DDoS-scrubbing en robuuste DNS

NormenBIO2

Levert bewijs voorBIO8.148.21NIST CSFPR.IR-03PR.IR-04AVGA32WpgW06

Barriere: borg upstream DDoS-mitigatie en robuuste DNS. Volumetrische en applicatie-DDoS wordt opgevangen door een scrubbing-dienst voordat het verkeer de gemeentelijke infrastructuur raakt, diensten blijven beschikbaar onder druk.

Hacktivistische DDoS, vooral pro-Russische groepen, richt zich gericht op publieke diensten in NL. Zonder scrubbing valt de website plat, en met de website vaak ook achterliggende publieksprocessen. De boodschap (verstoring) komt aan.

Wanneer wel, wanneer niet#

Voor elke publieke dienst met zichtbaarheid. Wanneer niet zonder back-up-plan: een scrubbing-dienst die de tunnel verkeerd door laat opzetten faalt op het moment dat het er toe doet.

Zo richt je het in#

Een upstream DDoS-scrubbing-dienst (cloudflare, Akamai, NaWas) ontvangt het verkeer eerst en filtert kwaadaardig verkeer. Bij grote aanvallen kan anycast load over meerdere PoPs verspreiden. Always-on of on-demand activatie; activatieprocedure is geoefend.

1. Bepaal welke diensten in scope zijn (website, publieke loketten, API's).
2. Kies een scrubbing-dienst (always-on of on-demand). Er zijn non-profit routes: SURF biedt kosteloze DDoS-bescherming aan instellingen op het SURF-netwerk, en NaWas van NBIP is een non-profit dienst voor organisaties met een eigen AS-nummer en een poort op een internet exchange.
3. Configureer DNS/BGP-routing voor scrubbing.
4. Test activatie en failover periodiek.
5. Stel een communicatieplan op voor tijdens een DDoS-incident (woordvoering).
6. Monitor effectiviteit en patroon van aanvallen.

Wat het kost en wat het oplevert#

Kosten: midden.

Wat het oplevert

• Publieke diensten blijven onder hacktivistische DDoS overeind.
• Achterliggende systemen blijven gespaard van overspraak-effecten.
• De NaWas-route is non-profit maar niet gratis: een vast bedrag per beschermd prefix plus lidmaatschap van NBIP, en alleen met een eigen AS-nummer. Zonder eigen netwerk vraag je of je provider is aangesloten.

Waar je op moet letten

• Always-on kost meer maar werkt zonder activatie-tijd; on-demand vraagt snelle activatie.
• DNS-/BGP-keuzes moeten passen, niet elke architectuur ondersteunt het direct.
• Application-layer DDoS-detectie vraagt extra inrichting bovenop pakket-scrubbing.

Bewijs#

• Het contract of de afspraak met de upstream partij, inclusief de capaciteit en de opschaalprocedure.
• De DNS-inrichting: redundante providers, TTL-waarden en wie er kan wijzigen tijdens een aanval.
• Een overzicht van welke diensten wel en niet achter de mitigatie staan.
• Het verslag van een oefening of een echte aanval, met de tijd tot mitigatie.

Zo leg je het uit#

Aan de directie. Hacktivistische DDoS richt zich gericht op overheid. Scrubbing houdt onze publieke diensten beschikbaar onder druk, beperkte kosten, grote bestuurlijke waarde bij incident.

Aan de informatiemanager. DNS-/BGP-routing-keuze plus activatieprocedure. Inpassing op publieke diensten zonder achterliggende systemen te raken.

Aan het MT. Periodieke tests; bij aanval activatie volgens procedure. Communicatie-afdeling weet welke boodschap te geven (zie crisiscommunicatie-patroon).

Hoe dit samenhangt#

Deze handleiding hoort bij barriere upstream uit de zelfcheck aanvalspaden. Wat je hiermee aantoont in BIO 2.0, NIST CSF, het Wpg-kader en de AVG staat op Van aanvalspad naar norm.

De response-kant staat los: het oefenen met provider en SOC hoort bij barriere ddosresponse, waarvoor nog geen handleiding bestaat.

Licentie#

EUPL-1.2.