Kijk uit met cloudbeveiliging

Cloudbeveiliging blijkt geen garantie tegen DDOS aanvallen. Dat stellen computerwetenschappers verbonden aan de KU Leuven en onderzoekscentrum iMinds. In zeventig procent van de gevallen kan de beveiliging worden omzeild.

Websites en onlinediensten zijn steeds vaker het slachtoffer van cyberaanvallen. Een typisch voorbeeld zijn de distributed denial-of-service-aanvallen (DDoS): de site of dienst wordt doelbewust bestookt met enorme aantallen communicatieverzoeken vanaf verschillende computers.

Cloudbeveiligers beschermen websites onder meer door het inkomende webverkeer om te leiden via hun eigen infrastructuur, die robuust genoeg is om cyberaanvallen te detecteren en te absorberen. Dat lukt echter niet als cybercriminelen het originele IP-adres van de betrokken websites achterhalen.

De Belgische onderzoekers speurden naar zwakke plekken bij de zogenoemde DNS redirection-strategie, die door vele cloudbeveiligers wordt gebruikt om het webverkeer naar hun klanten te onderscheppen. Zo werd kwetsbaarheid getest van bijna 18.000 websites, beschermd door vijf verschillende providers.  Daartoe werd de CLOUDPIERCER-tool ontwikkeld, die het originele IP-adres van websites automatisch probeert te achterhalen op basis van acht verschillende methodes – zoals historische data over het webdomein en IP-adres, of het gebruik van onbeschermde subdomeinen.

De resultaten waren toch wel confronterend: in meer dan 70 procent van de gevallen kon CLOUDPIERCER effectief het originele IP-adres van de betrokken websites achterhalen.

De onderzoeksresultaten zijn al gedeeld met de betrokken aanbieders. Maar de onderzoekers willen ook het brede publiek – en meer specifiek de eigenaars van websites – informeren over de tekortkomingen van de DNS redirection-strategie. Daarom stellen ze hun CLOUDPIERCER-tool gratis ter beschikking. Zo kunnen mensen hun eigen website testen op de acht methodes die zijn gebruikt.

De onderzoekers bevelen twee maatregelen aan om te vermijden dat het originele IP-adres van een website te achterhalen is. De firewall-instellingen van de website kunnen zo geprogrammeerd worden dat alleen webverkeer vanaf de cloudbeveiliger wordt toegelaten. De andere oplossing is het IP-adres van de website veranderen zodra het contract met de provider ingaat.