Deze podcast is AI-gegeneerd. (Engels)

Distributed Denial-of-Service (ddos)-aanvallen behoren tot de meest ingrijpende cyberdreigingen van deze tijd. Bij zo’n aanval proberen cybercriminelen een doelwit – meestal een website, online dienst of server – onbereikbaar te maken door er een overweldigende hoeveelheid kunstmatig gegenereerd internetverkeer naartoe te sturen. Men kan het vergelijken met een drukke winkelstraat waar op een gegeven moment zoveel mensen in één specifieke winkel proberen te komen, dat de ingang volledig geblokkeerd raakt. Zelfs legitieme klanten kunnen dan niet meer naar binnen. Dit principe geldt ook voor een ddos-aanval: door de enorme datastroom kan de beoogde website of dienst zijn bezoekers niet meer verwerken, waardoor die onbereikbaar wordt.
In de beginjaren van het internet doken ddos-aanvallen regelmatig op als rechttoe-rechtaan pogingen om systemen te overladen met dataverkeer. Ze verliepen vaak via zogeheten ‘botnets’: grote netwerken van gekaapte computers die, zonder medeweten van hun eigenaar, verkeer genereren. De omvang van zulke aanvallen is in de loop der tijd drastisch toegenomen, mede door de groei van het aantal apparaten dat voortdurend online is. Denk aan computers, smartphones en zelfs slimme huishoudelijke apparaten. Met al deze verbonden devices groeit het potentieel om massaal verkeer op te bouwen en te richten op één doelwit.
Het fenomeen is ook qua taktiek geëvolueerd. Waar criminelen zich vroeger vaak beperkten tot eenvoudige ‘flood’-aanvallen, zetten zij nu complexere methoden in. Een van die methoden is de dns-reflectieaanval, een slimme manier om anderen ongewild bij een ddos-campagne te betrekken. Deze complexe aanvalstechniek maakt misbruik van een infrastructuur die bedoeld is om het internet makkelijker en gebruiksvriendelijker te maken: het Domain Name System (dns). Daarbij worden dns-servers ingezet als tussenstations om een doelwit te overspoelen met data. Wat deze aanpak extra verraderlijk maakt, is dat de aanvallers vaak nauwelijks direct zichtbaar zijn, terwijl het slachtoffer toch een stroom aan dataverkeer te verwerken krijgt.
Cybercriminelen richten zich allang niet meer uitsluitend op grote, commerciële partijen of financiële instellingen. Zo bleek recent uit de verstoring van het gezamenlijke computernetwerk van universiteiten, hogescholen, mbo’s, academische ziekenhuizen en onderzoeksinstituten. Op een vrijdagochtend, omstreeks 08.20 uur, ondervonden deze instellingen ernstige verbindingsproblemen als gevolg van een omvangrijke ddos-aanval. Waar men normaal gesproken ‘snelle of stabiele internettoegang’ verwacht, kregen studenten, docenten, onderzoekers en zorgmedewerkers opeens te maken met trage of volledig wegvallende verbindingen. Dit voorval illustreert hoe ieder digitaal platform – of het nu commercieel, educatief of medisch is – onder vuur kan komen te liggen, en welke consequenties dit kan hebben voor de samenleving.
Wat is dns-reflectie
Dns-reflectie staat bekend als een van de meest doeltreffende varianten binnen het grotere ddos-spectrum. Om te begrijpen hoe dit werkt, is het handig om eerst het dns-systeem zelf te doorgronden. Het Domain Name System is als het ware het telefoonboek van het internet. Bij elke domeinnaam die je in je webbrowser typt – denk aan ‘nu.nl’ of ‘voorbeeld.nl’ – zoekt een dns-server het bijbehorende numerieke IP-adres op. Deze vertaling zorgt ervoor dat je niet al die ingewikkelde reeksen cijfers hoeft te onthouden. Zodra de dns-server het IP-adres heeft gevonden, stuurt hij dat antwoord terug, zodat je browser weet waar de website zich bevindt.
Het probleem ontstaat wanneer criminelen misbruik maken van de bereidheid van dns-servers om vragen te beantwoorden. Bij een dns-reflectieaanval sturen aanvallers op zeer grote schaal dns-verzoeken naar allerlei dns-servers. Die aanvragen lijken normaal, behalve dat de afzender ervan is vervalst. In plaats van hun eigen IP-adres, plakken de daders het IP-adres van het slachtoffer in het ‘afzender’-veld. De dns-servers zien het verzoek binnenkomen, denken dat het van het slachtoffer afkomstig is, en sturen hun antwoorden dus ook direct naar dat slachtoffer.
Hierdoor ontstaan twee complicerende factoren voor het slachtoffer. Ten eerste ontvangt het slachtoffer al die dns-antwoorden in een veel grotere hoeveelheid dan wat er oorspronkelijk is gevraagd. Vaak zijn dns-antwoorden aanzienlijk ‘zwaarder’ door de toevoeging van extra records, zoals mail-exchange of autoritatieve verwijzingen, vergeleken met de vraag zelf. Ten tweede maakt de betrokkenheid van legitieme dns-servers het voor de aanvallers makkelijker om in de luwte te blijven. Het lijkt alsof al dat verkeer afkomstig is van diverse betrouwbare servers, terwijl er in werkelijkheid een bewuste aanval plaatsvindt.
De term ‘reflectie’ verwijst naar het feit dat het verkeer via een omweg naar het slachtoffer gaat, alsof het wordt teruggekaatst (gereflecteerd) door de dns-servers. De crimineel hoeft niet rechtstreeks een bulk aan data te sturen; de dns-servers nemen die taak feitelijk over. Daardoor zijn zulke aanvallen niet alleen lastig te blokkeren, maar ook moeilijk te traceren. Het verkeer lijkt immers overal en nergens vandaan te komen.
Het amplificatie-effect
Een belangrijk element van dns-reflectie is het zogeheten ‘amplificatie-effect’. In de cyberwereld betekent ‘amplificatie’ dat een kleine input een relatief grote output kan opleveren. Als je met een heel klein verzoek een buitengewoon groot antwoord kunt genereren, heb je een krachtig wapen in handen om een doelwit te bestoken. Precies dat gebeurt bij dns-reflectieaanvallen.
Denk aan een situatie waarin een enkele dns-vraag slechts enkele bytes groot is. Het antwoord kan echter, afhankelijk van de configuratie van de dns-server, enkele tientallen of zelfs honderden bytes bevatten. In het meest extreme geval kan een kleine vraag honderden keren zo groot worden als antwoord. Wanneer criminelen deze techniek op grote schaal toepassen, zijn er maar weinig middelen nodig om het slachtoffer te overstelpen met dataverkeer.
Vergelijk het met het versturen van een kaartje en als antwoord een dik boek terugkrijgen. Als je dat miljoenen keren tegelijkertijd doet, kun je het slachtoffer platleggen. In technische termen heeft men het dan over een ‘vermenigvuldigingsfactor’. De exacte factor kan variëren afhankelijk van hoe de betreffende dns-server is ingesteld. Dit is een cruciale reden waarom dns-reflectieaanvallen zo populair zijn bij kwaadwillenden: je krijgt er veel ‘aanvalskracht’ voor relatief weinig moeite.
Een extra complicatie is dat dns-servers wereldwijd verspreid staan. Vrijwel overal op het internet functioneren servers die voor iedereen toegankelijk zijn, met als doel om mensen snel en makkelijk naar de juiste websites te leiden. Zodra criminelen lijsten in handen krijgen van zulke open dns-servers, kunnen ze die inzetten om hun aanval te ‘vermenigvuldigen’. Terwijl één server misschien niet genoeg is om een doelwit op de knieën te krijgen, vormen honderden of duizenden dergelijke servers samen een krachtig wapen. Dit maakt het moeilijk om de stroom van pakketten snel te herleiden en af te sluiten.
Impact op onderwijs en zorg
Dat onderwijs- en zorginstellingen zo’n aanval ondervonden, laat zien hoe kwetsbaar de digitale voorzieningen van deze sectoren kunnen zijn. Universiteiten en hogescholen zijn typisch grote organisaties met een complexe ict-infrastructuur. Ze faciliteren online leeromgevingen, onderzoekdatabanken en samenwerkingsplatforms voor docenten en studenten. Mbo-instellingen hebben vaak hetzelfde soort infrastructuur, zij het op een andere schaal. Academische ziekenhuizen en onderzoeksinstituten maken eveneens gebruik van dergelijke netwerken, met als verschil dat hier ook medische systemen en patiëntengegevens bij komen kijken.
De recente ddos-aanval op het gedeelde computernetwerk van deze instellingen begon op een vrijdagochtend rond 08.20 uur, een tijdstip waarop veel mensen online komen om hun dag te starten. De impact bleek al snel merkbaar: internetverbindingen vielen weg of werden zo traag dat ze vrijwel onbruikbaar werden. Studenten konden niet inloggen op hun digitale leeromgeving, docenten konden geen online lessen geven of studiemateriaal uploaden, en onderzoekers konden niet bij wetenschappelijke databestanden. In academische ziekenhuizen ging het om vertragingen bij belangrijke applicaties die artsen en verpleegkundigen dagelijks gebruiken. Zelfs het meest fundamentele e-mailverkeer werd in sommige gevallen ernstig vertraagd.
Dit soort storingen raakt niet alleen de dagelijkse gang van zaken, maar kan ook op de langere termijn doorwerken. Studentenaantallen zijn fors, wat betekent dat duizenden of soms tienduizenden mensen hinder ondervinden van een uitval. Gedurende een ddos-aanval kunnen geplande (digitale) examens in de war raken, projecten stil komen te liggen en belangrijke deadlines worden gemist. In het geval van een ziekenhuis kunnen vitale processen vertragen. Denk aan elektronische patiëntendossiers die tijdelijk onbereikbaar zijn, of communicatie met laboratoria die plotseling niet meer goed werkt. Hoewel de aanval in eerste instantie een digitaal fenomeen is, kan de maatschappelijke en menselijke impact dus zeer groot zijn.
Wat extra frictie oplevert, is dat onderwijs- en zorginstellingen over het algemeen een open karakter hebben. Universiteiten bevorderen de vrije stroom van kennis en gegevens, wat in de praktijk inhoudt dat beveiligingssystemen niet altijd even restrictief kunnen zijn. Een ziekenhuis moet makkelijk bereikbaar zijn voor medewerkers en patiënten, waardoor een waterdicht afgesloten netwerk niet altijd wenselijk is. Die openheid maakt deze sectoren aantrekkelijk voor daders die met relatief weinig inspanning veel schade willen toebrengen. Bovendien is de reputatieschade en maatschappelijke verontwaardiging bij aanvallen op onderwijs en zorg vaak groot. Dit kan voor bepaalde groepen cybercriminelen een extra motivatie zijn, bijvoorbeeld om aandacht te trekken of druk uit te oefenen.
Een groeiende dreiging
Ddos-aanvallen, en met name de dns-reflectievariant, lijken de afgelopen jaren steeds grotere vormen aan te nemen. Door de toenemende digitalisering is het aantal mogelijk kwetsbare systemen aanzienlijk gegroeid. Steeds meer processen verplaatsen zich naar de cloud, steeds meer apparaten (ook buiten het traditionele ict-domein) hebben een internetverbinding, en steeds meer organisaties zijn afhankelijk van permanente online bereikbaarheid. Waar vroeger een korte storing nog overkomelijk was, kan een paar uur onbereikbaarheid vandaag de dag al leiden tot grote financiële en maatschappelijke onrust.
De recente aanval op onderwijs- en zorginstellingen is dan ook niet zomaar een incident, maar eerder een illustratie van een bredere trend. Veel experts signaleren dat criminelen voortdurend zoeken naar nieuwe invalshoeken en zwaktes in onze digitale ecosystemen. Dns-reflectie is daarin een beproefde methode, mede omdat je er snel grote effecten mee kunt bereiken. Tegelijk is het voor de daders niet noodzakelijk om een eigen groot netwerk op te zetten. Ze misbruiken immers bestaande, legitieme dns-servers, waardoor hun werk grotendeels verplaatst wordt naar de infrastructuren die overal op het internet draaien.
Wat we zien, is dat deze aanvallen niet binnen een paar jaar zomaar zullen verdwijnen. Sterker nog, de verwachting is dat ze alleen maar frequenter en krachtiger worden. Elk nieuwsbericht over een succesvolle of grootschalige aanval kan fungeren als ‘voorbeeld’ voor andere criminelen. Daarnaast blijft de wereldwijde internetinfrastructuur onderhevig aan constante vernieuwing en uitbreiding, wat kansen biedt voor zowel verdediging als aanval. Maar zolang er manieren bestaan om dns-servers in te zetten als ongewilde handlangers in ddos-campagnes, is de dreiging van dns-reflectieaanvallen reëel.
Bij onderwijs- en zorginstellingen komt hier nog bij dat hun primaire focus vaak ligt op het faciliteren van onderzoek, onderwijs en zorg. Beveiliging is weliswaar belangrijk, maar door de veelheid aan verantwoordelijkheden en beperkte middelen kan het prioriteren van sterke digitale weerbaarheid een uitdaging zijn. Men is zich meestal bewust van de risico’s, maar de mogelijkheden om die risico’s te beteugelen zijn niet oneindig. Ook de verscheidenheid aan it-systemen en het grote aantal gebruikers (studenten, docenten, patiënten, onderzoekers) vergroot de complexiteit.
Zo kan een enkele aanval duizenden mensen direct treffen en indirect nog veel meer. Wanneer een website onbereikbaar is, staan niet alleen de lopende activiteiten stil, maar kan ook alle planning en organisatie daarachter ontwricht raken. De meeste universiteiten of ziekenhuizen hebben nooddraaiboeken voor als bepaalde systemen uitvallen, maar een goed gecoördineerde ddos-aanval kan zulke draaiboeken flink onder druk zetten. Tijdige communicatie richting alle betrokkenen is dan cruciaal, al is dat vaak juist het eerste wat in het gedrang komt wanneer de digitale omgeving platligt.
De situatie van vrijdagochtend, met “trage of geen internetverbinding” bij universiteiten, hogescholen, mbo’s, academische ziekenhuizen en onderzoeksinstituten, staat dan ook symbool voor een bredere uitdaging. We zijn steeds meer afhankelijk van een robuuste ict-infrastructuur in vrijwel alle sectoren van de samenleving. De groeiende mate van digitalisering maakt ons kwetsbaar voor partijen die ddos-aanvallen gebruiken om schade aan te richten, aandacht te trekken of hun eisen kracht bij te zetten. Dns-reflectieaanvallen zijn daarbij een doeltreffende en relatief laagdrempelige methode, waardoor het risico groot is dat deze vorm van cybercriminaliteit in de nabije toekomst nog vaker de kop opsteekt.
Ontdek meer over cybercrime en het darkweb in onze uitgebreide bibliotheek. Voor een gestructureerd overzicht van relevante onderwerpen kun je terecht op onze onderwerpenpagina, waar je een alfabetisch gerangschikte lijst vindt.