Wat is een DDoS-aanval?
Een DDoS-aanval (Distributed Denial of Service) is een aanval waarbij een groot aantal systemen tegelijk een netwerk, server of applicatie overspoelt met verkeer of verzoeken, zodat die overbelast raakt en onbereikbaar wordt voor legitieme gebruikers. Het doel is niet het stelen of wijzigen van data, maar het aantasten van de beschikbaarheid: de A uit de CIA-triade.
DDoS-aanvallen behoren tot de meest gemelde cyberincidenten en kunnen ernstige gevolgen hebben voor dienstverlening, productie en reputatie. In OT-omgevingen ligt het accent anders dan in de kantoor-IT: daar is vaak geen botnet nodig, omdat een kleine verkeerspiek of één misvormd pakket al genoeg kan zijn om een besturing te verstoren.
🧠 Wat is het verschil tussen DoS en DDoS?
Bij een DoS-aanval (Denial of Service) komt de aanval van één bron. Bij een DDoS-aanval komt het verkeer van honderden tot miljoenen bronnen tegelijk, meestal apparaten in een botnet: computers, routers, camera’s en andere IoT-apparaten die met malware zijn overgenomen. Omdat het verkeer van overal komt, kunt u het niet simpelweg blokkeren op één IP-adres.
Het bekendste voorbeeld is Mirai. Dit botnet bestond uit slecht beveiligde camera’s en routers met standaardwachtwoorden. In het najaar van 2016 werd het gebruikt tegen onder meer de DNS-provider Dyn, waardoor grote websites urenlang slecht bereikbaar waren. Kort daarvoor was de broncode van Mirai openbaar gemaakt; veel latere botnets bouwen daarop voort. In het najaar van 2025 sloeg Cloudflare aanvallen van het Aisuru-botnet af van 29,7 en later 31,4 terabit per seconde, die slechts 69 en 35 seconden duurden.
Voor een aanvaller is DDoS goedkoop: botnets zijn als dienst te huur (“booter” of “stresser”), vaak voor relatief kleine bedragen. Daardoor kan ook een aanvaller zonder technische kennis een aanval uitvoeren.
🎯 Welke soorten DDoS-aanvallen zijn er?
DDoS-aanvallen worden doorgaans ingedeeld naar de laag die ze uitputten:
| Categorie | Wat wordt uitgeput | Voorbeelden |
|---|---|---|
| Volumetrisch | Bandbreedte van de internetverbinding | UDP flood, ICMP flood, reflectie via DNS of NTP |
| Protocol-aanval | Verbindingstabellen van servers, firewalls en loadbalancers | SYN flood op TCP, fragmentatie-aanvallen |
| Applicatielaag-aanval | Rekenkracht van webservers of API’s | HTTP GET/POST flood, zware zoekopdrachten |
| Botnet-gebaseerd | Elk van bovenstaande, vanaf veel bronnen | Mirai, Aisuru, overgenomen IoT-apparaten |
| OT-specifiek | Beperkte rekenkracht en netwerkstack van besturingen | Overbelasting van HMI-servers of SCADA-netwerksegmenten |
Hoe werkt reflectie en amplificatie?
Bij een reflectie-aanval stuurt de aanvaller kleine UDP-verzoeken met een vervalst afzenderadres (het IP-adres van het slachtoffer) naar open servers op internet. Die servers sturen een veel groter antwoord naar het slachtoffer. De Amerikaanse CISA publiceert de bekende versterkingsfactoren:
| Protocol | Versterkingsfactor (bandbreedte) |
|---|---|
| DNS | 28 tot 54 |
| SSDP | ongeveer 31 |
| CLDAP | 56 tot 70 |
| CharGEN | ongeveer 359 |
| NTP (monlist) | ongeveer 557 |
| Memcached | 10.000 tot 51.000 |
Een verkeerd geconfigureerde server in uw eigen netwerk kan zo onbedoeld meedoen aan een aanval op een ander. Netwerkbeheerders voorkomen vervalste afzenderadressen met ingress filtering volgens BCP 38.
🧯 Hoe herkent u een DDoS-aanval?
Een DDoS-aanval wordt vaak herkend aan:
- Plotselinge overbelasting of onbeschikbaarheid van websites, portalen of VPN-gateways
- Onverklaarbare pieken in inkomend verkeer, vaak van veel landen of één protocol tegelijk
- Verminderde prestaties of time-outs in ICS-applicaties en koppelingen
- Waarschuwingen in monitoring- en loggingtools over herhaalde verbindingspogingen of volle verbindingstabellen
- Afwijkingen in netwerkgedrag die anomaliedetectie of een IDS signaleert
🔁 Wat onderscheidt een DDoS-aanval van een gewone storing?
| DDoS-aanval | Overige netwerkstoringen |
|---|---|
| Opzettelijk veroorzaakt door een aanvaller | Ontstaan door een configuratiefout, defect of software-update |
| Verkeer van veel bronnen tegelijk, vaak vervalst | Meestal te herleiden tot één apparaat of segment |
| Verkeerspatroon verandert als u mitigeert | Patroon blijft gelijk tot de oorzaak is hersteld |
| Soms afleiding of onderdeel van een bredere campagne | Meestal een geïsoleerd incident |
De grens is in OT niet altijd scherp. Een broadcast storm door een netwerklus heeft hetzelfde effect als een aanval. In augustus 2006 moest Unit 3 van de Amerikaanse kerncentrale Browns Ferry handmatig worden afgeschakeld nadat beide recirculatiepompen uitvielen. De besturingen van de frequentieregelaars reageerden niet meer; ze hingen aan hetzelfde ethernet-installatienetwerk als een PLC die tegelijk faalde. De Amerikaanse toezichthouder NRC wees overmatig netwerkverkeer aan als oorzaak.
🏭 Waarom is DDoS in OT-omgevingen extra gevoelig?
In OT staat beschikbaarheid boven vertrouwelijkheid. Industriële apparatuur is gebouwd voor deterministisch gedrag, niet voor verkeerspieken:
- Beperkte netwerkstacks - veel PLC’s en I/O-modules verwerken maar een beperkt aantal verbindingen. Bekende kwetsbaarheden bij onder meer Siemens laten een besturing door één misvormd pakket in een fouttoestand gaan, waarna een herstart nodig is.
- Verlies van zicht - een overbelaste HMI of Historian betekent dat operators de installatie niet meer kunnen volgen, ook als het proces zelf doordraait.
- Watchdogs en time-outs - vertraagd verkeer laat communicatiebewaking aflopen, waarna installaties naar een veilige toestand gaan en productie stilvalt.
- Kwetsbare randen - Remote Access-servers, VPN-gateways en firewalls aan de rand van het OT-netwerk zijn het eerste doelwit.
Twee voorbeelden laten dat zien. Bij de aanval op het Oekraïense elektriciteitsnet in december 2015 (zie BlackEnergy) werden de callcenters van de netbeheerders bestookt met telefoonverkeer, zodat klanten storingen niet konden melden. Op 5 maart 2019 misbruikte een aanvaller bij de Amerikaanse duurzame-energieproducent sPower een bekende kwetsbaarheid in firewalls. Die herstartten herhaaldelijk, waardoor de controlekamer telkens enkele minuten het zicht op wind- en zonneparken verloor. De productie zelf viel niet uit, maar de firewall was niet gepatcht.
🔐 Wat moet u doen bij een DDoS-aanval?
- Detecteer piekverkeer via SIEM, firewall-logging of netwerkmonitoring
- Analyseer herkomst, type en doelwit van het verkeer
- Activeer mitigatie via uw internetprovider of een anti-DDoS-dienst (scrubbing)
- Communiceer intern, met uw provider en met uw SOC of CSIRT
- Bescherm de productie door verbindingen tussen IT en OT zo nodig te beperken of te verbreken
- Documenteer aanvalskenmerken, tijdlijn en impact voor de melding en de evaluatie
- Voorkom herhaling met een betere architectuur, rate limiting en een geoefend incidentresponsplan
🛡️ Hoe beschermt u IT en OT tegen DDoS?
Aan de internetkant draait het om capaciteit en filtering buiten uw eigen netwerk. Scrubbingdiensten en CDN’s vangen volumetrische aanvallen af voordat ze uw verbinding vullen; uw eigen firewall kan dat niet. Maak vooraf afspraken met uw provider over wie wat doet en hoe snel.
Aan de OT-kant draait het om isolatie en weerbaarheid:
| Maatregel | Effect |
|---|---|
| Segmentatie met een IDMZ volgens het Purdue Model | Een aanval op internetdiensten raakt de procesbesturing niet direct |
| Broadcast storm control en rate limiting op switches | Een lus of overbelast apparaat legt niet het hele netwerk plat |
| QoS voor besturingsverkeer | Tijdkritisch verkeer krijgt voorrang bij drukte |
| Datadiode voor eenrichtingsverkeer | Verkeer van buiten kan het OT-netwerk fysiek niet bereiken |
| Redundantie en high availability | Uitval van één pad of server stopt de dienst niet |
| Patchmanagement van firewalls en besturingen | Bekende DoS-kwetsbaarheden zijn gedicht |
IEC 62443-3-3 legt dit vast onder Foundational Requirement 7 (Resource availability): SR 7.1 vraagt bescherming tegen denial-of-service, zodat een systeem essentiële functies behoudt of gecontroleerd terugvalt, en SR 7.2 vraagt beheer van systeemmiddelen.
🇳🇱 Hoe ziet de Nederlandse context eruit?
Begin 2018 legden DDoS-aanvallen de online diensten van grote banken, de Belastingdienst en DigiD tijdelijk plat. Daarop ontstond in 2018 de Nationale Anti-DDoS Coalitie, met onder meer banken, internetproviders, AMS-IX, de politie en overheidsorganisaties; het NCSC treedt op als facilitator. Daarnaast biedt de stichting NBIP sinds 2014 de NaWas, een gezamenlijke scrubbingdienst voor Nederlandse organisaties.
Pro-Russische hacktivisten zoals NoName057(16) voerden de afgelopen jaren herhaaldelijk DDoS-aanvallen uit op Nederlandse en Europese overheidswebsites. In juli 2025 haalde de internationale politieoperatie Eastwood, gecoördineerd door Europol, ongeveer honderd servers van deze groep offline.
Onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2 die op 15 augustus 2026 in werking trad, kan een DDoS-aanval met aanzienlijke gevolgen een meldplichtig incident zijn. De meldplicht vraagt een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand.
❓ Veelgestelde vragen
Is een DDoS-aanval strafbaar in Nederland?
Ja, een DDoS-aanval is in Nederland strafbaar op grond van artikel 138b van het Wetboek van Strafrecht: het opzettelijk en wederrechtelijk belemmeren van de toegang tot of het gebruik van een geautomatiseerd werk. Ook het huren van een booter- of stresserdienst om een DDoS-aanval uit te voeren valt daaronder. Politie en justitie vervolgen hier ook jonge daders voor.
Kan een firewall een DDoS-aanval tegenhouden?
Een eigen firewall houdt een volumetrische DDoS-aanval meestal niet tegen, omdat de internetverbinding al vol zit voordat het verkeer de firewall bereikt. Een firewall kan zelf zelfs het knelpunt worden doordat de verbindingstabel volloopt. Effectieve bescherming tegen een DDoS-aanval komt daarom van de provider of een scrubbingdienst vóór uw verbinding.
Wat is het verschil tussen een DDoS-aanval en ransomware?
Een DDoS-aanval maakt een dienst tijdelijk onbereikbaar zonder in te breken, terwijl ransomware systemen binnendringt en data versleutelt. Een DDoS-aanval stopt meestal zodra de aanvaller ophoudt. Criminelen combineren de twee soms door met een DDoS-aanval te dreigen om losgeld af te persen.
Hoe lang duurt een DDoS-aanval?
Een DDoS-aanval kan variëren van enkele seconden tot dagen. Veel moderne aanvallen zijn kort en hevig: de recordaanvallen van 2025 duurden hooguit iets meer dan een minuut. Aanvallers herhalen een DDoS-aanval vaak in golven om te testen hoe snel de verdediging reageert.
Kan een PLC door een DDoS-aanval uitvallen?
Ja, een PLC kan door een DDoS-aanval of zelfs door een eenvoudige DoS met misvormde pakketten in een fouttoestand raken of de communicatie verliezen. Industriële besturingen hebben beperkte netwerkcapaciteit en zijn niet ontworpen voor grote verkeerspieken. Netwerksegmentatie, rate limiting en tijdig patchen beperken dat risico.
Moet ik een DDoS-aanval melden?
Een DDoS-aanval met aanzienlijke gevolgen voor de dienstverlening moet u onder de Cyberbeveiligingswet melden als uw organisatie onder die wet valt. De eerste waarschuwing gaat binnen 24 uur naar het bevoegde CSIRT en de toezichthouder. Ook als u niet meldplichtig bent, helpt aangifte bij de politie en een melding bij uw sectororganisatie.
📌 Samengevat
Een DDoS-aanval is een bewuste poging om een systeem of netwerk onbereikbaar te maken door het vanaf veel bronnen tegelijk te overspoelen met verkeer. In IT draait bescherming om capaciteit en scrubbing bij de provider; in OT om segmentatie, rate limiting, gepatchte randapparatuur en besturingen die een verkeerspiek overleven.