Deltaplan nodig tegen DDoS aanvallen

De reactie van minister Opstelten op 9 april j.l. over de recente DDoS aanvallen op banken laat zien dat hij zijn eigen invloed onderschat. Zijn stellingname dat de veiligheid van het betalingsverkeer vooral een zaak is van de banken zelf slaat in dit geval de plank mis. De banken, maar ook andere internetdienstverleners, kunnen dit niet alleen. Net zoals dat de overheid een rol neemt in de bestrijding en vervolging van cybercrime, vinden wij dat de overheid ook de openbare orde op het internet moet bewaken. Zeker als het gaat om een van de meest vitale infrastructuren: het financiele stelsel en het betalingsverkeer. Een goed betalingssysteem is namelijk van cruciaal belang voor het dagelijks functioneren van de economie en de nationale veiligheid. Er zijn namelijk geen alternatieven meer.

Zoals bekend wordt een DDoS aanval veroorzaakt doordat vanaf zeer veel verschillende computers dataverkeer wordt gegenereerd richting een server. Een DDoS aanval is in die zin vergelijkbaar met een extreme hoeveelheid auto's die dezelfde afrit wil nemen, of met een overstroming bij hoogtij. Maar dan met kwade opzet. Is er dan niets te doen tegen DDoS aanvallen? De tactiek om te wachten tot de storm overwaait is dat zeker niet. Nee, DDoS aanvallen zijn alleen te bestrijden door een combinatie van maatregelen. In de analogie na de watersnoodramp: er is behoefte aan een Deltaplan met concrete maatregelen die moet voorkomen dat het internet overstroomt.

De eerste maatregel is het verleggen van de verantwoordelijkheid van bestrijding van de DDoS aanval van de financiele instelling naar een gemeenschappelijke verantwoordelijkheid op een grotere schaal. Dus opschalen naar internetproviders, internetknooppunten zoals AMS-IX, het NCSC, het NHTCU en waar nodig op internationale schaal. Doel: het tegenhouden van 'fout' dataverkeer zo vroeg mogelijk stroomopwaarts. Dus door te filteren, routes te blokkeren en extra routes / capaciteit in te zetten.

Verder moet elke bank goed het design en de architectuur van zijn internetbankieren website doordenken. Alle statische (en niet-essentiele) informatie zoals logo's en afbeeldingen kunnen elders gehost worden, zodat de beschikbare bandbreedte maximaal gebruikt wordt voor de echt essentiele transacties. Daarnaast zijn allerlei technische maatregelen denkbaar om de eigen website gedistribueerd aan te bieden op zeer veel servers (zodat er niet een plek is om aan te vallen).

Ten derde vraagt dit om crisismanagement, waarbij de belangrijkste les is: bereid je voor en oefen. Omdat het gaat om meerdere partijen in de hele (internet-)keten is de meest aangewezen organisatie de NCTV om cooerdinerend op te treden naar alle internetproviders en backbone telco's.

Ten vierde de bestrijding van malware en botnets, waarmee de aanvaller de regie verkrijgt over de vele duizenden PCs van nietsvermoedende internetgebruikers die ingezet worden voor DDoS aanvallen. Op dit vlak gebeurt overigens al zeer veel, juist ook in publiek-private samenwerking. Daarbij zou onmiddellijk de politie in actie moeten kunnen komen voor het opsporen van de daders middels forensisch onderzoek, zonder te wachten op een aangifte. Bij een verstoring van de openbare orde op straat mag de politie dat immers ook. Preventieve surveillance of tegenaanvallen zijn overigens nog niet mogelijk op het internet. Daarvoor zijn wetswijzigingen noodzakelijk.

In zo'n Internet-Deltaplan zijn er taken weggelegd voor zowel publieke als private partijen. Vanuit de overheidszijde zijn dat onder meer de ministeries van Binnenlandse Zaken, Veiligheid en Justitie, het Openbaar Ministerie, het Nationaal Cyber Security Centrum (NCSC) en het Nationale High Tech Crime Unit (NHTCU). Specifiek voor de financiele sector zou dat aangevuld moeten worden met het ministerie van Financien en De Nederlandsche Bank.

En natuurlijk: de banken moeten goed communiceren naar de overheid en de burgers, maar dat kunnen ze wel zelfstandig regelen.

Bron: Nieuwsbank