--- id: CP-066 slug: ddos-aanval-gedistribueerde-denial-of-service lang: nl title: Gedistribueerde denial-of-service (DDoS) description: Hoe duizenden gekaapte machines een dienst overbelasten, wat medewerkers op het scherm merken en welke reflexen de organisatie hanteert. canonical_url: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Gedistribueerde denial-of-service (DDoS)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ it: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # Gedistribueerde denial-of-service (DDoS) Een denial-of-service-aanval (DoS) zorgt ervoor dat legitieme gebruikers een website, een e-maildienst, een online account of een andere dienst niet meer kunnen bereiken. De aanvaller overspoelt het doelwit met verkeer, tot het niet meer kan antwoorden of uitvalt [1]. In de gedistribueerde vorm (DDoS) werken meerdere machines samen tegen hetzelfde doelwit [1]. Voor de medewerker is het gevolg vooral te merken als traagheid of als een pagina die niet meer opent. Die signalen kunnen lijken op een beschikbaarheidsprobleem zonder kwade opzet, maar kunnen ook op een DoS- of DDoS-aanval wijzen [1]. ## In 30 seconden - Waar het gebeurt: op websites, e-maildiensten, online accounts en andere diensten die via internet bereikbaar zijn [1]. - Wat de aanvaller wil: de dienst onbeschikbaar maken, om politieke redenen, als afleidingsmanoeuvre of om geld af te persen [2]. - De reflex: waarschuw de netwerkbeheerder. Die controleert of de storing voortkomt uit onderhoud of een interne storing en kan het verkeer in de gaten houden om een aanval te bevestigen [1]. - Als het al gebeurd is: de beheerder kan contact opnemen met de internetprovider en firewallregels toepassen. De rest van het netwerk blijft onder toezicht, want de aanval dient soms als afleiding [1]. ## Directe vragen ### Wat is een botnet? Dat is een groep verbonden apparaten die een aanvaller heeft gekaapt en bestuurt met command-and-controlsoftware. De geïnfecteerde apparaten zijn zelf ook slachtoffers van de aanval [1]. Een botnet kan aan anderen worden verhuurd, vaak via "attack-for-hire"-diensten waarmee gebruikers zonder vaardigheden een DDoS kunnen starten [1]. ### Waarom is dit moeilijker te stoppen dan een aanval vanaf één machine? Het verkeer komt uit veel bronnen, waardoor het lastiger te onderscheiden is van legitiem verkeer [3]. Een DDoS maakt het ook moeilijker om de werkelijke herkomst van de aanval vast te stellen [1]. In het slechtste geval stuurt elke machine maar een kleine hoeveelheid verkeer, en wordt het uiterst moeilijk om dat te onderscheiden van het verkeer van legitieme klanten [4]. ### Hoe weet u of het een aanval of een gewone storing is? De symptomen lijken op die van een gewoon probleem of van onderhoud. CISA noemt drie signalen die op een aanval kunnen wijzen: een ongewoon traag netwerk, een bepaalde website die niet meer reageert, of het onvermogen om welke website dan ook te openen [1]. De beste manier om dat uit te maken is het bewaken van het netwerkverkeer [1]. ### Kunt u getroffen worden zonder het doelwit te zijn? Ja. Als de internetprovider of de cloudprovider van een netwerk wordt aangevallen, verliest dat netwerk ook zijn dienst [1]. ### Steelt een DDoS-aanval gegevens? De geraadpleegde bronnen beschrijven een verlies van beschikbaarheid. De Britse NCSC merkt op dat een onbeschikbare openbare website de bedrijfsvoering kan hinderen (gemiste verkopen, medewerkers die niet meer kunnen werken), ook zonder gevolgen voor de vertrouwelijkheid of integriteit van gegevens [3]. CISA wijst er wel op dat aanvallers een DDoS starten om de aandacht af te leiden en secundaire aanvallen uit te voeren tegen andere diensten op het netwerk [1]. ## In de huid van de aanvaller De aanvaller heeft volume nodig. Hij kan een eigen botnet bouwen of er een huren voor de duur van het gebruik [4]. Verbonden apparaten, die vaak hun standaardwachtwoord houden, zijn kwetsbaar: de infectie blijft vaak onopgemerkt voor de eigenaar, en honderdduizenden apparaten kunnen worden gecompromitteerd zonder dat die het weet [1]. Hij kan ook het herkomstadres van de pakketten verbergen of vervalsen. Daardoor is filteren op bronadres minder effectief, of zelfs nutteloos, voor de verdedigers [2]. Dit artikel deelt de aanvallen in drie families in. Dat is een keuze voor de presentatie en geen overname van een indeling uit de bronnen. De volumetrische familie verzadigt de bandbreedte. MITRE geeft het voorbeeld van 10 Gbit/s aan verkeer dat naar een server wordt gestuurd die met een verbinding van 1 Gbit/s aan internet hangt [2]. Een variant gebruikt servers van derden, de reflectoren: de aanvaller stuurt hun pakketten met het vervalste adres van het slachtoffer, en de antwoorden, groter dan de verzoeken, gaan naar het slachtoffer. DNS en NTP hebben zulke versterking mogelijk gemaakt. Het memcache-protocol liet een versterking zien tot 51.200 keer het oorspronkelijke pakket [5]. De protocolfamilie maakt misbruik van de werking van netwerkuitwisselingen. Bij een SYN-flood vraagt de aanvaller een verbinding aan zonder de driewegshandshake af te ronden: de poort blijft bezet, en als de verzoeken doorgaan, raken alle open poorten verzadigd [1]. MITRE raadt aan SYN-cookies in te schakelen als verdediging [6]. De applicatiefamilie richt zich op servers en applicaties. Een HTTP-flood stuurt een groot aantal verzoeken naar een webserver om de middelen uit te putten [7]. Een SSL/TLS-heronderhandelingsaanval opent een versleutelde verbinding en laat daarna heronderhandelingsverzoeken op elkaar volgen, die veel rekenkracht kosten [7]. Zulke aanvallen putten de machine uit zonder het netwerk te verzadigen [6]. ## Wat u op het scherm ziet Volgens CISA kunnen de symptomen lijken op beschikbaarheidsproblemen zonder kwade opzet, maar kunnen ze op een DoS- of DDoS-aanval wijzen [1]. Die symptomen zijn ongewone traagheid bij het openen van bestanden of websites, een bepaalde website die onbereikbaar is, of geen enkele website die bereikbaar is [1]. Voor een klant of een collega is het een foutpagina of een dienst die niet reageert. Die signalen kunnen ook voortkomen uit onderhoud of een technische storing [1]. De medewerker hoeft dus geen diagnose te stellen: hij meldt wat hij merkt. ## Onder de motorkap Aan de netwerkkant gebruikt een directe flood vooral protocollen zonder toestand, zoals UDP of ICMP, maar ook TCP kan worden gebruikt [4]. Bijna elk netwerkprotocol is bruikbaar [4]. Aan de serverkant maken applicatieaanvallen gebruik van knelpunten die per laag verschillen: besturingssysteem, webserver, DNS, database of applicatie [6]. Om zich te verdedigen moet het verkeer, wanneer het volume de capaciteit van de aangevallen verbinding overstijgt, vooraf worden gefilterd: bij de internetprovider, in een contentdeliverynetwerk (CDN) of bij een specialist in mitigatie [2]. Afhankelijk van het volume is filteren ter plaatse soms mogelijk: het blokkeren van de bronadressen, poorten of protocollen waarop de aanval mikt [2]. ## Incidentanalyses ### September 2016: Mirai tegen de blog van Brian Krebs en OVH Op 20 september 2016 kreeg de beveiligingsblog van Brian Krebs te maken met een massale aanval, een van de grootste ooit geregistreerd, van meer dan 620 Gbit/s. Die kwam van een botnet van verbonden apparaten, aangestuurd door de malware Mirai [8]. Mirai scant voortdurend het internet op kwetsbare apparaten en probeert een korte lijst van 62 standaardgebruikersnamen en -wachtwoorden [8]. De vermoedelijke maker van Mirai beweerde dat bij de aanval op de site van Krebs meer dan 380.000 apparaten waren ingezet [8]. Eind september sloeg een andere Mirai-aanval op de Franse hostingpartij OVH het record: minstens 1,1 Tbit/s, mogelijk 1,5 Tbit/s [8]. De getroffen apparaten waren vooral thuisrouters, netwerkcamera's en digitale videorecorders [8]. De broncode van Mirai werd eind september online gepubliceerd, wat de weg opende voor andere aanvallen [8]. Eind november 2016 scande software afgeleid van Mirai TCP-poort 7547 van kwetsbare breedbandrouters [8]. CISA raadt aan een geïnfecteerd apparaat los te koppelen, offline opnieuw op te starten (Mirai zit in het werkgeheugen), het standaardwachtwoord te vervangen en het pas daarna weer aan te sluiten [8]. ### Augustus 2023: de HTTP/2-aanval "Rapid Reset" Google beschreef op 10 oktober 2023 een nieuwe HTTP/2-DDoS-aanval, met een piek in augustus. De grootste overschreed 398 miljoen verzoeken per seconde, ver boven elke eerder gemelde aanval op laag 7 [9]. Ze werd grotendeels tegengehouden aan de rand van het netwerk van Google door de loadbalancing-infrastructuur, zonder storing [9]. Het principe: de client opent in één keer veel streams en annuleert dan elk verzoek meteen door een RST_STREAM-frame te sturen, zonder op het antwoord te wachten [9]. De server moet toch aanzienlijk werk verrichten voor de geannuleerde verzoeken, terwijl de client er bijna niets voor betaalt [9]. Google coördineerde de bekendmaking met partners uit de sector en reserveerde de identifier CVE-2023-44487 om de patches te volgen [9]. Het raadt aan de patches zo snel mogelijk toe te passen [9]. ### Andere gedateerde gevallen In 2016 voerde APT28 een DDoS uit tegen het Wereldantidopingagentschap [2]. In 2019 verstoorde Sandworm Team tijdelijk Georgische websites nadat het een webhostingpartij had gecompromitteerd [6]. Een reeks incidenten in 2012 richtte zich op grote Amerikaanse banken [4]. ## Wat de organisatie doet CISA stelt dat er geen middel is om helemaal te voorkomen dat men een doelwit wordt. Beheerders kunnen zich abonneren op een beschermingsdienst die afwijkende stromen detecteert en het verkeer filtert, en een herstelplan na een ramp opstellen [1]. De Britse NCSC noemt vier werkwijzen: ken uw dienst, ken uw verdediging, maak een responsplan en test het [3]. Voor de medewerker zijn er twee handelingen: ongewone traagheid of onbeschikbaarheid snel melden bij de netwerkbeheerder, en de standaardwachtwoorden van verbonden apparaten wijzigen, ook thuis [1][8]. ## Bronnen 1. CISA, “Understanding Denial-of-Service Attacks”, 1 februari 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Network Denial of Service, Technique T1498 - Enterprise”. https://attack.mitre.org/techniques/T1498/ (geraadpleegd op 3 november 2026) 3. NCSC (Royaume-Uni), “Denial of Service (DoS) guidance”. https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise”. https://attack.mitre.org/techniques/T1498/001/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise”. https://attack.mitre.org/techniques/T1498/002/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Endpoint Denial of Service, Technique T1499 - Enterprise”. https://attack.mitre.org/techniques/T1499/ (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise”. https://attack.mitre.org/techniques/T1499/002/ (geraadpleegd op 3 november 2026) 8. CISA, “Heightened DDoS Threat Posed by Mirai and Other Botnets”, 14 oktober 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (geraadpleegd op 3 november 2026) 9. Google, “How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack”, 10 oktober 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.