Definition og formål
Et DDoS-angreb (Distributed Denial of Service) er et angreb, hvor mange systemer samtidig forsøger at overbelaste en netværksressource eller en tjeneste, så brugere oplever nedetid, meget høj latenstid eller fejl. Begrebet bruges ofte, når afsenderne er distribuerede (dvs. kommer fra flere kilder), og når trafik eller forespørgsler i stort omfang er automatiserede.
En enkel model for, hvordan det kan foregå
Tænk på en tjeneste som en kapacitet, der kan “tåle” et vist niveau af aktivitet. Under et DDoS-angreb bliver der genereret så meget trafik eller så mange belastende forespørgsler, at ressourcer som båndbredde, forbindelser, behandlingstid eller hukommelse fyldes. Resultatet er, at den normale kø for legitime brugere bliver for stor, eller at systemet bruger uforholdsmæssigt mange ressourcer på angrebet.
Det er vigtigt at forstå, at “angrebet virker” kan betyde flere ting: enten at netop målet ikke svarer i praksis, eller at svar bliver så langsomme, at tjenesten i brugerens øjne er utilgængelig. Hvilken type overbelastning der opstår, afhænger af angrebsmetoden.
Undergrupper: beslægtede typer af DDoS
Begrebet bruges også i mere specifikke underkategorier. En fælles måde at skelne på er:
- Volumetrisk overbelastning: Målet presses især på båndbredde eller datamængde, så der ikke er nok kapacitet til normal trafik.
- Protokol-/ressourceangreb: Fokuseret på at skabe mange “dyrere” forbindelses- eller protokolrelaterede aktiviteter, så systemer bliver bundet.
- Applikations-/lag-7-lignende angreb: Retter sig mod målets applikation, så angrebet belaster funktioner, der kræver mere behandling pr. forespørgsel.
Disse kategorier er en hjælp til at tale om adfærd og konsekvenser. De skal ikke forstås som helt skarpe grænser, fordi angreb kan kombinere elementer.
Begrænsninger i begrebsforståelsen
Der findes nogle vigtige “afgrænsninger”, som ofte gør forskellen mellem en korrekt og en misvisende forståelse:
- DoS vs. DDoS: DoS (Denial of Service) kan også bruges om manglende tilgængelighed, men DDoS fremhæver, at der er mange kilder involveret. I praksis kan angrebsbilleder variere.
- “Angreb” betyder ikke altid “hacket”: DDoS handler om tilgængelighed. En organisation kan have været involveret i datakompromentering i andre scenarier, men det behøver ikke følge med et DDoS-angreb.
- Teknisk effekt kan være variabel: Selvom et angreb beskrives som DDoS, vil udfaldet afhænge af målets robusthed, trafikmønstre og afbødende tiltag. Man bør derfor undgå absolutte formuleringer som “altid” eller “garanteret”.
- Kilder og motiver er ikke ens: Det er muligt at tale om DDoS som metode uden at kende præcis hvem der står bag, og hvorfor. Motivet kan variere, og det ligger uden for selve definitionen.
Praktisk brug: hvad du kan tjekke og vurdere
Når du støder på begrebet DDoS-angreb, kan du kontrollere, om beskrivelsen faktisk svarer til definitionen:
- Om der tales om mange samtidige kilder eller distribueret trafik.
- Om konsekvensen handler om utilgængelighed/overbelastning (langsommelighed, fejl, timeout) frem for eksempelvis datalæk.
- Om der angives en type som volumetrisk, protokol eller applikationsfokuseret belastning.
- Om der beskrives usikkerheder: er det baseret på observationer, eller er det en antagelse?
Hvis du skal bruge begrebet i en samtale eller rapport, er det også nyttigt at skelne mellem selve målet for angrebet (tilgængelighed) og andre sikkerhedshændelser, der har andre formål (fx adgangstyveri eller datatyveri).
Beslægtede begreber, der ofte blandes sammen
Flere ord optræder i samme sammenhæng som DDoS, men bruges ikke nødvendigvis ens:
- Botnet: En samling kompromitterede enheder, der kan bruges til at generere trafik. Begrebet handler om “kilder”, ikke nødvendigvis om den konkrete målretning.
- Rate limiting / kapacitetsbeskyttelse: Forsvarsmekanismer der sigter mod at reducere overbelastning. De ændrer ikke definitionen af et DDoS, men påvirker om angrebet får den ønskede effekt.
- Trafikfiltrering: Bruges til at skelne mellem typer af trafik. Hvordan det fungerer afhænger af miljøet, så det er bedst at læse det som en generel strategi, ikke som en bestemt garanti.
Hvis du holder fast i kernen—distribueret overbelastning med tilgængelighed som formål—er det lettere at skelne DDoS fra andre hændelser og fra retorik, der bruger ordet mere bredt end nødvendigt.