SIDN en de NBIP, de Nederlandse Beheersorganisatie voor Internationale Providers werkten nauw samen aan een grondig onderzoek dat meer kennis moet opleveren over DDoS-aanvallen. Samen beschikken ze over een respectabele hoeveelheid data. Zo kan de NBIP zien welke IP-adressen worden aangevallen, terwijl SIDN die adressen kan verbinden aan domeinen. Door hun data te koppelen en te analyseren kregen ze meer inzichten boven water dan ooit. Daardoor kan het onderzoek, ook internationaal, als uniek worden gezien. Het leverde nieuwe kennis op over branches, regio’s, over patronen, economische schade en het risico ‘collateral damage’ van een aanval te zijn. Inzichten die de schade van DDoS-aanvallen zullen beperken en het fenomeen ook dichter bij de mensen zullen brengen. Octavia de Weerdt, Algemeen directeur van de NBIP en Nick Boerman, Business analist van SIDN geven alvast een sneak preview van de resultaten.
Focus op DDoS
De NBIP behartigt de belangen van ISP’s sinds 2002. Inmiddels zijn er meer dan 100 partijen verenigd in de NBIP. Vanaf 2013, toen enkele grote banken werden aangevallen, begon de NBIP ook te focussen op DDoS-aanvallen. Wat kun je er als ISP tegen doen en hoe kun je de schade beperken? Inmiddels biedt NaWas, onderdeel van de NBIP, providers DDoS-security. De Weerdt: ”We werken volgens ‘het brandweermodel’: je maakt er pas gebruik van als je getroffen wordt.” Zo is er de ‘nationale wasstraat’. Bij een aanval wordt het besmette internetverkeer gerouteerd en weer schoon terug geleid. De mitigatie bij ISP’s is van groot belang; providers hebben immers een enorme hefboomwerking. Van de 5,8 miljoen Nederlandse domeinen beschermt de NaWaS er 2,5 miljoen, zo’n 43% van het totaal.
Bewustwording
Zowel De Weerdt als Boerman noemen kennisdeling als belangrijkste doel van het onderzoek. Meer kennis kan samenwerking in de keten versterken, een belangrijke stap in het terugdringen van DDoS-aanvallen. Ook leidt kennisdeling tot meer bewustwording in de hele samenleving, waardoor de schade van DDoS-aanvallen kan worden beperkt.
Regio’s
Boerman: ”Door de koppeling van IP-adressen aan domeinen is het voor het eerst mogelijk uitspraken te doen over categorieën zoals ‘Fashion & Beauty’ of ‘Onderwijs’. Ook valt er nu iets te zeggen over regio’s, zijn bepaalde regio’s in ons land meer of minder doelwit?” Groningen blijkt als regio relatief meer DDoS-aanvallen ontvangen te hebben dan andere regio’s. Heeft het iets te maken met het datacenter van Google in Groningen? Die relatie is volstrekt niet gevonden. Een mogelijke verklaring ligt in het grote aantal onderwijsinstellingen in Groningen, van middelbare scholen tot universiteit, een categorie die hoog scoort als target.
Interessante patronen
De analyse van de data bracht ook patronen aan het licht. Sommige misschien voorspelbaar: voor kerst zijn er beduidend meer aanvallen op webshops. Waarschijnlijk kwaadwillige aanvallen bedoeld om de operatie -en de feestomzetten- van de shops te verstoren. Andere patronen zijn mogelijke eye openers: veel sites, geclassificeerd als ‘onderwijs’ worden door een DDoS-aanval getroffen rond half negen ’s morgens. Boerman: ”Dat geeft te denken, zeker als je weet dat je een DDoS-aanval al voor enkele euro’s kunt bestellen.”
‘Collateral damage’
De Weerdt: ”Mensen denken vaak dat alleen ‘high-profile’-sites aangevallen worden. De werkelijkheid blijkt anders. De kans dat je wordt geraakt door een aanval als je geen target bent, is groter dan wanneer je doelwit bent.” Het heeft alles te maken met shared hosting. Een aanval richt zich op het doelwit, maar sites die toevallig hetzelfde IP-adres gebruiken worden ook getroffen. De analyse over een jaar leerde dat 3,6% van de getroffen webshops te kenschetsen zijn als target, terwijl 8,4% ‘bijvangst’ was. Veiligheid is niet vanzelfsprekend als je geen ‘high-profile’-site bent.
Samen sterker
Boerman: ”Het belang van samenwerking is boven elke twijfel verheven. Als de keten breder en sterker wordt, hebben DDoS-aanvallen minder impact.” De Weerdt: “De NBIP, maar dat geldt zeker ook voor SIDN, staat open voor elk initiatief dat leidt tot meer cohesie in de keten, zowel horizontaal als verticaal.”
Presentatie van de resultaten op 19 november
De resultaten van het onderzoek die uiteraard veelomvattender en diepgaander zijn dan we in dit artikel konden melden, worden op 19 november om 13:00 uur door NBIP en SIDN gepresenteerd bij Seats2Meet in Utrecht.
Voor degenen die extra geïnteresseerd zijn in de economische impact van DDoS-aanvallen in Nederland gaan we dieper in op de resultaten, discussiëren we over de bevindingen met een panel van experts en gaan we in op de vraag: hoe gaan we de rest van Nederland beschermen en hoe gaan we onze krachten bundelen tegen DDoS-aanvallen?
Het programma van deze middag ziet er als volgt uit:
13:00 uur – Inloop
14:00 uur – Opening
14:15 uur – Presentatie rapport: Octavia de Weerdt (NBIP) en Michiel Henneke (SIDN)
15:00 uur – Bert Tieben (SEO Economisch Onderzoek) over economische impact
15:30 uur – Discussie met een panel van experts
16:15 uur – Borrel
Meld je aan!
Aanmelden is kosteloos en kan via eventbrite.
Kun je niet bij de presentatie zijn, maar wil je wel het rapport ontvangen? Geef je dan op via NBIP.
