DDoS-bestrijding, vakspecialisten onder elkaar en gezelligheid tijdens het NaWas event

Op 8 juli 2021 vond het NBIP hybride NaWas event plaats. Vanuit de studio in Utrecht spraken onder leiding van Octavia de Weerdt verschillende vakspecialisten over actuele ontwikkelingen op het gebied van DDoS-bestrijding.

In de studio konden vanwege de coronapandemie maar een beperkt aantal gasten aanwezig. Ondanks dat een groot deel van de bezoekers het event bijwoonde op afstand was er genoeg interactie tussen de sprekers en de kijkers achter de computer. Via het chatscherm werden er volop vragen gesteld en de aanwezige sprekers beantwoorde deze met vol enthousiasme.

Octavia de Weerdt vervulde tijdens dit event de rol van moderator. Met haar technische achtergrond en uitgebreide vakkennis wist zij alle onderdelen op een leuke en interessante manier aan elkaar te praten. Ludo Baauw, in het dagelijkse leven CEO van Intermax, en tevens bestuurslid van NBIP, ondersteunde Octavia bij het beantwoorden en stellen van vragen. Dat deed hij zoals gewoonlijk met een buitengewoon goed ontwikkeld gevoel voor humor.

Het hybride event ging van start met een presentatie van Evert-Jan. Bij de NBIP is hij verantwoordelijk voor de afdeling Operations. Het is vaak hollen of stilstaan, vertelde hij de aanwezigen. Op basis van alerts gaan zijn collega’s en hij aan de slag om DDoS-aanvallen te mitigeren. Als de aanval is afgeslagen, ontvangt de deelnemer daarvan een rapportage. Ondanks dat het werk van de afdeling Operations voor een groot deel is geautomatiseerd, moet hij nog wel regelmatig de handen uit de mouwen steken voor manuele handelingen.

Detection as a Service (DaaS)

In het tweede deel van het event nam Pim van Stam, CTO van NBIP, het woord. In zijn presentatie stond een nieuwe dienst centraal: Detection as a Service, ofwel DaaS. Het betekent dat de NBIP vaststelt dat er een DDoS-aanval bij een deelnemer plaatsvindt. Tot nu neemt een deelnemer zelf contact op met NBIP bij een aanval. Het is de bedoeling dat de nieuwe dienst in twee varianten beschikbaar komt: DaaS on-premise en DaaS Online. Bij DaaS on-premise heeft de deelnemer een licentie van Flowmon Networks via NBIP en de oplossing is virtueel geïnstalleerd op eigen locatie met een direct of indirecte koppeling met NaWas. Bij DaaS Online neemt de NBIP de deelnemer al het werk uit handen. De detectie van de aanpassing vindt plaats bij NaWas en flowdata verloopt via een private LAN. BGP-koppelingen worden zowel bij deelnemers als bij NaWas gerealiseerd.

Als alles volgens plan verloopt, is de dienst DaaS dit jaar nog beschikbaar. De eerste proof of concept is inmiddels bijna afgerond en in het najaar zal een nieuwe proof of concept met meerdere deelnemers worden gedaan.

Na het aanschuiven van Frank Dupker, European Network Manager bij NBIP, bestuurslid Ludo Baauw aan hem of de NaWas nog voldoende capaciteit heeft om alle aanvallen het hoofd te bieden. “We hebben een model met drie lagen. We doen eerst een grove filtering, vervolgens doen we een mitigatiefiltering en daarna voeren we een fijnmazige intelligente filtering uit om het adres eruit te halen. We hebben momenteel genoeg capaciteit om elke aanval af te slaan.” verduidelijkte Frank Dupker.

Metadata over DDoS-aanvallen delen

Als derde spreker was Christian Hasselman van SIDN uitgenodigd. Hij vertelde over het Europese project voor het delen van DDoS-data en het Nederlandse deel van dit project. De resultaten van het Europese project worden in Nederland ingezet door de Anti-DDoS-Coalitie, waar ook de NBIP bij betrokken is. Het doel van het onderzoek is om de kritische Europese infrastructuur proactief te beschermen tegen DDoS-aanvallen. Het mitigeren van DDoS-aanvallen staat niet centraal. Waar het wel om gaat is het delen van metadata over DDoS-aanvallen tussen verschillende organisaties. In samenwerking met de Anti-DDoS-Coalitie zal hiervoor een pilot worden opgezet. Een tweede pilot voor dit project zal in Italië plaatsvinden.

De laatste spreker was Jeroen Niessen, Hoofd Cybercrimeteam Midden-Nederland van de politie. Hij vertelde dat de aanpak van de politie bestaat uit drie delen: opsporing, disruptie en preventie. In samenwerking met de FBI en NCA (National Crime Agency) halen ze aanbieders van DDoS-aanvallen offline. Ook zet de politie bij de bestrijding van DDoS-aanvallen AdWords in. Op het moment dat iemand via Google zoekt naar aanbieders van DDoS-aanvallen op bestelling, verschijnt een advertentie van de politie met daarin een waarschuwing. Deze campagne is eerder uitgevoerd door de NCA en het bleek dat het een positief effect had op het aantal DDoS-aanvallen.