Hva er et DDoS-angrep?

Når valgresultater skal telles og offentliggjøres, kan viktige nettsteder bli satt ut av spill i flere timer. Årsaken kan være et overbelastningsangrep, et såkalt DDoS-angrep, snarere enn en teknisk feil. Denne typen angrep har rammet blant annet politi, medier og banker i en rekke land.

Et DDoS-angrep innebærer at et stort antall tilkoblede enheter samtidig sender trafikk mot et bestemt mål, med hensikt å overbelaste systemet slik at tjenesten blir utilgjengelig. Forkortelsen står for Distributed Denial of Service. DDoS-angrep er en av truslene som nasjonale cybersikkerhetsmyndigheter jevnlig advarer mot i sine trussel- og situasjonsvurderinger.

Slik overbelastes en server under et angrep

En angriper som ønsker å sette et nettsted ut av spill, har to muligheter. Den første er å utnytte en sårbarhet i programvaren slik at serveren krasjer. Den andre og mer utbredte metoden er å oversvømme serveren med så mange forespørsler at den ikke rekker å svare legitime besøkende. Trafikken kan se ut som vanlig nettbruk, men volumet er på et helt annet nivå. Under et angrep mot medier i mars 2016 målte operatørene en topp på 50 Gbit per sekund, med trafikk fra flere forskjellige land.

Serveren rekker ikke å skille den falske trafikken fra den legitime. Resultatet blir det samme som om et kjøpesenter plutselig fikk titusenvis av besøkende samtidig: Vanlige kunder kommer aldri fram til kassen. Nettstedet, innloggingen og de underliggende systemene blir utilgjengelige, noen ganger i flere timer og andre ganger i flere døgn.

Tre typer av angrep

Trafikken mot et mål kan deles inn i tre hovedkategorier. Volumetriske angrep fyller båndbredden med søppeldata, for eksempel gjennom forespørsler til åpne DNS-servere som returnerer langt større svar enn den innkommende pakken. Dette kalles DNS-amplifisering.

Protokollangrep utnytter hvordan internettprotokollene er bygget opp. En klassisk variant er SYN-flooding, der angriperen oppretter tusenvis av ufullstendige TCP-forbindelser som serveren må holde styr på. Serverens tilkoblingstabell fylles opp, og den kan ikke lenger ta imot flere legitime forbindelser.

Applikasjonsangrep, ofte kalt lag 7-angrep, retter seg direkte mot webapplikasjonen. Det kan dreie seg om gjentatte forespørsler mot en søkeside eller en betalingsfunksjon som krever mye beregningskraft. Trafikkmengden trenger ikke å være stor dersom hvert kall krever mye av serveren.

Botnett av kaprede enheter

Et moderne DDoS-angrep kommer sjelden fra én enkelt datamaskin. Trafikken kommer fra et botnett, et nettverk av tusenvis eller millioner av enheter som angriperen fjernstyrer. Enhetene kan være vanlige hjemme-PC-er, men også tilkoblede kameraer, rutere og andre IoT-enheter med svake passord. I 2016 satte Mirai-botnettet rekorder ved å kapre overvåkingskameraer og digitale TV-bokser for å angripe tjenesten Dyn DNS. Angrepet førte til at store deler av internett i USA ble utilgjengelig i flere timer. Botene installeres ofte ved hjelp av skadelig programvare som sprer seg automatisk mellom dårlig sikrede enheter.

Fordi angrepet kommer fra mange forskjellige IP-adresser, er det ikke mulig å stanse det ved å blokkere én enkelt kilde. Beskyttelsen må filtrere bort den skadelige trafikken uten å stenge ute legitime besøkende.

Tegn på at et angrep pågår

De fleste DDoS-angrep oppdages først når en tjeneste blir treg eller slutter å svare helt. Noen vanlige tegn er:

• Uvanlig store trafikkmengder fra IP-adresser eller land som tidligere ikke har vært aktive
• Lang responstid på nettsteder eller ved innlogging, selv om den øvrige belastningen er normal
• Hele tjenesten er utilgjengelig, mens andre systemer i nettverket fungerer som normalt
• Loggene fylles med forespørsler mot en bestemt side eller funksjon

Overvåkingsverktøy hos webhotell, brannmurer og CDN-leverandører fanger opp avvik tidlig og varsler driftspersonellet. Uten slik overvåking blir angrepet ofte ikke oppdaget før kundestøtten begynner å motta henvendelser om et nettsted som ikke laster.

Beskyttelse og forberedelser

Ingen enkelt løsning stopper alle DDoS-angrep. De vanligste løsningene i bransjen bygger på flere lag som fungerer sammen:

• En DDoS-beskyttelsestjeneste hos webhotellet eller en separat leverandør som filtrerer trafikken før den når serveren
• Skybasert lastbalansering som kan skalere opp og håndtere trafikktopper
• Rutiner for hvem som skal varsle hvem, og hvor systemloggene finnes
• Øvelser på dette scenarioet som en del av en bredere beredskapsplan for IT-hendelser

Store aktører som teleoperatører, banker og offentlige myndigheter har gjerne beskyttelsesløsninger på plass. Mindre virksomheter mangler ofte tilsvarende beredskap, noe som kan gjøre et angrep på et kritisk tidspunkt uforholdsmessig kostbart. En kampanje eller en valgnatt som settes ut av spill midt under gjennomføringen, kan raskt avdekke hvor avhengig virksomheten er av at de digitale tjenestene fungerer.

Er DDoS-angrep ulovlig?

Ja, i de fleste land kan DDoS-angrep være straffbare. Å bevisst forstyrre driften av et informasjonssystem kan være et lovbrudd etter nasjonal lovgivning. Straffen varierer fra land til land og avhenger blant annet av angrepets omfang, konsekvenser og hensikt. Det kan også være straffbart å bestille et DDoS-angrep gjennom såkalte stresser- eller booter-tjenester, selv om bestilleren ikke selv har teknisk kompetanse til å gjennomføre angrepet. I flere land har myndighetene etterforsket og straffeforfulgt personer som har kjøpt slike angrep via nettbaserte tjenester.

DDoS-angrep har gått fra å være enkeltstående nyhetshendelser til å bli en vedvarende del av trusselbildet mot virksomheter og samfunnskritiske funksjoner verden over. Nasjonale cybersikkerhetsmyndigheter og andre fagmiljøer publiserer jevnlig informasjon om aktuelle trusler og angrep. Slike kilder er et godt utgangspunkt for virksomheter som ønsker å styrke sin egen beredskap.

For et bredere perspektiv på hvordan cybersikkerhet henger sammen på tvers av ulike trusler, kan du lese mer på temasiden om cybersikkerhet, IT-sikkerhet og informasjonssikkerhet.