RB-CONTAIN-010: Verkeersfiltering & rate limiting

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Verkeersfiltering & rate limiting
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

De DDoS-activiteit is bevestigd
Er is een incidentticket aangemaakt
De verkeersanalyse is afgerond
De getroffen diensten zijn vastgesteld
Het Network Operations-team is ingeschakeld
De infrastructuurteams zijn ingeschakeld
Waar nodig zijn de juiste change-goedkeuringen verkregen

2. Stap-voor-stap-instructies

Review de bevindingen uit de verkeersanalyse

Review:
- Type aanval
- Spreiding van bron-IP's
- Geografische spreiding
- Verkeersvolume
- Betrokken protocollen
- Aangevallen diensten
- Aanvalssignaturen
Stel vast:
- Mogelijkheden voor filtering
- Mogelijkheden voor rate limiting
- Mogelijke bedrijfsimpact van mitigatieacties
Documenteer de bevindingen.
Stel de filterlocaties vast

Stel vast waar maatregelen kunnen worden toegepast:
- CDN
- WAF
- Load balancer
- Reverse proxy
- Firewall
- Router
- Cloud-native beschermingsdiensten
- Mitigatiediensten van de ISP
Documenteer de beschikbare handhavingspunten.
Voer filtering op bron in

Waar passend:
- Blokkeer kwaadaardige bron-IP's
- Blokkeer kwaadaardige IP-reeksen
- Blokkeer bekende botnetinfrastructuur
- Blokkeer kwaadaardige ASN's
- Pas geografische beperkingen toe
Valideer dat legitiem verkeer niet wezenlijk wordt geraakt.

Documenteer de uitgevoerde acties.
Voer protocolfiltering in

Review en beperk kwaadaardige verkeerspatronen zoals:
- UDP-floods
- SYN-floods
- ICMP-floods
- Misbruik van DNS
- Reflectieverkeer
- Amplificatieverkeer
Pas waar passend protocolspecifieke bescherming toe.

Documenteer de wijzigingen.
Voer filtering op applicatielaag in

Als aanvallen op applicatielaag zijn vastgesteld:
- Blokkeer kwaadaardige user-agents
- Blokkeer kwaadaardige requestpatronen
- Blokkeer bekende aanvalssignaturen
- Beperk misbruik van API's
- Beperk excessieve aantallen requests
Valideer de werking van de applicatie na invoering.

Documenteer de acties.
Pas rate limiting toe

Voer waar passend rate limiting in op:
- Requests per seconde
- Verbindingen per seconde
- Authenticatieverzoeken
- API-verzoeken
- Aanmaken van sessies
- Resource-intensieve operaties
Kies limieten die de bedrijfsimpact minimaliseren.

Documenteer de configuratiewijzigingen.
Valideer de effectiviteit

Review:
- Afname van het verkeer
- Beschikbaarheid van de dienst
- Foutpercentages
- Responstijden van applicaties
- Impact op klanten
Stel vast of de mitigatieacties de effectiviteit van de aanval verminderen.

Documenteer de bevindingen.
Monitor op ontwijking

Controleer op:
- Rotatie van bronnen
- Wisselen van protocol
- Veranderende aanvalspatronen
- Nieuwe infrastructuur
- Multi-vectoraanvallen
Pas de filtermaatregelen waar nodig aan.

Documenteer de waarnemingen.
Coördineer de operationele communicatie

Informeer:
- De Incident Commander
- Network Operations
- De infrastructuurteams
- De service-eigenaren
- De securityleiding
Communiceer:
- Ingevoerde maatregelen
- Verwachte impact
- Huidige effectiviteit
- Resterende risico's
Documenteer de communicatie.
Werk het incidentrecord bij

Leg vast:
- Ingevoerde filtermaatregelen
- Toegepaste rate limits
- Getroffen diensten
- Validatieresultaten
- Waargenomen ontwijkingspogingen
- Uitgevoerde communicatie
Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

Zorg dat de filteracties zijn vastgelegd
Zorg dat de rate limiting-acties zijn vastgelegd
Zorg dat de effectiviteit van de mitigatie is gevalideerd
Zorg dat de operationele communicatie is vastgelegd
Zorg dat ondersteunend bewijs is toegevoegd
Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.