Forse ddos-aanvallen en nerdgrapjes tijdens nachtelijke oefening overheid | Tech

[ad_1]

Bijna dagelijks krijgen overheidsdiensten zoals DigiD en de Belastingdienst ddos-aanvallen voor de kiezen. Die aanvallen kunnen websites en apps platleggen. Overheidsorganisaties en het bedrijfsleven komen twee keer per jaar een hele nacht samen om te trainen op ddos-aanvallen. En dan halen ze alles uit de kast. Dit keer was NU.nl erbij.

“Let op, we komen straks met de aanval ‘DJ Paul Elstak’.” Er drommen wat mensen samen rond de computer van Tristan. Hij zit vannacht in het aanvalsteam, tijdens een test of de overheid bestand is tegen grote ddos-aanvallen. De aanvallen hebben de gekste namen. DJ Paul Elstak is er een van, vernoemd naar de hardcore-dj uit de jaren negentig. “We gooien een paar aanvallen in de mix.”

Er wordt vannacht geoefend in het kantoorpand van de Belastingdienst in Apeldoorn. Vanaf 2.00 uur druppelen de eerste mensen binnen. Ondanks het tijdstip regent het ‘goedemorgens’. De deelnemers zien er fris uit en hebben er zin in.

Er is een rood team dat aanvalt en een blauw team dat verdedigt. De teams bestaan uit leden van de Anti-ddos-Coalitie. Dit verbond bestaat uit verschillende organisaties zoals de Belastingdienst, Logius (van DigiD en MijnOverheid), onderzoeksinstituut Nikhef, Rijkswaterstaat, .nl-domeinbeheerder SIDN en het Kadaster.

De teams zitten in ruimtes die zijn gescheiden door een hal. Daar staan snacks, frisdrank en energiedrankjes om de nacht door te komen. Het rode team heeft vooraf een aanvalsplan gemaakt. Het blauwe team moet de aanvallen zien af te weren.

Aanvallen worden constant gemonitord door het blauwe team. Foto: Tamara Heck.

Illegale aanvallen uitvoeren geeft een kick

Voordat de oefening begint, neemt Karl Lovink de spelregels nog eens door met de tachtig deelnemers. Lovink werkt als hoofd van het beveiligingsteam bij de Belastingdienst en leidt vannacht deze oefening. Deelnemers bij rood hebben speciale toestemming gekregen om aanvallen uit te voeren die normaal gesproken illegaal zijn. Dat geeft een kick.

Het blauwe team heeft de grootste ruimte. Rijen met computers kijken uit op een imposante muur die vol hangt met schermen. Het heeft wel iets weg van een NASA-controlecentrum. Op de schermen staan metertjes en grafieken die de hoeveelheid data aangeven die door het rode team worden afgevuurd. Ook staat er welke websites op dat moment in de problemen zijn.

Wat is een ddos-aanval ook alweer?

Ddos staat voor distributed denial of service. Vaak stuurt een partij bij zo’n aanval zó veel zogenaamde bezoekers op een server af, dat die bezwijkt. Websites of diensten werken daardoor trager of helemaal niet.

Een aanvaller kan de boel met een dddos-aanval platleggen, maar kan geen gevoelige informatie stelen. Wel kan een aanvaller een ddos-aanval uitvoeren om bijvoorbeeld een slachtoffer af te persen. Betaal je? Dan houdt de aanval op.

Inloggen op DigiD lukt niet meer

Tijdens de oefening worden echte (vaak zware en nieuwe soorten) aanvallen uitgevoerd. Diensten kunnen daardoor daadwerkelijk plat komen te liggen. Om zo min mogelijk overlast te veroorzaken is de test ’s nachts. Ook zijn er afspraken gemaakt met providers die het verkeer verwerken. “Normaal zijn ddos-aanvallen kleiner”, zegt Lovink. “Vannacht worden de grenzen opgezocht.”

Een aantal keer is het raak. “Ja hoor, het is helemaal stuk!”, roept iemand van het rode team triomfantelijk. Inloggen op DigiD lukt niet meer. Even later heeft de aanval de hele website zo te grazen, dat alle vormgeving is verdwenen. “Helaas kunt u niet inloggen”, staat er in platte tekst. “Het is op dit moment erg druk bij DigiD. Te veel mensen willen tegelijk inloggen.”

Een ddos-aanval hoeft niet per se een gigantische stortvloed aan verkeer te zijn. Nieuwere aanvallen werken slimmer. Soms is er juist weinig verkeer nodig. Bijvoorbeeld als er een vraag naar een server wordt gestuurd die veel tijd kost om te beantwoorden. Tristan vergelijkt het met een lunchtent. “Als je vraagt om een speciaal broodje, duurt dat langer om te maken dan een simpel broodje kaas.”

Meer dan digitaal kattenkwaad

Dat tachtig man van verschillende organisaties samenwerken om ddos-aanvallen af te weren is uniek, zegt Octavia de Weerdt van de Nationale Beheersorganisatie Internet Providers. De aanwezige partijen delen hun kennis om er allemaal beter van te worden. “Ddos-aanvallen gaan verder dan digitaal kattenkwaad”, zegt De Weerdt. “Ze kunnen de maatschappij ontwrichten en leveren criminelen veel geld op.”

Volgens Lovink leren organisaties tijdens de oefening manieren om nieuwe ddos-aanvallen aan te pakken. “We zullen hierna aanpassingen doen”, zegt hij zonder in detail te treden.

Een ddos-aanval kan onder meer het betaalverkeer platleggen.

PostNL-shirts en afleidingmanoeuvres

Iemand heeft een PostNL-shirt aangetrokken. “Ik verstuur pakketjes”, zegt hij. Nerd-grapje. Hij verwijst naar de grote stromen verkeer die hij op de site van de Belastingdienst afvuurt. Daarmee krijgt hij de lachers op zijn hand.

Zo gebeuren er wel meer gekke dingen tijdens de oefening. Het is inmiddels half zes. Op de televisie bij team blauw zijn aan de lopende band grappige filmpjes te zien. Werk van Tristan. Een tactiek om het verdedigende team af te leiden. Die blijven er trouwens redelijk koel onder. Al kunnen ze het soms niet laten om richting de tv te grinniken.

Geslaagde aanvallen

Dat het ondertussen menens is, blijkt uit de aanvallen die slagen. Af en toe wordt zoveel gas gegeven door het rode team, dat de website van een provider eruit knalt. Toch gaat er ook veel goed. Als er 1 terabit per seconde naar de Belastingdienst wordt gestuurd, blijven de diensten wonderwel grotendeels intact.

“Het meeste wordt automatisch gefilterd”, zegt een deelnemer van team blauw. Algoritmes herkennen verdacht verkeer en gedrag. Die kunnen bepaalde aanvallen afwenden voordat diensten er last van krijgen.

Soms worden deze back-ups expres uitgezet. Dan wordt bekeken hoe goed de menselijke verdediging is. De aanvallers zijn creatief. “We hebben zoveel mail naar de Belastingdienst gestuurd, dat de mailbox helemaal vol zit”, zegt Tristan. “Ze belden dat we moesten stoppen.”

De werkplek van team blauw. Informatie op de schermen is vanwege de veiligheid vervaagd. Foto: Tamara Heck.

Ook ddos-aanvallen veranderen steeds

Tegen het einde van de oefening zijn de meeste deelnemers nog vrij fit. Met dank aan de energiedrankjes en de kick van het kat-en-muisspel tussen de teams. Lovink kijkt terug op een geslaagde oefening.

Tot echt ontwrichtende situaties leidde het niet, maar er wordt niet achterover geleund. “Ddos-aanvallen veranderen continu”, zegt Lovink. “Ze worden zwaarder en slimmer, dus is het belangrijk om ze altijd een stap voor te blijven. Het is een soort digitale wedloop geworden. Als je niets doet, verlies je de wedstrijd.”

[ad_2]

https://www.nu.nl/tech/6250261/forse-ddos-aanvallen-en-nerdgrapjes-tijdens-nachtelijke-oefening-van-de-overheid.html