Wat zijn de lagen van DDoS-verdediging en wat handelt elk ervan af?

Question

Accepted Answer

DDoS-verdediging is **verdediging in diepte**: geen enkele controle stopt elke aanval, dus je stapelt lagen die elk een ander soort verkeer absorberen, filteren of blokkeren. De volgorde is belangrijk — push zoveel mogelijk werk naar de rand, weg van je origin.

## De lagen, van rand naar binnen

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — de buitenste laag. Met **anycast** wordt hetzelfde IP van veel aanwezigheidspunten aangekondigd, dus een volumetrische flood wordt **verspreid over globale capaciteit** in plaats van één datacentrum. Scrubbing centers absorberen de flood en sturen alleen schoon verkeer door.
- **WAF (Web Application Firewall)** — inspecteert HTTP-verzoeken en blokkeert kwaadaardige patronen: slechte handtekeningen, verdachte user agents, bekende slechte IP's, en **Layer 7** floods die echte verzoeken nabootsen.
- **Rate limiting** — beperkt verzoeken per IP, API-sleutel of gebruiker over een tijdvenster, retourneert `429 Too Many Requests`. Stopt misbruik veroorzakende clients zonder normale clients te schaden.
- **Upstream / ISP blackhole (null-route)** — het laatste redmiddel voor pure volume. De provider verwijdert al het verkeer naar het doel-IP (**remotely-triggered blackhole, RTBH**), offert dat ene IP op om alles anders te beschermen.
- **Autoscaling + overprovisioning** — extra origin-capaciteit om **te absorberen** wat doorsijpelt, wat tijd koopt terwijl andere lagen in werking treden.

## Hoe ze samenwerken

Het mentale model is **absorberen -> filteren -> blokkeren**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetrische aanvallen sterven in de CDN/scrubbing-laag; aanvallen op toepassingsniveau die op echt verkeer lijken worden gefilterd door de WAF en rate limiter.

## Waarom het belangrijk is

Vertrouwen op één laag faalt voorspelbaar: een WAF kan een flood van 1 Tbps niet stoppen (de pijp verzadigt eerst), en een CDN alleen zal een slimme HTTP-flood graag naar je origin doorsturen. Lagen betekenen dat elke aanvalsklasse een controle ontmoet die ervoor is ontworpen, en de origin ziet alleen verkeer dat de buitenste lagen zelf niet konden verwerken.