DDoS op SIP: hoe een VoIP-aanbieder zich voorbereidt

Waarom SIP kwetsbaar is voor DDoS

Een SIP-platform moet bereikbaar zijn vanaf internet, anders werken toestellen en trunks niet. Dat maakt het een doelwit. Aanvallen kunnen op verschillende lagen zitten:

• Volumeaanvallen die de verbinding naar uw netwerk vol laten lopen;
• Aanvallen op SIP zelf, zoals een vloed aan REGISTER- of INVITE-berichten die de SBC overbelast;
• Aanvallen op afhankelijkheden, zoals uw DNS of het klantportaal.

Telefonie is gevoelig voor kleine verstoringen. Een beetje pakketverlies maakt gesprekken al onverstaanbaar.

Wat zegt de Cbw?

De Cbw noemt DDoS niet bij naam. De zorgplicht vraagt passende maatregelen tegen de risico's voor uw netwerk- en informatiesystemen, op basis van een benadering die alle gevaren omvat (artikel 21 Cbw). Voor een VoIP-aanbieder hoort DDoS daarom in de risicoanalyse en in uw continuïteitsplannen (artikel 9 Cyberbeveiligingsbesluit).

Een DDoS kan ook meldplichtig zijn. Volgens artikel 8 van de Regeling cyberbeveiliging EZK is een incident in elk geval significant bij een onderbreking van de dienst voor minstens 50.000 gebruikers gedurende vier uur of langer, of als het alarmnummer niet beschikbaar is. Daaronder kan een incident volgens de algemene regel van artikel 25 Cbw ook significant zijn. Kan uw platform door een DDoS geen 112-gesprekken meer afhandelen, dan is het dus meldplichtig.

Maatregelen vooraf

Architectuur

• Spreid uw SBC's over meer locaties of netwerken, zodat één aanval niet alles raakt.
• Scheid signalering en media waar dat kan, en zet het klantportaal op andere infrastructuur dan het SIP-platform.
• Zorg dat 112-verkeer een eigen, beschermde route heeft waar uw opzet dat toelaat.
• Gebruik DNS met meerdere naamservers bij verschillende partijen.

Filteren en beperken

• Sta SIP-trunks alleen toe vanaf bekende IP-adressen van klanten en carriers.
• Stel per bron limieten in op het aantal SIP-berichten.
• Blokkeer automatisch bronnen met veel mislukte registraties.
• Zet onnodige poorten en diensten dicht.

Afspraken met uw upstream

• Vraag uw transitleverancier of carrier welke DDoS-bescherming zij bieden: filteren, scrubbing of het blackholen van een doeladres.
• Leg vast hoe u hen bij een aanval bereikt, ook buiten kantoortijd, en hoe snel zij reageren.
• Neem dit mee in uw leveranciersbeoordeling; zie ketenbeveiliging onder NIS2.

Tijdens een aanval

1. Herken het. Monitoring op verkeer, SIP-berichten per seconde en gespreksopbouw. Een plotselinge daling van geslaagde gesprekken is een belangrijk signaal.
2. Beperk de schade. Schakel de bescherming van uw upstream in, verplaats verkeer naar een andere locatie of zet filters aan.
3. Leg vast. Noteer tijden, aantallen getroffen gebruikers en genomen maatregelen. Het moment dat u weet dat het incident significant is, start de meldtermijn.
4. Meld en informeer. Bij een significant incident volgt de vroegtijdige waarschuwing binnen 24 uur. Informeer klanten via een kanaal dat niet van uw telefonie afhangt. Zie de voorbeeldtijdlijn van de meldplicht.
5. Leer ervan. Wat werkte, wat niet? Pas uw draaiboek aan.

Oefen het draaiboek

Een DDoS-draaiboek op papier is een begin. Loop het eens per jaar door met de storingsdienst: wie belt de upstream, wie beslist over melden, wie informeert klanten? Het Cyberbeveiligingsbesluit vraagt dat u uw continuïteits- en crisisplannen periodiek test (artikel 9). Test nooit met echte aanvallen op productie zonder afspraak met uw upstream, en gebruik bij oefeningen nooit echte noodoproepen.

Meer over telefonierisico's leest u in NIS2 voor VoIP-aanbieders en over belfraude in Toll fraud voorkomen.

Veelgestelde vragen

Is elke DDoS-aanval meldplichtig?

Nee. Een DDoS is meldplichtig als het een significant incident is. Voor telecom gelden onder meer de drempels uit artikel 8 van de Regeling cyberbeveiliging EZK, en uitval van 112 is altijd significant.

Moet ik een DDoS-dienst inkopen?

De regels schrijven dat niet voor. U neemt passende maatregelen op basis van uw risicoanalyse. Voor veel VoIP-aanbieders is bescherming via de upstream een logische keuze.

Hoe informeer ik klanten als mijn telefonie plat ligt?

Via een kanaal dat niet afhangt van de getroffen dienst, zoals sms via een ander netwerk, mail of een externe statuspagina. Artikel 30 Cbw vraagt dat u klanten waar nodig onverwijld informeert.