet je systeem binnen. Via een andere hack, waarvoor ze die DDoS attack als afleiding gebruiken, kan dat wel.

[Yordi-]

Ik denk niet dat dit waar is. Als je een ddos uitvoert is immers ook je attack surface weg, tenzij je een achterdeur hebt gevonden die buiten de ddos-connectiviteit valt. Dat zou kunnen, maar eerlijk gezegd betwijfel ik of dat dan minder opvalt tijdens een ddos.

[Cyberpuppy]

Deels. Want uiteindelijk zijn er altijd mensen bij betrokken en die zijn dus even heel druk bezig met die DDos. Zo zie je ook meer aanvallen in vakanties en tijdens feestdagen. Toch momenten waarop systeembeheer net even iets minder scherp zou kunnen zijn (of zelfs afwezig).

[D11]

Het kan ook zijn dat je tijdens de DDoS (als afleiding) binnen het interne netwerk, eventueel geautomatiseerd of ter plaatse (wifi), een hack uitvoert.

[mr_evil08]

Ja dat is mogelijk, een DDOS kan als rookgordijn functioneren doordat admins afgeleid zijn en zo een hacker makkelijker onopgemerkt binnen komt.

[gimbal]

Ja in slechte Hollywood films waar mensen actief naar schermen staren om de inbraak te zien gebeuren. In de realiteit is het software die bewaakt. Admins moeten uit bed gebeld worden zodra software alarmen laat afgaan.

[Wouterie]

Desondanks wordt het wel van ons verwacht dat we naar een scherm gaan staan staren. We hebben zelfs, speciaal hiervoor, een grote monitor aan de muur gehangen met een prachtig grafiekje erop wat iets (geen idee wat) van netwerkbelasting laat zien. Het gaat op en neer en managers mogen er graag naar staan staren. Zo kunnen wij rustig doorwerken en zij hebben het idee van overzicht.

[mugenmarco]

Snap niet echt waarom ze ineens al 3 dagen op een rij slachtoffer zijn van deze DDOS aanvallen, is een hacker of zijn meerdere hackers boos op ze of zit hier een diepere oorzaak achter?

[sOid]

Voor de volledigheid: een DDoS-aanval heeft bijzonder weinig met hacken te maken. Het is teveel eer om de mensen achter dit soort aanvallen hackers te noemen, want dat zijn het vaak niet.

[Zeekr001]

Ik was zelf in de veronderstelling dat je DDoS-aanvallen gewoon online kon bestellen (tegen betaling uiteraard). Maar ik ga dat hier op kantoor niet verifiëren.

[wildhagen]

Dat klopt. Je kunt gewoon een botnet kopen en dan met een tool een DDoS attack uitvoeren.

Die botnets heb je in verschillende omvang. Van een kleintje met enkele duizenden PC's, tot een groot botnet waar wel honderdduizenden PC's in kunnen zitten. Alles heeft zijn prijs uiteraard, maar kleine botnets kun je al voor enkele tientalen dollars kopen. Een groot botnet voor een paar duizend euro.

Er zijn groeperingen die zich daarin specialiseren zodat je idd alleen maar iets hoeft te bestellen. Bij Ransomware zie je dat ook, je hebt diensten als "Ransomware-as-a-Service", waarin je een ransomware-aanval bestelt richting een slachtoffer en dan wordt dat voor je uitgevoerd.

Hoef je tegenwoordig zelf nauwelijks meer iets voor te doen. En veel technische kennis heb je er al helemaal niet meer voor nodig op die manier.

[Reactie gewijzigd door wildhagen op 17 januari 2025 10:48]

[henk717]

Je hoeft niet een botnet te kopen, ddosen is een dienst van veel aanbieders. Ik weet niet of je echt krijgt waar je voor betaald want in mijn geval had ik enkel de advertenties bestudeerd om te kijken hoe goed de anti ddos voor mijn gameserver moet zijn. Vrij goedkoop kan z'n dienst al een amplification attack doen van tientalle gigabits voor een minuut. Betaal je veel kan het veel langer en vaak honderde gigabits. Dus in mijn geval heb ik een meer dan een terabit aan capaciteit met anycast en zit het voor mijn gameserver wel goed.

Nu verwacht ik niet dat een dergelijk moeilijk te blocken aanval zo even door een script kid met z'n tool wordt gedaan. Kan wel zijn dat iemand een kenner heeft gehuurd of dat wie hier achter zit zelf een botnet heeft natuurlijk.

[ijdod]

Daar komt het praktisch wel op neer. Het zijn botnets van gecompromitteerde systemen wereldwijd die op commando (en op bestelling) verkeer gaan genereren naar een doelwit.

[sOid]

Ja, dat klopt. Iedereen kan het doen voor een paar tientjes. Het is m.i. echt de achilleshiel van internetinfrastructuur.

[DrBackBeat]

Ik ben bekend met dat het relatief makkelijk is online een DDoS aanval te 'huren' en dat je zo als wraakzuchtige tiener makkelijk je middelbare school kan dwarsbomen, bijvoorbeeld. Maar ik kan me ook zo voorstellen dat het een ander kaliber is als je meerdere dagen onophoudelijk een dergelijke aanval 'regelt' of coördineert, en ook nog tegen een organisatie wiens taak en expertise bijna volledig in IT zijn geworteld. Dus ik kan me daarmee ook voorstellen dat er wel iets meer kunde en kracht nodig is en 'hacken' misschien wel een concretere rol speelt.

[sweetdude]

Ja, dit zoals in de artikelen staat:

Van nu.nl

"Ons netwerk wordt vrijwel dagelijks geddos't, maar dit was van een behoorlijk andere schaal", zei een woordvoerder donderdag tegen persbureau ANP

van grotestoring.nl

Uit onderzoek blijkt dat het een andere DDoS-aanval is dan gisteren, maar met wederom een enorme hoeveelheid volume aan verkeer. De aanval is veel groter dan de “reguliere” DDoS-aanvallen waar ons netwerk dagelijks mee te maken heeft en afslaat. Het verkeer bevindt zich op een punt in ons netwerk waar filteren niet (goed) mogelijk is.

[DhrRob]

Anno 2025 zijn de ddos-aanvallen die het nieuws halen dusdanig complex, dat dit statement wat verouderd is.

[sOid]

Kun je dat toelichten? Er zijn nog steeds zat diensten die DDoS-aanvallen aanbieden. Met alle geïnfecteerde IoT-meuk worden botnets alleen maar groter, en door toepassen van DNS-amplification wordt een aanval ook nog eens flink versterkt. Als afnemer van een platform heb je niets met die schaalvergroting/extra complexiteit te maken.

Daarnaast hebben echt niet alle sites/diensten goede mitigerende maatregelen, zoals bijvoorbeeld Cloudflare of NaWas, geconfigureerd. Geen idee of dat hier wel het geval is (zou me overigens wel verbazen als ze dat niet hebben).

[bigblue]

Weet iemand om wat voor type DDoS aanval het hier gaat? Misschien een site met meer technische details. Om dit soort aanvallen te voorkomen wordt het ook steeds belangrijker om te weten waartegen je maatregelen moet nemen.

[CPV]

Een DDos is volgens mij een DDos, die heb niet niet in verschillende kleuren, waar je op kunt selecteren.

[D11]

Zeker wel. Een DDoS zegt alleen iets over dat er vanaf meerdere apparaten een aanval uitgevoerd wordt op een bepaald doel (in dit geval SURF of 1 van de onderliggende onderwijs instellingen waarvoor zij de internetdienstverlening regelen). Het type aanval kan één uit velen zijn. Hier worden er bijvoorbeeld enkele beschreven: https://nl.wikipedia.org/wiki/Distributed_denial-of-service

[bigblue]

Dankjewel D11.

Wat ik begrijp is dat ze liever niet teveel details willen geven over de getroffen maatregelen. Daarmee houden ze dus ook gelijk de precieze informatie over de gevoerde DDoS attack achter.

Maar meerdere bronnen spreken over een ongekende stortvloed van requests waardoor ik verwacht dat het een Distributed-attack (waardoor alle beschikbare bandbreedte/capaciteit verbruikt word) betreft. Ik heb het niet gecontroleerd maar dit zou intussen ondervangen kunnen zijn door een mitigerende service ertussen te zetten. Deze heeft een zeer hoge capaciteit en kan routes snel rouleren waardoor een aanval geen/veel minder effect heeft en normaal verkeer gewoon afgehandeld kan worden.

Alternatief zou een DNS amplification attack kunnen zijn, waar met relatief weinig moeite en capaciteit een succesvolle DDoS is uit te voeren. Maar ook voor deze vorm zijn intussen meerdere mitigerende services beschikbaar. Misschien krijgen we over een paar weken (als alles weer rustig is) meer informatie.

[Ruben279]

Uiteindelijk kan je hier als eindgebruiker helemaal niks tegen doen, anders dan voldoende noodmaatregelen te treffen zoals verschillende providers.

Het gaat om zulke enorme hoeveelheden data (hoeveel precies is allemaal TLP:AMBER+STRICT) maar zo veel bandbreedte heeft geen enkel intern netwerk.

[mr_evil08]

Nee, iedereen kan een DDOS inhuren, kwestie van wie heeft de dikste pijp, deze aanval is iets groter waardoor het nieuws haalt.

[Reactie gewijzigd door mr_evil08 op 17 januari 2025 11:32]

[CH4OS]

Het is niet alsof 'complexe' DDoS aanvallen niet in te kopen zijn. Geen idee wanneer een DDoS aanval überhaupt 'complex' kan zijn.

[Groningerkoek]

Complex in de zin van dat het erg moeilijk is om op een werkbare manier legitiem verkeer van de DDOS requests te scheiden. Als je van Tweakers simpelweg de homepage op blijft vragen dan is daar simpel tegen op te treden. Als je de requests echter steeds naar andere punten op de site leidt en de vorm van de requests steeds wat laat verschillen dan begint het al heel lastig te worden om je website nog bruikbaar te houden.

De meeste maatregelen tegen een DDOS zijn niet zo ingewikkeld, zie het alsof je met 5.000 man per uur een cafe in wilt, en eigenlijk zijn er maar 50 die wat willen drinken en de rest wil alleen maat de tap versperren. De caféhouder huurt dan een sporthal met groeicapaciteit en daar checken controleurs wie er echt dorst heeft en gaat bestellen en de rest sturen ze weer naar huis. De kroeg draait dan normaal. Maar als je de nep klanten zo goed maakt dat de controleurs het verschil niet kunnen zien dan is de kroeg alsnog steeds verstopt.

[Hawkysoft]

Je kan een DDOS niet mitigeren... Wat jij benoemd is bijv zoals cloudfare, maar ook daar zit een limiet op en bij genoeg random zaken gaat ook dat je niet helpen. Nu wanneer het direct naar een specifiek doel is (ip adres/dns), ga je dit echt niet kunnen stoppen.

[D11]

Dat ligt er net aan hoe de DDOS in elkaar zit. Als legitiem verkeer te onderscheiden is van "illegaal" verkeer dan is wel degelijk te mitigeren, zolang de bandbreedte van de dienst die de controle uitvoert groter is dan die van het totale verkeer.

Voor websites zou je kunnen overwegen om via een proxy bij de 1e aanvraag van 1 IP-adres een Captcha te vragen om te bepalen of het verkeer van een (legitieme) gebruiker is of een bot/DDOS aanval. Op basis hiervan kun je een blacklist opstellen om verder verkeer zo snel mogelijk te blokkeren.

[Hawkysoft]

Dat schrijf ik toch ook?

[Groningerkoek]

Ik zeg dan ook juist dat je het nooit altijd tegen kunt houden, maar de simpele DDOs acties zijn niet zo moeilijk te stoppen, de ingewikkelde zoals deze die het doel steeds veranderen daar sta je relatief machteloos tegenover omdat het ondoenlijk is om het verkeer goed te scheiden.

[CAPSLOCK2000]

Een mogeljkheid is dat het "verkenningsvluchten" zijn, net zoals de luchtmacht die doet.

Een paar keer per jaar vliegen Russische militaire vliegtuigen het Europese luchtruim in. Die worden onmiddelijk opgespoord door Europese vliegtuigen die ze dan waarschuwen en naar buiten begeleiden. De Russen weten dat ze er uit gegooid worden maar doen het om te zien hoe lang het duurt, wat voor straaljagers wij gebruiken, waar die opstijgen en dat soort informatie. Zo leren ze iets over onze verdediging voor het geval ze ooit echt willen aanvallen.
bv https://www.luchtvaartnie...menwerpers-boven-noordzee

Een tweede mogelijkheid is dat het een afleidingsmaneuvre is voor een andere aanval. De verdedediging wordt verblind met een aanval die enorm veel data oplevert in de hoop dat ze niet zien dat er via een klein gaatje specialisten naar binnen sluipen of gevoelige informatie naar buiten wordt gelekt.

Een derde mogelijkheid is staatsterrorisme. Ons leven wordt verstoord en we moeten hoge kosten maken en kunnen dat geld niet investeren in onderzoek, wapens of uitkeringen. Zo komen we zwakker te staan en lopen interne spanningen op.

Een vierde mogelijkheid is dat het toeval is en dat er toevallig verschillende kleine aanvallen min of meer tegelijk plaatsvinden waardoor het één grote aanval lijkt.

Mogelijkheid 4b is dat na de eerste aanval andere aanvallers hebben besloten dat nu een goed moment is om zelf aan tevallen omdat de verdediging al verzwakt is. Ze kijken wie er al op de grond ligt en gaan die dan natrappen en chanteren.

[Hawkysoft]

Een scholier die het niet eens is met zijn/haar cijfer? Mensen denken al snel groot, terwijl het in dit soort gevallen vaak de leerlingen zijn die zulke dingen doen.

[KoffieAnanas]

Sure... Deze omvang van een DDOS gaat een scholier echt niet voor elkaar krijgen. Een DDOS van een scholier is bij wijze van spreke dagelijkse kost voor SURF, daar liggen ze niet wakker van.

[Hawkysoft]

Denk dat jij je vergist met hoe makkelijk het is om een DDOS uit te voeren.. Maar goed..

[TutanRamon]

Het zou zo maar eens de hybride oorlogsvoering van de Russen kunnen zijn. Uiteraard heb ik daar geen bewijs voor, maar het zou kunnen.

[Zeekr001]

Het is meer dan aannemelijk momenteel.

[Willem_54]

Zowel Rusland als China hebben een Firewall waar al het buitenlandse verkeer wordt afgesplitst, gefilterd en ongewenst verkeer in het luchtledige wordt gedumpt.

Europa en USA vinden dat niet nodig. Daarom lopen wij meer risico met dit soort aanvallen, de Rotterdamse havens, bruggen, sluizen etc.

Als ik de security log bekijk van mijn Odido/t-Mobile thuisrouter, dan krijg ik voortdurend allerlei attacks gemeld, waaronder Ddos aanvallen, portscans, Dataflow attacks etc.

Een EU Firewall kan verschil uitmaken om dergelijke ongein drastisch te beperken.

[rob12424]

Het is tentamenweek volgens mij. Denk dat iemand bang is om te zakken

[pieterha]

Een zoon/dochter van een boze IT'er kreeg geen VWO advies?

[drdelta]

SURF is toch alleen hoger onderwijs, geen basisonderwijs of voortgezet onderwijs?

[Finger]

Met en DDOS aanval hoeven het helemaal geen hackers te zijn, iedereen kan die dingen uit(laten)voeren.

[Evdpol]

https://wiki.surfnet.nl/d...tnetwerkWiki/SURFfirewall
nieuws: Fortinet waarschuwt voor actief misbruikte zeroday in FortiGate-firew...
nieuws: Hackers lekken configuraties en vpn-inloggegevens van 15.000 FortiGat...

1 en 1 = 2?

[WybrenPC]

Ik vind dit oprecht geen gekke beredenering. Het zou me niks verbazen dat er mogelijk door een gelimiteerde hoeveelheid beschikbare resources momenteel het moeilijker is om bepaalde targeted attacks af te weren. Vooral als je een gedeelte van je IT team een vrij grote hoeveelheid fortigate devices moet laten patchen.

[cobis taba]

Dat wiki-artikel gaat over kwetsbaarheden in firewalls, de DDoS vandaag betreft een grote hoeveelheid verkeer. Je kunt natuurlijk in theorie alles aan elkaar koppelen, maar goed.

[CH4OS]

1 en 1 = 2?

Hier zouden die scholen je op zich mee kunnen helpen met deze vraag...

[Reactie gewijzigd door CH4OS op 17 januari 2025 12:59]

[NDSFREAK]

1 en 1 = 2 ? Plus (misschien wraakactie , van hackers die zijn opgemerkt bij Hack TU eindhoven) ?