DDoS staat voor distributed denial of service. Een denial-of-service-aanval (DoS) probeert een middel uit te putten: bandbreedte, verbindingen, processor, geheugen of database. Komt de aanval van één machine, dan volstaat het vaak om dat ene IP-adres te blokkeren. De "D" van distributed verandert alles: het verkeer komt tegelijk van duizenden adressen, meestal gehackte computers, servers of slimme apparaten die in een botnet zijn samengebracht. MITRE rekent dit mechanisme tot de flooding-aanvallen (CAPEC-125), die misbruik maken van een te zwakke beperking van het aantal verzoeken.
De verschillende soorten DDoS-aanvallen
- Volumetrisch: een vloedgolf aan verkeer verstopt de netwerkverbinding van de server of de hostingprovider. De site ligt plat zonder dat er ook maar één pagina echt wordt opgevraagd.
- Protocolaanval: de aanval put de verbindingstabellen van servers, firewalls of loadbalancers uit door netwerkprotocollen te misbruiken.
- Applicatielaag: normaal ogende HTTP-verzoeken richten zich op pagina's die veel rekenwerk kosten, zoals een zoekopdracht, een winkelwagen of een pagina die niet in de cache staat. Er is minder verkeer nodig, en het is lastiger te onderscheiden van echte bezoekers.
De motieven lopen uiteen: ideologie, uitdaging, afpersing, wraak of concurrentie. Een DDoS kan ook dienen als afleiding tijdens een andere aanval, of als extra drukmiddel bij ransomware.
Hoe je je ertegen beschermt
Een site verdedigt zich niet in zijn eentje tegen een DDoS: de bescherming gebeurt verderop in de keten, waar de capaciteit het grootst is. Het nationale cyberagentschap ANSSI (Frankrijk) onderscheidt drie niveaus die je combineert naargelang wat er op het spel staat: de netwerkprovider, een gespecialiseerde anti-DDoS-dienst en een content delivery network (CDN).
- Vraag je hostingprovider welke bescherming hij biedt en wat hij doet bij een aanval: sommige providers halen de site offline om hun andere klanten te beschermen.
- Zet de site achter een reverse proxy of een CDN en houd het echte IP-adres van de server verborgen, anders richt de aanvaller zich er rechtstreeks op. Ons artikel Cloudflare voor WordPress beschrijft de instellingen.
- Schakel een web application firewall in met regels die het aantal verzoeken beperken, tegen aanvallen op de applicatielaag.
- Serveer zoveel mogelijk pagina's uit de cache: een gecachte pagina kost bijna niets om te leveren.
Voor WordPress
Sommige adressen van WordPress omzeilen de cache en zijn daardoor een makkelijk doelwit voor een aanval op de applicatielaag: wp-login.php, xmlrpc.php, admin-ajax.php, de zoekfunctie ?s= en de REST API. Door XML-RPC uit te schakelen als je het niet gebruikt, sluit je een deur die veel kost om te bedienen. Een golf mislukte inlogpogingen op wp-login.php lijkt trouwens vaak op een kleine denial-of-service-aanval.
WP Masquerade is geen anti-DDoS-bescherming. Het beperken van inlogpogingen begrenst het netwerkverkeer niet; achter Cloudflare zorgt de ondersteuning voor het echte IP-adres van bezoekers er alleen voor dat niet alle bezoekers de teller van de proxy delen.
Wat je doet tijdens een aanval
- Neem contact op met je hostingprovider en, als je die hebt, met je beschermingsdienst om het verkeer te laten filteren.
- Betaal geen losgeld: daarmee financier je de aanvallers, zonder garantie dat de aanval stopt.
- Bewaar de logbestanden van de server, de firewall en de proxy voor een eventuele aangifte.
- Controleer achteraf of geen andere inbraak van de afleiding heeft geprofiteerd, en verander bij de minste twijfel de wachtwoorden.