Defensie onderschat taak in nationale bescherming tegen cyberaanvallen

"Zoals al aangegeven in de Defensievisie 2035, is Defensie nog altijd voornamelijk gericht op de eerste dreiging en moet er meer aandacht komen voor cyberdreigingen."

Voor een doeltreffende aanval zijn geen ingenieuze hack-aanvallen nodig. Gerichte DDoS-aanvallen zijn heel effectief. Dan gaat het niet meer om de klassieke DDoS-aanvallen waarbij het de netwerkverbinding of de infrastructuur overvraagt wordt. "Het speelkwartier is wat dat betreft voorbij", waarschuwt Pras. Hij doelt op de afgelopen jaren waarbij verveelde jongetjes een booter inzetten om hun agressie op een bedrijf of online-dienst te botvieren.

Het is niet de eerst keer dat de Nederlandse defensie zich moet aanpassen. De waterlinie - een lint van forten omgeven door land dat snel onder water kon worden gezet - was eeuwenlang een belangrijk onderdeel van de nationale verdediging. Tot in 1940 de technologische vernieuwing in de vorm van het vliegtuig de beschermingsmethodiek compleet in zijn hemd zette. Die situatie dreigt nu weer te ontstaan.

Er zijn drie methoden om een DDoS-aanval uit te voeren, legt Pras uit. "Je kunt kabels naar een server helemaal volgooien door heel veel bits af te vuren op een IP-adres. Met een tweede methode overbelast je de netwerkapparatuur door grote hoeveelheden packets af te vuren op de firewall die er dan niet meer in slaagt deze allemaal te beoordelen. Maar de derde is veel gevaarlijker: de aanval op specifieke applicaties die op een server draaien. Hierbij stuur je zo veel requests af op de applicaties dat ze deze niet meer kunnen verwerken. "

Verweer wordt steeds lastiger

Het vervelende is dat deze applicatiegerichte aanvallen veel lastiger zijn te ontdekken door bijvoorbeeld internetaanbieders of organisaties die helpen DDoS-aanvallen af te slaan. "Je kan toe met een fractie van het aantal bits dat nodig is voor de andere typen DDoS-aanvallen. Bovendien kunnen en mogen de internetaanbieders niet alle pakketjes die langskomen analyseren op hun inhoud."

Googles Threat Aware Group (TAG) waarschuwde vorige week voor exponentiële groei in de verschillende typen DDoS-aanvallen en kwam voor die gelegenheid naar buiten met in hun ogen de zwaarste DDoS-aanval tot nog toe. De groep toonde de trends aan in de zwaarte van aantal verschillende aanvalsmethoden met een grafiek. "Die netwerkaanbieders kijken vooral naar de klassieke DDoS-vormen omdat daar makkelijk aan te meten valt. De zwaarte en het voorkomen van applicatiegerichte aanvallen is echter heel moeilijk in kaart te brengen", stelt Pras.

Bundeswehr heeft het beter door

Hij ziet het als een taak voor het ministerie van Defensie om zich samen met wetenschappelijke instituten te richten op onderzoek naar de afweer van dit soort aanvallen. "In Duitsland is de overheid daar veel serieuzer mee bezig. Dat komt onder meer doordat het Duitse parlement - de Bondsdag -  in 2015 een week lang niet heeft kunnen vergaderen door een hack vanuit Rusland. De Duitse Bundeswehr heeft twee eigen universiteiten - een in Hamburg en een in München – waarvan de laatste vooral onderzoek doet naar cyberveiligheid. Daardoor stromen experts met een academische achtergrond door naar het ministerie van Defensie en zorgen daar voor het juiste bewustzijn. De Nederlandse Defensie loopt in dat opzicht nog achter, en zou meer samenwerking moeten zoeken met universiteiten. Digitale soevereiniteit stelt ons voor nieuwe uitdagingen. Voor traditionele defensietaken werken we samen in Navo-verband. Maar voor cyberbeveiliging kunnen Navo-partners, zoals Engeland en de Verenigde Staten onze vijanden zijn. De Britse inlichtingendiensten hebben bijvoorbeeld al eens de Belgische Telecom provider gehackt."