Organisaties wapenen zich steeds beter tegen aanvallen met bots en scrapers
De ontwikkeling van de geavanceerde DDoS-aanval
4 juni 2019 -
Ongeveer de helft van alle traffic naar websites bestaat uit bots, scrapers en andere geautomatiseerde snuffelaars. Deze kunnen organisaties helpen, zoals de bots van Google en ketenpartners doen, maar ook schaden.
Denk hierbij aan bots van bijvoorbeeld concurrenten of hackers. In negatieve zin worden bots en scrapers gebruikt om zowel bedrijfsinformatie en persoonlijke informatie te stelen, als om de website plat te leggen. Simon van den Bos van Motiv vindt het dan ook niet verwonderlijk dat bots en scrapers worden ingezet voor DDoS-aanvallen.
Bots en scrapers als aanvalstechniek
Steeds meer organisaties nemen de beveiliging tegen DDoS-aanvallen serieus. Van den Bos licht toe: "Op dit moment richt die beveiliging zich vooral op het voorkomen van aanvallen waarbij veel verkeer gegenereerd wordt met als doel het onbruikbaar maken van de internetverbinding en daarmee de applicaties. Deze volume aanvallen, waarbij lukraak sites worden getarget, werken dankzij de genomen maatregelen veelal niet meer. Daarom hebben hackers hun aanvalstechnieken verder ontwikkeld en richten ze zich steeds meer op het overbelasten van applicaties van zorgvuldig gekozen organisaties met grote hoeveelheden ‘legitieme’ verzoeken. Men zou hiermee kunnen stellen dat DDoS-aanvallen geavanceerder worden en bots en scrapers worden ingezet om hun doel te bereiken: het onbeschikbaar maken van de webapplicatie(s). Eind vorig jaar werden verschillende banken, iDeal en DigiD hierdoor getroffen en op 9 april j.l. was Magister nog doelwit van een dergelijke aanval en konden honderden scholen niet met ouders en leerlingen communiceren en konden leerlingen hun roosters niet inzien."
De ontwikkeling van de geavanceerde DDoS-aanval
"De aanval wordt geavanceerd, omdat hackers eerst uitzoeken hoe de applicatie gebruikt wordt, voordat ze hun bots of scrapers op de applicatie loslaten. Zij observeren eerst wat ‘normaal’ gedrag is en kopiëren dat vervolgens eindeloos. Door bijvoorbeeld heel vaak te pogen in te loggen gaan de site, applicaties en/of systemen toch plat. Dit soort aanvallen wordt niet gedetecteerd door beschermingsmaatregelen tegen standaard DDoS volumeaanvallen. Deze blokkeren alleen bots en scrapers die abnormaal gedrag vertonen. Een geavanceerde aanval moet eigenlijk al stoppen voordat deze de infrastructuur of applicatie bereikt," verduidelijkt van den Bos.
Wapens tegen geavanceerde aanvallen
Organisaties doen er geen goed aan om de preventie tegen aanvallen volledig bij een leverancier neer te leggen. "Om te voorkomen dat uw klanten last hebben van geavanceerde DDoS-aanvallen, is namelijk van cruciaal belang dat u samenwerkt. De leverancier bekijkt allereerst welke bots en scrapers bij normaal verkeer op de website komen. Er wordt vervolgens samen met de organisatie geanalyseerd welke bots en scrapers wel toegang moeten hebben tot de website en welke niet. Dit is namelijk lang niet voor iedere organisatie hetzelfde." Wat zijn redenen om bots of scrapers uit te sluiten? Van den Bos vertelt: "De eerste reden is op basis van reputatie: is een bepaalde bot of scraper al bekend als malafide? Komen er bijvoorbeeld veel verzoeken uit een land waar de organisatie helemaal niet actief is? Dan is het raadzaam om deze bot of scraper te blokkeren. De tweede is op basis van gedrag. Een bot of scraper gedraagt zich anders dan een gebruiker. Ook dat kan gedetecteerd worden en op basis daarvan is uitsluiting of vertraging van de sessie mogelijk. De kunst is om zo weinig mogelijk legitieme verzoeken tegen te houden, dit vereist goede samenwerking met de leverancier."
Belangrijke voorwaarden oplossing
De volgende vraag is natuurlijk: hoe wordt de juiste leverancier gekozen. Ook daar heeft van den Bos enkele tips voor: "Het is belangrijk dat de leverancier een uitgebreid netwerk met grote mitigatiecapaciteit heeft. Des te uitgebreider het netwerk van de leverancier, des te effectiever de mitigatie werkt. Bij voorkeur bevinden zich zoveel mogelijk systemen in het cloudnetwerk. Op die manier is een geavanceerde aanval namelijk zo dicht mogelijk bij de bron af te wenden. Wanneer er alleen DDoS mitigatiedatacenters in Nederland staan en er vanuit het buitenland een aanval wordt uitgevoerd, komt een aanval de Nederlandse infrastructuur op en wordt deze dan pas gedetecteerd. Hier kunnen organisaties al last van hebben, omdat het netwerk langzamer wordt. Het is dus belangrijk de aanvallers al te stoppen in het land van herkomst, dat kan alleen als daar ook datacenters en sensoren zijn."
Tot slot vindt Van den Bos dat er ook al veel goed gaat bij Nederlandse organisaties. "Het is een positieve ontwikkeling dat bescherming tegen DDoS-aanvallen door veel organisaties serieus wordt genomen. Helaas leidt dat ertoe dat ook hackers nieuwe manieren zoeken om hetzelfde te bereiken. Gelukkig zijn ook deze aanvallen af te wenden en worden organisaties steeds weerbaarder. Beschikbaarheid en betrouwbaarheid zijn namelijk belangrijke aspecten voor een klant. Met een weloverwogen bot en scraper strategie heeft u de strijd al half gewonnen."
