DDoS-aanval op je website: herkennen en aanpakken

Je website laadt ineens traag, geeft een 503-foutmelding of is helemaal niet meer bereikbaar. Je hebt niets aangepast, er is geen update geweest en toch kijken je klanten tegen een leeg scherm aan. Een DDoS-aanval op je website is dan een van de dingen die kunnen spelen.

Een DDoS-aanval (Distributed Denial of Service) komt erop neer dat een grote groep computers tegelijk je site bestookt, zodat de server het niet meer bijhoudt. Het is geen inbraak. Er wordt niets gestolen, de deur wordt gewoon door duizenden mensen tegelijk geblokkeerd. Hieronder lees je hoe je het herkent, wat je in het eerste uur doet en wat ervoor zorgt dat het de volgende keer niet meer raak is.

Hoe herken je een DDoS-aanval op je website?

Eén los signaal zegt weinig. Een trage site kan ook aan een zware plugin liggen. Maar als meerdere dingen tegelijk gebeuren, en vooral als ze plotseling beginnen, wordt het verdacht. Let op deze signalen:

• Je site is ineens traag of onbereikbaar, ook op pagina’s die normaal razendsnel laden, zoals je contactpagina.
• 503-fouten (Service Unavailable) of time-outs. De server geeft aan dat hij het even niet aankan.
• Een piek in je verkeer zonder duidelijke reden. Geen nieuwsbrief, geen advertentie, geen vermelding ergens.
• Bezoekers die allemaal hetzelfde doen: duizenden verzoeken op dezelfde pagina, of op je inlogpagina, zoekfunctie of winkelwagen.
• Verkeer uit landen waar je geen klanten hebt, of een stroom bezoekers met vrijwel dezelfde browsergegevens.
• Ook je e-mail of andere diensten op dezelfde server haperen.
• Een melding van je hoster dat er ongewoon veel verkeer binnenkomt of dat je server overbelast is.

Je ziet dit in de statistieken of logbestanden van je hosting. Weet je niet waar je moet kijken, vraag het dan aan je hoster. Die ziet meestal binnen enkele minuten of het om een aanval gaat.

DDoS of gewoon druk? Zo maak je het onderscheid

Niet elke piek is een aanval. Een geslaagde actie of een tv-vermelding levert ook plotseling veel bezoekers op. Het verschil zit in het patroon.

Een kleine kanttekening: ook een kapotte plugin, een script dat in een lus blijft hangen of een zoekmachinebot die te enthousiast crawlt kan je server plat krijgen. Het lijkt dan op een aanval, maar het is zelfveroorzaakt. Daarom is de eerste stap altijd eerst kijken wat er binnenkomt.

Wat doe je direct bij een DDoS-aanval?

Je hoeft geen techneut te zijn om de eerste stappen te zetten. Dit is een volgorde die werkt:

1. Bel of mail je hoster. Meld dat je een aanval vermoedt, sinds wanneer het speelt en welke pagina’s last hebben. Een goede hoster kan verkeer filteren op netwerkniveau, en dat kun jij zelf niet.
2. Schakel niet blind alles uit en weer aan. Een herstart van de server geeft hooguit even lucht. De aanval gaat gewoon door.
3. Controleer of het echt een aanval is. Kijk of er recent iets is veranderd: een nieuwe plugin, een update, een campagne. Zo sluit je zelfveroorzaakte problemen uit.
4. Zet grenzen per bezoeker. Met rate limiting bepaal je hoeveel verzoeken één adres per minuut mag doen. Hoe dat werkt lees je in ons stuk over rate limiting en eigen grenzen per adres.
5. Blokkeer verdachte adressen, maar verwacht er weinig van. Bij een echte DDoS-aanval komen de verzoeken van zoveel verschillende adressen dat handmatig blokkeren een dweilende man bij een open kraan is.
6. Informeer je klanten. Een korte melding op social media of per mail (“onze site heeft last van een storing, we werken eraan”) scheelt telefoontjes en vertrouwen.
7. Bewaar bewijs. Maak screenshots van statistieken en bewaar logbestanden. Dat heb je nodig als je aangifte wilt doen of een verzekeraar het wil zien.

Wat als er geld wordt gevraagd?

Soms komt er tijdens of vlak na een aanval een bericht dat het stopt als je betaalt. Betaal niet. Er is geen garantie dat het ophoudt, en je laat zien dat je betaalt. Bewaar het bericht, meld het bij je hoster en overweeg aangifte.

Wat een DDoS-aanval met je bedrijf doet

De schade zit zelden in de aanval zelf, maar in wat er tijdens de storing niet gebeurt. Een webshop die een middag offline is, verliest bestellingen. Een dienstverlener met een onbereikbare site mist aanvragen. Ook zoekmachines merken het: ligt je site vaak plat, dan kan dat je vindbaarheid niet helpen.

Daarnaast gebruiken sommige aanvallers de chaos als rookgordijn. Terwijl iedereen naar de trage site kijkt, wordt er ergens anders iets geprobeerd, zoals inloggen met gestolen wachtwoorden. Controleer na een aanval dus ook of er niets is veranderd op je site. Staat je WordPress-site er raar bij, dan helpt ons stuk website gehackt: wat te doen in de eerste 24 uur.

Welke bescherming voorkomt een DDoS-aanval?

Je kunt een aanval niet tegenhouden door je eigen server sterker te maken. Een aanval kan altijd groter zijn dan jouw server. Wat wel werkt, is het verkeer opvangen en filteren voordat het je server bereikt. Dat zit in een paar lagen:

• Filtering op netwerkniveau. Rommelverkeer wordt weggehaald voordat het je website raakt. Bij een goede hoster zit dit standaard in het pakket. Bij Netslim valt standaard anti-DDoS-bescherming onder je hosting, op servers in ISO 27001-datacenters in Duitsland.
• Bescherming aan de rand van je site. Een laag die tussen bezoeker en server zit, herkent bots en onnatuurlijk gedrag en laat echte bezoekers door.
• Rate limiting. Een bezoeker die in een paar seconden honderden pagina’s opvraagt, is geen bezoeker. Die zet je op de rem.
• Caching. Pagina’s die al klaarstaan, hoeven niet bij elk verzoek opnieuw opgebouwd te worden. Dat verlaagt de belasting aanzienlijk, ook bij gewoon drukke dagen.
• Bewaak je site. Hoe eerder je merkt dat er iets mis is, hoe sneller je kunt handelen. Een melding per mail of sms bij een storing, zoals bij Serverwacht, scheelt je uren in het onwetende.

Een eigen server of VPS zonder filtering is het kwetsbaarst. Daar draag je zelf de volledige last, en een relatief kleine aanval kan al genoeg zijn om je offline te halen.

Wat je nu concreet doet

Ligt je site op dit moment plat, begin dan bij stap 1 hierboven en neem contact op met je hoster. Is het rustig, gebruik die rust dan:

1. Draai de gratis website-check. Je ziet hoe snel je site is en of je beveiligingsheaders kloppen, zodat je weet waar je staat voordat het misgaat.
2. Vraag je hoster wat er standaard aan DDoS-bescherming is inbegrepen, en vanaf welk punt ze ingrijpen. Krijg je geen helder antwoord, dan is dat ook een antwoord.
3. Zet een melding op uptime aan, zodat jij het eerst weet en niet je klant.
4. Bedenk vooraf wie wat doet als de site eruit ligt: wie belt de hoster, wie informeert klanten. Dat kost een kwartier en bespaart paniek.

Wil je dat de bescherming gewoon geregeld is, dan komt dat bij onze webhosting standaard mee. Dan hoef je er niet zelf over na te denken en kijkt er tijdens een aanval iemand mee die het dagelijks doet.

Veelgestelde vragen

Hoe lang duurt een DDoS-aanval meestal?

Dat verschilt sterk. Sommige aanvallen duren maar enkele minuten, andere gaan uren of dagen door, soms met pauzes ertussen. Je kunt de duur niet voorspellen, dus het is verstandig om bescherming te hebben voordat het begint.

Is een DDoS-aanval strafbaar?

Ja, het opzettelijk onbereikbaar maken van andermans website is in Nederland strafbaar. Je kunt er aangifte van doen. Bewaar daarvoor screenshots en logbestanden van het moment dat het gebeurde.

Kunnen hackers via een DDoS-aanval gegevens stelen?

Zelf stelen ze er niets mee, want de aanval overbelast alleen je server. Soms wordt het wel als afleiding gebruikt terwijl er ergens anders iets wordt geprobeerd. Controleer na een aanval daarom ook je beheeraccounts en bestanden.

Waarom zou iemand mijn kleine website aanvallen?

Vaak is het niet persoonlijk. Redenen variëren van een conflict of een afperspoging tot een concurrent, een gamer met een grief of een aanvaller die oefent. Ook kleine sites worden geraakt, omdat die minder beschermd zijn.