DDoS-bescherming en firewalls

Stel je voor dat veel mensen tegelijk een kleine winkel bellen om iets te bestellen. Als er te veel mensen bellen, komt niemand erdoor en kan de winkel geen echte klanten helpen.

Dit lijkt op een Distributed Denial of Service (DDoS)-aanval. Het is een poging om een online dienst onbeschikbaar te maken door deze te overspoelen met verkeer uit meerdere bronnen.

Het doel is om systeembronnen uit te putten, waardoor legitieme gebruikers geen toegang meer krijgen tot de dienst.

DDoS-aanvallen zijn niet allemaal hetzelfde. Ze kunnen verschillende lagen van een systeem aanvallen:

• Volumetrische aanvallen: Deze proberen alle beschikbare bandbreedte te verbruiken met enorme hoeveelheden verkeer, als bij een overstroming.
• Protocolaanvallen: Deze maken misbruik van zwakke plekken in netwerkprotocollen (zoals TCP/IP) om serverbronnen uit te putten, vaak door misvormde of buitensporig veel verzoeken te versturen.
• Aanvallen op de applicatielaag: Deze richten zich op specifieke kwetsbaarheden in webapplicaties. Het doel is servers te laten crashen of applicatiebronnen te verbruiken met ogenschijnlijk legitieme maar zware verzoeken (bijvoorbeeld voortdurend zoeken in een database).

Voor geavanceerde aanvallen zijn gespecialiseerde hulpmiddelen nodig, maar enkele eenvoudige verdedigingsmaatregelen kunnen helpen:

• Verzoeklimitering: Hiermee wordt het aantal verzoeken beperkt dat een gebruiker of IP-adres binnen een bepaalde periode mag doen. Dit helpt voorkomen dat één bron je server overbelast.
• Ingress-filtering: Deze techniek blokkeert netwerkpakketten met vervalste (valse) IP-adressen van de bron. Dit helpt aanvallers te verhinderen hun identiteit te verbergen.

Deze methoden vormen een eerste verdedigingslinie, maar zijn vaak onvoldoende tegen grootschalige aanvallen.

Voor robuuste bescherming tegen grote DDoS-aanvallen zijn gespecialiseerde diensten vaak onmisbaar. Deze diensten fungeren als een schild:

• Ze vangen enorme hoeveelheden kwaadaardig verkeer op, ver weg van je servers.
• Ze gebruiken geavanceerde algoritmen om slechte verzoeken eruit te filteren, zodat alleen legitiem verkeer je applicatie bereikt.

Voorbeelden zijn cloudgebaseerde diensten voor DDoS-bescherming (bijvoorbeeld AWS Shield en Azure DDoS Protection) en Content Delivery Networks (CDN's) zoals Cloudflare, die ingebouwde DDoS-bestrijding bieden.

Een firewall is een netwerkbeveiligingssysteem dat inkomend en uitgaand netwerkverkeer bewaakt en beheert op basis van vooraf bepaalde beveiligingsregels. Zie het als een bewaker bij de ingang van je netwerk.

• De firewall vormt een barrière tussen een vertrouwd intern netwerk en niet-vertrouwde externe netwerken (zoals het internet).
• Het belangrijkste doel is ongeoorloofde toegang te voorkomen en kwaadaardig verkeer te blokkeren.

Firewalls zijn er in verschillende vormen:

• Packetfilterende firewalls: Deze onderzoeken netwerkpakketten afzonderlijk en staan ze toe of blokkeren ze op basis van bron- en bestemmings-IP-adressen, poorten en protocollen. Ze werken op de netwerklaag.
• Firewalls met stateful inspectie: Deze geavanceerdere firewalls houden de status van actieve verbindingen bij. Ze weten of een pakket deel uitmaakt van een bestaande, legitieme sessie.
• Proxyfirewalls: Deze fungeren als tussenpersoon tussen clients en servers, inspecteren verkeer op de applicatielaag en verbergen de interne netwerkstructuur.
• Hostgebaseerde firewalls: Deze draaien op afzonderlijke servers of apparaten en beschermen die rechtstreeks, in plaats van de volledige netwerkperimeter.

Firewalls werken op basis van een reeks regels. Elke regel specificeert criteria voor verkeer en een actie (toestaan of weigeren).

Veelgebruikte criteria zijn:

• Bron-/bestemmings-IP-adres: Wie verzendt of ontvangt?
• Bron-/bestemmingspoort: Welke service wordt gebruikt (bijvoorbeeld poort 80 voor HTTP en 22 voor SSH)?
• Protocol: Is het TCP, UDP of ICMP?

Regels worden in volgorde verwerkt en de eerste overeenkomende regel bepaalt de actie. Een gebruikelijke configuratie weigert standaard al het verkeer en staat alleen verkeer toe waarvoor expliciet toestemming is gegeven.

Een webapplicatiefirewall (WAF) is een specifiek type firewall dat is ontworpen om webapplicaties te beschermen tegen veelvoorkomende webaanvallen.

• In tegenstelling tot traditionele netwerkfirewalls begrijpen WAF's HTTP/HTTPS-verkeer grondig.
• Ze kunnen aanvallen zoals SQL-injectie, cross-sitescripting (XSS) en andere kwetsbaarheden uit de OWASP Top 10 detecteren en blokkeren.

WAF's staan vóór webservers en inspecteren binnenkomende aanvragen en uitgaande antwoorden om schadelijke patronen eruit te filteren.

Firewalls zijn essentiële onderdelen van een gelaagde beveiligingsaanpak. Ze kunnen op verschillende punten worden geplaatst:

• Perimeterfirewalls: Beschermen de volledige netwerkgrens tegen het internet.
• Interne firewalls: Segmenteren verschillende delen van een intern netwerk (bijvoorbeeld door een databaseserver van een webserver te scheiden) om de zijdelingse verplaatsing van aanvallers te beperken.
• Cloudnative firewalls: Beheerde services van cloudproviders, geïntegreerd met virtuele netwerken en beveiligingsgroepen.

Een sterke beveiligingspositie omvat vaak meerdere firewalls op verschillende punten.

In deze les hebben we belangrijke aspecten van systeembeveiliging verkend: DDoS-bescherming en firewalls.

• We hebben geleerd dat DDoS-aanvallen systemen proberen te overbelasten en voorkomen als volumetrische aanvallen, protocolaanvallen en aanvallen op de applicatielaag.
• Basisverdedigingen zoals snelheidsbeperking en ingressfiltering helpen, maar gespecialiseerde DDoS-beperkingsservices zijn essentieel bij grote aanvallen.
• Firewalls fungeren als beveiligingsbewakers die verkeer filteren op basis van regels. Verschillende typen (pakketfilterend, stateful en WAF's) bieden verschillende beschermingsniveaus.

Het begrijpen en implementeren van deze beschermingsmaatregelen is essentieel voor het bouwen van veerkrachtige en veilige systemen.