PB-013: Distributed Denial of Service (DDoS)

Documentbeheer

1. Doel & scope

• Doel:

  Een gestructureerde respons bieden bij vermoedelijke of bevestigde DDoS-aanvallen. Gebruik dit playbook om de impact op diensten te valideren, het verkeer te analyseren, mitigatie te activeren, de beschikbaarheid te herstellen en te beoordelen of de DDoS bredere activiteit van een aanvaller maskeert.

• Scope:

  Van toepassing op volumetrische aanvallen, protocolaanvallen, aanvallen op applicatielaag en aanvallen op de beschikbaarheid van DNS, API's, CDN, cloud en netwerk, gericht op infrastructuur, applicaties, diensten en ondersteunende systemen die aan internet hangen.

2. Incidentidentificatie & criteria

Type incident: Distributed Denial of Service (DDoS)

Triggercondities:

Start dit playbook zodra een van de volgende situaties zich voordoet:

• Een alert van DDoS-bescherming, CDN, cloud, ISP, WAF of monitoring wijst op afwijkend verkeer of verslechtering van een dienst
• Diensten, API's, DNS, applicaties of netwerken die aan internet hangen hebben onverklaarde problemen met de beschikbaarheid
• Netwerkverzadiging, uitputting van verbindingen of API's, HTTP-floods, reflectie of amplificatie worden waargenomen
• Een afpersingseis of threat intelligence wijst op een actieve of dreigende DDoS-aanval

Severity-niveaus:

3. Rollen & verantwoordelijkheden

• Incident Commander: Stelt de severity vast, coördineert de respons, keurt besluiten over mitigatie en escalatie goed en is eigenaar van de updates aan stakeholders.
• Incident responder / netwerkanalist: Valideert de DDoS-activiteit, analyseert het verkeer, volgt indicatoren en monitort op secundaire doelen van de aanvaller.
• Communications Lead: Coördineert communicatie intern en met directie, klanten, providers en Legal.
• Overige rollen:
  • Netwerk-/infrastructuurteam: Voert netwerkmaatregelen, routeringswijzigingen en filtering uit en stemt af met providers.
  • Applicatie- / service-eigenaren: Valideren de gezondheid van diensten, de impact op klanten, afhankelijkheden en of het herstel is geslaagd.
  • Eigenaren van cloud / CDN / WAF: Activeren mitigatie, rate limiting, schaling, filtering aan de rand en ondersteuning door de provider.
  • Legal / Compliance: Beoordeelt aspecten rond afpersing, impact op klanten, toezichthouders, contracten of politie/justitie.

4. Eerste acties

• Directe stappen:

  • Valideer dat de verslechtering door afwijkend verkeer komt en niet door een gewone storing, een mislukte deployment, een capaciteitsprobleem of een fout bij de provider.
    • 📘 RB-TRIAGE-005: Validatie van een DDoS-alert
  • Stel de getroffen diensten, regio's, gebruikers, netwerken, API's en zakelijke eigenaren vast.
  • Bewaar telemetrie van verkeer, CDN, WAF, firewall, load balancer, DNS, cloud, applicaties en de gezondheid van diensten.
  • Schakel zo nodig de IR-leiding, netwerk- en infrastructuurteams, applicatie-eigenaren en contactpersonen bij providers in.
    • 📘 SOP-001: On-call van een engineeringteam oproepen bij security-incidenten

  Beslispunt:

  • De impact op de dienst komt niet door DDoS-activiteit → leg het bewijs vast en stuur door naar het juiste operationele incidentproces.
  • DDoS-activiteit vermoed of bevestigd → ga door met de analyse en bereid mitigatie voor.
  • Er is impact op klanten of kritieke diensten, of er is sprake van afpersing → verhoog de severity en start parallel met communicatie.

5. Onderzoek & analyse

• Verzamelen van bewijsmateriaal:

  • Verzamel telemetrie van netwerk, CDN, WAF, firewall, DNS, load balancer, cloud, applicaties, de gezondheid van diensten en providers.
  • Leg de tijdlijn van de aanval vast, de getroffen diensten, de spreiding van bronnen, de kenmerken van het verkeer, de toegepaste mitigaties en de bedrijfsimpact.

• Analysestappen:

  • Classificeer het type aanval, het verkeersvolume, de spreiding van bronnen, de doelwitten, protocollen, payloadpatronen en indicatoren van amplificatie of reflectie.
    • 📘 RB-ANALYSIS-029: Analyse van DDoS-verkeer
  • Beoordeel de impact op diensten, klanten, bedrijfsvoering, infrastructuur en afhankelijkheden.
    • 📘 RB-ANALYSIS-030: Beoordeling van de impact van DDoS op diensten
  • Beoordeel indicatoren van afpersing, threat intelligence, signalen voor attributie, de betekenis van het doelwit en secundaire aanvalsdoelen.
    • 📘 RB-ANALYSIS-031: DDoS-attributie & dreigingsbeoordeling
  • Monitor op gelijktijdige security-alerts, afwijkingen in authenticatie, toegang tot data, malware, activiteit in de cloud control plane en indicatoren van een inbraak.

  Beslispunt: Voer, afhankelijk van wat is waargenomen, de fasen na detectie (analyse → recovery) van elk relevant verwant playbook gelijktijdig met dit playbook uit:

  • Compromittering van een account of misbruik van credentials vermoed of vastgesteld → voer gelijktijdig PB-004: Account Takeover uit.
  • Blootstelling, staging of exfiltratie van data vermoed of vastgesteld → voer gelijktijdig PB-005: Data-exfiltratie uit.
  • Cloud compromise vermoed of vastgesteld → voer gelijktijdig PB-007: Cloud Compromise uit.
  • Malware of verdachte uitvoering vermoed of vastgesteld → voer gelijktijdig PB-003: Endpoint-malware-infectie of PB-011: Verdachte uitvoering uit.
  • Privilege escalation vermoed of vastgesteld → voer gelijktijdig PB-009: Privilege Escalation uit.
  • Lateral movement vermoed of vastgesteld → voer gelijktijdig PB-010: Lateral Movement uit.

6. Containment, eradication & recovery

• Containment-acties:

  • Activeer goedgekeurde DDoS-mitigatiediensten, bescherming van de provider, CDN-/WAF-maatregelen, scrubbing, omleiding van verkeer of noodbeschermingsmodi.
    • 📘 RB-CONTAIN-009: Activeren van DDoS-mitigatie
  • Pas waar passend verkeersfiltering, blokkering van bronnen, protocolfiltering, geografische beperkingen, maatregelen op applicatielaag en rate limits toe.
    • 📘 RB-CONTAIN-010: Verkeersfiltering & rate limiting
  • Bescherm eerst de kritieke diensten en voorkom dat je legitiem verkeer van klanten te veel blokkeert.

• Eradication-stappen:

  • Verwijder of schakel kwaadaardige regels, misbruikende clients, blootgestelde endpoints, misconfiguraties of kwetsbare diensten uit die de aanval effectiever maken.
  • Stem filtering, rate limiting, caching, autoscaling, DNS, CDN en WAF af op het waargenomen verkeer.
  • Stem met providers af om infrastructuur van de aanvaller te blokkeren en mitigatieprofielen aan te passen.

• Recovery-stappen:

  • Herstel de normale beschikbaarheid, valideer dat de impact op klanten is opgelost en verwijder tijdelijke maatregelen pas als het aanvalsverkeer is gestabiliseerd.
    • 📘 RB-RECOVERY-006: Herstel van de beschikbaarheid van diensten
  • Monitor tijdens de recovery de stabiliteit van de dienst, legitiem verkeer, foutpercentages, latency en de status bij de provider.

  Beslispunt: Keert de verslechtering terug nadat maatregelen zijn versoepeld, zet de mitigatie dan weer aan, bewaar de nieuwe telemetrie en ga terug naar onderzoek & analyse.

7. Communicatie & escalatie

• Interne communicatie:

  • Informeer de securityleiding, netwerk- en infrastructuureigenaren, applicatie-eigenaren, service-eigenaren, supportteams en zakelijke stakeholders.
  • Gebruik de overdracht tussen regio's als het incident meerdere diensten beslaat.
    • 📘 SOP-002: Incidentoverdracht tussen regio's

• Externe communicatie:

  • Stem communicatie met providers, klanten, Legal, de directie en het publiek af via de goedgekeurde communicatieprocessen.
    • 📘 SOP-003: Escalatie en communicatie met Legal en directie
    • 📘 SOP-005: Communicatie met leveranciers tijdens een security-incident

• Escalatiecriteria:

  Situatie	Escaleren naar
  Compromittering van een account of misbruik van credentials vermoed of vastgesteld	PB-004: Account Takeover
  Blootstelling, staging of exfiltratie van data vermoed of vastgesteld	PB-005: Data-exfiltratie
  Cloud compromise vermoed of vastgesteld	PB-007: Cloud Compromise
  Malware of verdachte uitvoering vermoed of vastgesteld	PB-003: Endpoint-malware-infectie / PB-011: Verdachte uitvoering
  Privilege escalation vermoed of vastgesteld	PB-009: Privilege Escalation
  Lateral movement vermoed of vastgesteld	PB-010: Lateral Movement
  Grote uitval, afpersing of bedrijfsimpact op meerdere diensten	PB-019: Management van een major security incident

8. Post-incidentactiviteiten

• Lessons learned:

  • Houd een PIR over het moment van detectie, de classificatie van het verkeer, de snelheid van de mitigatie, de prestaties van de provider, de timing van de communicatie, de impact op klanten en besluiten over de recovery.
  • Beoordeel of de DDoS-activiteit een inbraak, toegang tot data, misbruik van accounts, cloud compromise of andere gelijktijdige doelen van de aanvaller maskeerde.

• Documentatie bijwerken:

  • Werk detectielogica, runbooks, contactpersonen bij providers, escalatiepaden, netwerkschema's, rate limit-beleid en mitigatieprofielen bij.
  • Volg verbeteringen in weerbaarheid en hardening-acties voor diensten.
    • 📘 RB-POST-003: Verbeteren van de DDoS-weerbaarheid

9. Referenties & gekoppelde bronnen

• Playbooks:

  • PB-003: Endpoint-malware-infectie
  • PB-004: Account Takeover
  • PB-005: Data-exfiltratie
  • PB-007: Cloud Compromise
  • PB-009: Privilege Escalation
  • PB-010: Lateral Movement
  • PB-011: Verdachte uitvoering
  • PB-019: Management van een major security incident

• Runbooks:

  • RB-TRIAGE-005: Validatie van een DDoS-alert
  • RB-ANALYSIS-029: Analyse van DDoS-verkeer
  • RB-ANALYSIS-030: Beoordeling van de impact van DDoS op diensten
  • RB-ANALYSIS-031: DDoS-attributie & dreigingsbeoordeling
  • RB-CONTAIN-009: Activeren van DDoS-mitigatie
  • RB-CONTAIN-010: Verkeersfiltering & rate limiting
  • RB-RECOVERY-006: Herstel van de beschikbaarheid van diensten
  • RB-POST-003: Verbeteren van de DDoS-weerbaarheid

• SOP's:

  • SOP-001: On-call van een engineeringteam oproepen bij security-incidenten
  • SOP-002: Incidentoverdracht tussen regio's
  • SOP-003: Escalatie en communicatie met Legal en directie
  • SOP-005: Communicatie met leveranciers tijdens een security-incident

10. Bijlagen

Bijdrager

Jayden Vo GitHub: https://github.com/jayden-vo

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.