Hvad er et DDoS-angreb?

Når valgresultater skal tælles op og offentliggøres, kan vigtige websites blive lagt ned i flere timer. Det kan skyldes et overbelastningsangreb – et såkaldt DDoS-angreb – og ikke nødvendigvis en teknisk fejl. Denne type angreb har blandt andet ramt myndigheder, medier og banker i en række lande.

Et DDoS-angreb går ud på, at et stort antal enheder sender trafik mod det samme mål på én gang. Formålet er at overbelaste systemet, så brugerne ikke længere kan få adgang til tjenesten. DDoS står for Distributed Denial of Service. Det er en type cyberangreb, som nationale cybersikkerhedsmyndigheder jævnligt advarer om i deres trusselsvurderinger.

Sådan overbelastes en server under et angreb

En angriber, der vil lægge et website ned, kan gøre det på to måder. Den ene er at udnytte en sårbarhed i softwaren, så serveren går ned. Den anden og mest udbredte metode er at sende så mange forespørgsler til serveren, at den ikke længere kan nå at svare de almindelige besøgende. Trafikken kan ligne helt normal brug af nettet, men mængden er langt større end normalt. Under et angreb mod medier i marts 2016 målte operatørerne en spidsbelastning på 50 Gbit/s med trafik fra flere forskellige lande.

Serveren kan ikke nå at skelne den falske trafik fra den legitime. Resultatet svarer til, at et stormagasin pludselig får titusindvis af mennesker ind på én gang: De almindelige kunder kan slet ikke komme frem til kassen. Websitet, loginfunktionen og de bagvedliggende systemer bliver utilgængelige – nogle gange i flere timer og andre gange i flere døgn.

Tre typer av angrep

Trafikken mot et mål kan deles inn i tre hovedkategorier. Volumetriske angrep fyller båndbredden med søppeldata, for eksempel gjennom forespørsler til åpne DNS-servere som returnerer langt større svar enn den innkommende pakken. Dette kalles DNS-amplifisering.

Protokollangrep utnytter hvordan internettprotokollene er bygget opp. En klassisk variant er SYN-flooding, der angriperen oppretter tusenvis av ufullstendige TCP-forbindelser som serveren må holde styr på. Serverens tilkoblingstabell fylles opp, og den kan ikke lenger ta imot flere legitime forbindelser.

Applikasjonsangrep, ofte kalt lag 7-angrep, retter seg direkte mot webapplikasjonen. Det kan dreie seg om gjentatte forespørsler mot en søkeside eller en betalingsfunksjon som krever mye beregningskraft. Trafikkmengden trenger ikke å være stor dersom hvert kall krever mye av serveren.

Botnet af kaprede enheder

Et moderne DDoS-angreb kommer sjældent fra en enkelt computer. Trafikken kommer fra et botnet – et netværk af tusindvis eller millioner af enheder, som angriberen fjernstyrer. Det kan være almindelige hjemmecomputere, men også tilsluttede kameraer, routere og andre IoT-enheder med svage adgangskoder.

I 2016 satte Mirai-botnettet rekord ved at kapre overvågningskameraer og digitale tv-bokse til et angreb mod DNS-tjenesten Dyn, som i flere timer lagde store dele af det amerikanske internet ned. Botterne installeres ofte via skadelig software, der automatisk spreder sig mellem utilstrækkeligt beskyttede enheder.

Da angrebet kommer fra mange forskellige IP-adresser, er det ikke nok at blokere en enkelt kilde. Beskyttelsen skal kunne filtrere den skadelige trafik fra uden samtidig at afvise legitime besøgende.

Tegn på, at et angreb er i gang

De fleste DDoS-angreb opdages først, når en tjeneste bliver langsom eller helt holder op med at svare. Her er nogle typiske tegn:

• Usædvanligt store trafikmængder fra IP-adresser eller lande, der normalt ikke genererer trafik
• Langsomme svartider på websitet eller ved login, selvom belastningen på systemet ellers er normal
• Hele tjenesten er utilgængelig, mens andre systemer på netværket fungerer normalt
• Logfilerne fyldes med forespørgsler til en bestemt side eller funktion

Overvågningsværktøjer hos webhoteller, firewall- og CDN-udbydere kan registrere afvigelserne tidligt og advare driftspersonalet. Uden denne form for overvågning opdages angrebet ofte først, når kundesupporten begynder at modtage henvendelser om et website, der ikke vil indlæse.

Beskyttelse og forberedelse

Ingen enkelt løsning kan stoppe alle DDoS-angreb. De mest almindelige løsninger i branchen bygger på flere lag, der arbejder sammen:

• En DDoS-beskyttelsestjeneste hos webhotellet eller en separat udbyder, som filtrerer trafikken, før den når serveren
• Cloudbaseret load balancing, der kan skalere op og håndtere pludselige trafikspidser
• Klare procedurer for, hvem der skal kontaktes ved en alarm, og hvor systemlogfilerne findes
• Øvelser i håndtering af angreb som en del af en bredere beredskabsplan

Store organisationer som teleoperatører, banker og offentlige myndigheder har ofte avancerede beskyttelsesløsninger på plads. Mindre virksomheder mangler derimod ofte den nødvendige beredskab, hvilket kan gøre et DDoS-angreb på det forkerte tidspunkt uforholdsmæssigt dyrt. Hvis en vigtig digital tjeneste bliver sat ud af drift under en valgkamp, et valg eller en anden kritisk begivenhed, bliver samfundets afhængighed af en velfungerende digital infrastruktur tydelig.

Er DDoS-angreb ulovlige?

Ja, i de fleste lande kan DDoS-angreb være strafbare. Bevidst at forstyrre driften af et informationssystem kan være en lovovertrædelse i henhold til national lovgivning. Straffen varierer fra land til land og afhænger blandt andet af angrebets omfang, konsekvenser og hensigt. Det kan også være strafbart at bestille et DDoS-angreb via såkaldte stresser- eller booter-tjenester, selvom bestilleren ikke selv har de tekniske færdigheder til at udføre angrebet. I flere lande har myndighederne efterforsket og retsforfulgt personer, der har købt sådanne angreb via onlinetjenester.

DDoS-angreb er gået fra at være enkeltstående nyhedshistorier til at udgøre en vedvarende trussel mod virksomheder og samfundskritiske funktioner verden over. Nationale cybersikkerhedsmyndigheder og andre fagmiljøer offentliggør løbende information om aktuelle trusler og angreb. Sådanne kilder er et godt udgangspunkt for organisationer, der ønsker at styrke deres eget beredskab.

Hvis du vil have et bredere perspektiv på, hvordan cybersikkerhed hænger sammen på tværs af forskellige trusler, kan du læse mere på temasiden om cybersikkerhed, IT-sikkerhed og informationssikkerhed.