DDoS-aanval op uw website? Analyse, mitigatie en bescherming

DDoS-aanvallen komen in verschillende vormen voor. Een volumetrische aanval (op netwerkniveau, laag 3/4) probeert simpelweg uw internetverbinding of servercapaciteit te verzadigen met een enorme hoeveelheid verkeer. Een applicatie-aanval (laag 7) is subtieler: die stuurt ogenschijnlijk normale verzoeken naar bijvoorbeeld een zoekfunctie of inlogpagina, maar dan in zulke aantallen dat de achterliggende toepassing of database vastloopt. Beide vormen kunnen een website, webshop of e-mailomgeving urenlang onbereikbaar maken, met gevolgen voor omzet, klantvertrouwen en — bij een webshop tijdens een piekmoment — direct gemiste bestellingen. Het onderscheid tussen beide typen bepaalt in belangrijke mate welke mitigatie-configuratie effectief is, en is daarom een vast onderdeel van onze analyse.

Hoe herkent u een DDoS-aanval?

Een DDoS-aanval kondigt zich meestal aan met een aantal herkenbare signalen. Herkent u er één of meer, dan is snel handelen belangrijk:

• Website plotseling onbereikbaar of extreem traag, terwijl er niets aan de code, hosting of instellingen is veranderd.
• Een plotselinge piek in serverbelasting of inkomend verkeer zonder duidelijke aanleiding — geen marketingcampagne, geen mediamoment, geen productlancering.
• Uw hostingprovider waarschuwt over abnormaal verkeer of schakelt zelf tijdelijke beschermingsmaatregelen in.
• Aanhoudende uitval die telkens terugkeert op specifieke piekmomenten van de dag.
• Een afpersingsbericht — DDoS-extortion is een reëel en gedocumenteerd fenomeen waarbij aanvallers dreigen met (verdere) verstoring tenzij wordt betaald. We noemen dit patroon omdat het in de praktijk voorkomt, niet omdat het hier om een specifiek afgehandeld incident gaat.

Twijfelt u of het om een DDoS-aanval gaat of om een legitieme verkeerspiek, bijvoorbeeld na een advertentiecampagne of een vermelding in de media? Dat onderscheid maken is precies waar de analysefase voor dient.

Wat Secrotec analyseert

Voordat we iets configureren, brengen we eerst in kaart wat er daadwerkelijk gebeurt. Onze analyse omvat onder meer:

• Verkeerspatronen — herkomst, volume, timing en gedrag van het inkomend verkeer.
• Toegangslogs van webserver, CDN en firewall, om de aanvalsroute te reconstrueren.
• Bestaande CDN- en firewallconfiguratie — is er al bescherming aanwezig en werkt die zoals bedoeld.
• Hostingcapaciteit — kan de huidige omgeving de belasting aan, of is opschaling nodig.
• Classificatie van het verkeer — onderscheid tussen kwaadaardig aanvalsverkeer, geautomatiseerde bots en legitieme bezoekerspieken.

Op basis van deze analyse stellen we een mitigatieplan op dat aansluit op uw specifieke situatie. Er bestaat geen standaardoplossing die voor elke aanval en elke omgeving identiek is — een volumetrische aanval op netwerkniveau vraagt om andere maatregelen dan een gerichte applicatie-aanval, en een site achterin een gedeelde hostingomgeving vraagt weer een andere aanpak dan een dedicated server of maatwerkapplicatie. De analyse levert u bovendien een concreet, leesbaar overzicht op van wat er is gebeurd — nuttig voor intern overleg, voor uw hostingprovider en, indien van toepassing, voor een melding bij uw cyberverzekeraar.

Mitigatie en bescherming

Na de analyse volgt de mitigatie-configuratie. Afhankelijk van de aard van de aanval en uw huidige infrastructuur zetten we een combinatie in van:

• Cloudflare- of vergelijkbare WAF-configuratie, om kwaadaardig verkeer te filteren voordat het uw origin-server bereikt.
• Rate limiting, zodat een individuele bron niet onbeperkt aanvragen kan blijven versturen.
• Bot-mitigatie, om geautomatiseerd aanvalsverkeer te onderscheiden van menselijke bezoekers.
• Hosting-firewall en netwerkregels op serverniveau.
• Origin-server beschermen door het achterliggende IP-adres af te schermen achter een CDN/WAF-laag.
• Caching-inrichting, zodat herhaalde verzoeken niet telkens de volledige toepassing belasten.
• DNS- en CDN-inrichting die verkeer filtert en verdeelt vóórdat het bij uw server aankomt.
• Logging en monitoring, zodat een volgende piek sneller wordt herkend en de mitigatie-configuratie kan worden bijgesteld.

Welke van deze maatregelen daadwerkelijk nodig zijn, hangt af van de uitkomst van de analyse: bij een kleine, kortdurende piek kan een aanpassing in de bestaande CDN-configuratie al voldoende zijn, terwijl een aanhoudende of grootschalige aanval een uitgebreidere WAF-inrichting en structurele hosting-aanpassingen vraagt. We leggen elke stap vooraf uit, zodat u weet wat er wordt aangepast en waarom.

Eventuele abonnementskosten van derde partijen (zoals Cloudflare of een CDN/WAF-dienst) vallen buiten de prijsindicatie van Secrotec en worden apart en transparant vermeld.

Wat DDoS-mitigatie niet is

Het is belangrijk om reëel te zijn over wat mitigatie wel en niet doet. DDoS-mitigatie is geen tegenaanval en geen vorm van "terugslaan" — Secrotec onderneemt nooit actie richting de aanvaller zelf, alleen defensieve maatregelen in uw eigen omgeving. Mitigatie is ook geen garantie: geen enkele partij kan vooraf beloven dat een aanval geen enkele impact zal hebben, omdat de omvang, duur en herkomst van een DDoS-aanval buiten de invloed van de verdedigende partij liggen.

Geen enkele partij kan een DDoS-aanval voor 100% uitsluiten. Secrotec analyseert het verkeer, stelt een mitigatieplan op en configureert bescherming (zoals Cloudflare/WAF, rate limiting en origin-bescherming) om de impact te beperken en de weerbaarheid van uw omgeving te verhogen.

Wat mitigatie wél doet: het kwaadaardige verkeer zo veel mogelijk filteren voordat het uw origin-server bereikt, uw omgeving weerbaarder maken tegen een volgende poging, en u tijdens een actieve aanval voorzien van heldere informatie in plaats van giswerk.

Ten slotte is DDoS-mitigatie iets anders dan het opschonen van malware: bij een DDoS-aanval gaat het om verkeer dat uw omgeving overbelast, niet om kwaadaardige bestanden of code op uw server. Heeft u naast (of in plaats van) een DDoS-aanval ook een vermoeden van malware, gehackte bestanden of een besmette WordPress-installatie? Lees dan over hosting malware opschonen. Gaat het probleem breder — een website die offline is, traag draait of niet meer bereikbaar is om een andere reden — lees dan over website- en hostingproblemen oplossen.

Prijsindicatie

Onderstaande tabel geeft een indicatie van de tijdsinvestering en het startbedrag per dienst:

Dienst	Prijsindicatie excl. btw	Indicatieve tijd
DDoS-analyse	vanaf €220	~2 uur
DDoS-mitigatie/WAF-inrichting (eenmalig)	vanaf €330	~3 uur

Voor DDoS-analyse en -mitigatie bestaat geen gepubliceerde marktprijs in Nederland — bovenstaande indicatie is gebaseerd op het Secrotec-uurtarief (€110 excl. btw per uur), niet op een marktbenchmark. De definitieve prijs volgt na een intakegesprek waarin de aard en omvang van de aanval duidelijk wordt.

Alle prijzen zijn exclusief 21% btw.