Belastingdienst vs. DDoS-aanvallen: hoe bestand is de overheid?

DDoS-aanvallen kunnen rampzalige gevolgen hebben voor bedrijven en organisaties. Daarom organiseren onder andere de Belastingdienst, Logius, Rijkswaterstaat en het Kadaster twee keer per jaar gezamenlijk een DDoS-oefening om hun reactieplannen te testen en te valideren. De laatste grootschalige oefening vond plaats op 12 februari. Jeroen Tuerlings, cybersecurityspecialist bij de Belastingdienst en student bij NOVI, was erbij.

DDoS-aanval

DDoS-aanvallen variëren in omvang en intensiteit en zijn een veelvoorkomende vorm van cybercriminaliteit waarbij het netwerk van een (vaak grote) organisatie overbelast raakt. Wanneer er te veel websiteverkeer naar een server leidt, veroorzaakt dit een storing. De server kan de drukte simpelweg niet aan. Bij een DDoS-aanval gebeurt hetzelfde, alleen bestaat het websiteverkeer niet uit een enorme stroom reguliere bezoekers, maar uit zogenaamde bezoekers die cybercriminelen inzetten om het systeem uit te buiten.

“Zodra het startsein is gegeven, slaat de gezellige,

gemoedelijke sfeer om in totale focus

en opperste concentratie”

DDoS-oefening: 12 februari

In de nacht van 12 februari kwamen tachtig deelnemers bijeen. Cybersecurityspecialisten van verschillende overheidsdiensten en grote bedrijven wandelen om 02.00 uur het hoofdkantoor van de Belastingdienst binnen. Daarna splitsen de aanwezigen zich op in twee teams: Team Red en Team Blue zijn geboren.

Ondanks de serieuze aanleiding hangt er een opperbeste sfeer. Koffie, energiedrankjes, snacks en andere versnaperingen maken de intensieve nacht van de cybersecurityspecialisten dragelijk. Zodra het startsein is gegeven, slaat de gezellige, gemoedelijke sfeer om in totale focus en opperste concentratie. Let’s begin!

Team Red en Team Blue

In een ruimte maakt Team Red zich gereed. Het aanvalsteam zet alles op alles om in te breken door grootschalige DDoS-aanvallen te plegen. In een andere ruimte staat Team Blue in de startblokken. De verdedigers zetten zich schrap om de aanvallen te weren.

Naast aanvallers en verdedigers lopen er spelleiders en engineers rond. Ik ben een van de engineers en ben verantwoordelijk voor het in orde maken van ruimtes, het faciliteren van de juiste netwerken en diverse dashboards en het instrueren van beide teams met betrekking tot het gameboard dat ik beheer. Daarnaast regel ik, samen met andere teams binnen de dienst, back-up servers voor het geval een aanval succesvol is en het systeem daardoor plat komt te liggen.

“Deze avond zijn we op het allerergste voorbereid”

Gameboard

Het gameboard is onmisbaar tijdens de urenlange oefening. Op dit spelbord vind je de tijdlijn die aangeeft wanneer de oefening van start gaat. Terwijl Team Red weet wanneer welke aanval wordt ingezet, is het verdedigingsteam slechts op de hoogte van wanneer de aanval start.

Het gameboard bestaat uit meerdere schermen waarop data te zien is. De verdedigers lezen deze gegevens af en ontdekken welke – vaak zware en nieuwe – aanvallen worden gepleegd. Op een doorsnee dag krijgen we bij de Belastingdienst aanvallen voor onze kiezen die minder heftig zijn, maar deze avond zijn we op het allerergste voorbereid.

Geslaagde aanval

Wanneer we het gejuich van Team Red horen, weten we dat een aanval is geslaagd. Lukt het Team Blue om hier adequaat op te reageren? Al vrij snel zien we de reactie van Team Blue op het gameboard. Het verdedigingsteam bespeurt de stappen en aanwijzingen. Er wordt direct gereageerd op de aanvallen. Is dit voldoende of heeft Team Blue toch iets over het hoofd gezien?

Mijn collega’s en ik zien precies welke reacties er ontstaan en welke acties dit veroorzaken. Op het gameboard wordt namelijk gelogd. Wanneer targets daadwerkelijk zijn getroffen – en de website dus een storing meldt – wordt dit bijgehouden. Het systeem harkt alle data bijeen en genereert automatisch een tijdlijn.

Einde oefening

Zodra de zon opkomt, is het tijd om de analyse uit te draaien: na ruim vier uur zit de oefening erop. Uit deze analyse maken we op welke handelingen effectief waren, maar ook waar Team Blue de plank missloeg en waar Team Red terrein won.

Over een half jaar kijken we opnieuw of onze systemen nog steeds bestand zijn tegen deze vorm van cybercriminaliteit. Op deze manier blijven wij up-to-date met de nieuwste, geavanceerde technologieën op het gebied van cybercrime. Tot die tijd zetten wij ons dagelijks in om deze vorm van misdaad de baas te zijn en onze websites toegankelijk te houden voor jou en andere reguliere webbezoekers.