Het begint met een commando. Een enkele regel code die naar de donkere hoeken van het internet wordt gestuurd. Plotseling beginnen duizenden machines – gecompromitteerd, onbewust en in feite zombieachtig – op één enkel doelwit te hameren. Het doel is brute kracht. De methode is overweldigend volume. Dit is een Distributed Denial of Service -aanval, of kortweg DDoS.
Legitieme gebruikers zien een website tot stilstand komen. Dan verdwijnt het. De server is simpelweg te druk bezig met het verwerken van valse verzoeken om echte verzoeken te beantwoorden. Het is geen hack in de traditionele zin; er worden geen gegevens gestolen, geen wachtwoorden gekraakt. Het is een digitale verkeersopstopping die is ontworpen om een ongeval te veroorzaken.
De illusie van onschuld
De basismechanica is grof. Een cracker bestuurt een botnet, een netwerk van geïnfecteerde computers, en geeft hen de opdracht herhaaldelijk een specifieke server te pingen. De verkeerspiek is het wapen. Maar slimme aanvallers zijn geëvolueerd. Ze sturen niet langer alleen zelf de aanval. Ze gebruiken onschuldige systemen als schilden en spiegels.
Deze techniek is gebaseerd op iets dat reflectie wordt genoemd. De aanvaller stuurt een verzoek naar een server van een derde partij, een zogenaamde reflector. Cruciaal is dat ze het bron-IP-adres in dat verzoek vervalsen, zodat het lijkt alsof het afkomstig is van het daadwerkelijke slachtoffer. De reflector ontvangt het verzoek, gaat ervan uit dat het een legitieme vraag is en stuurt een antwoord terug naar het vervalste adres: het slachtoffer.
Nu wordt het slachtoffer niet alleen overspoeld door het botnet, maar ook door tientallen of honderden reflectoren. Voor het slachtoffer lijkt het alsof de reflectoren hem aanvallen. Voor de reflectoren lijkt het erop dat het slachtoffer het verzoek heeft gedaan. De zombiecomputers blijven verborgen achter dit gordijn van verkeerde informatie. De cracker blijft volledig onzichtbaar.
Beroemde doelwitten en gevaarlijke namen
Dit is niet theoretisch. Grote spelers hebben de klap gevoeld. Microsoft werd het slachtoffer van een DDoS-aanval die verband hield met de MyDoom-worm. Amazon, CNN, Yahoo en eBay zijn allemaal het doelwit. De aanvallen worden geleverd met namen die variëren van technisch tot duister humoristisch.
- Ping of Death : Bots genereren te grote datapakketten. Wanneer het slachtoffer ze probeert te verwerken, worstelt het systeem of faalt het.
- Mailbomb : een stortvloed aan e-mails die naar crashende mailservers worden verzonden.
- Smurfaanval : een specifiek type reflectieaanval waarbij gebruik wordt gemaakt van ICMP-berichten (Internet Control Message Protocol). Bots sturen deze berichten naar reflectoren, die vervolgens antwoorden naar het slachtoffer uitzenden.
- Teardrop : Bots verzenden gefragmenteerde pakketten. Het slachtoffer probeert ze weer in elkaar te zetten, maar de fragmenten zijn misvormd, waardoor een crash ontstaat.
Het beheerdersdilemma
Als de storm eenmaal losbarst, heeft de systeembeheerder vaak nog maar weinig goede opties. Ze zouden het binnenkomende verkeer kunnen afremmen. Maar daarmee worden zowel legitieme gebruikers als aanvallers afgesloten. Het is een defensieve zet die het bedrijfsleven schaadt.
Filteren is een ander pad. Als je weet waar de aanval vandaan komt, kun je die IP’s blokkeren. Het probleem? Vervalste adressen maken dit bijna onmogelijk. De zombies gebruiken hun echte identiteit niet. Ze liegen. Het verkeer lijkt overal en nergens tegelijk te komen.
Scriptkiddies en echte gevolgen
Niet alle aanvallers zijn geavanceerde natiestaten. Sommigen zijn tieners met te veel tijd en te weinig toezicht. Op 4 mei 2001 haalde een 13-jarige GRC.com, de site van Gibson Research Corporation, offline. De ironie was voelbaar: een site gewijd aan internetbeveiliging werd offline gehaald door iemand die waarschijnlijk niet volledig begreep welke mechanismen ze hanteerden.
Dan is er nog de zaak in Hanoi, Vietnam, in 2006. De politie arresteerde een tweedejaarsstudent van de middelbare school wegens het organiseren van een DDoS tegen de Nhan Hoa Software Company. Zijn motief? Hij vond de website niet leuk. Geen grote politieke verklaring. Geen financieel gewin. Gewoon ondanks.
Deze verhalen benadrukken een rommelige realiteit. De tools om servers uit te schakelen zijn toegankelijk. De motivaties variëren van ideologisch tot triviaal. En de slachtoffers? Ze moeten het wrak opruimen en zich afvragen hoe ze een overstroming kunnen stoppen die uit alle richtingen tegelijk lijkt te komen.
Wat gebeurt er als het water hoger stijgt? En wie betaalt de schade?
