Denial of service aanvallen op (Smart)scho(o)len

Leg eens een online school plat

Hoorde net op de radio de CEO van Smartschool als #cybersecurity onheilsprofeet voorspellen dat er steeds meer aanvallen komen op schoolinfrastructuur. En inderdaad het is mogelijk om zogenaamde Denial of service aanvallen uit te voeren waarbij je in feite zoveel verkeer stuurt naar een machine dat de lijn verzadigd geraakt of een service die erop draait zoveel request moet slikken dat die het niet meer aankan.

Nederlandse uberHacker Rop Gongrijp beschreef een Denial-of-service aanval als met een tankwagen de Kennedytunnel inrijden en hem dwars over de weg zetten en de fik insteken.

DoS-aanvallen zijn al geruime tijd gemeengoed om concurrenten, politieke partijen waar je het niet mee eens bent of als gamer je tegenstander op online spelletjes een extra handicap te geven. Zelf ben ik het jaren geleden het eerst tegengekomen toen dns.be geliberaliseerd werd en domeinnamen first-come, first-serve beschikbaar werden. Er was toen een serieuze rush op de koele, commerciële namen zoals ik zeg maar iets redbull.be en alle agenten wilden er op uur 0 zoveel mogelijk binnenhalen. Op een bepaald moment merkten we dat één van de agenten waarlangs de namen geregistreerd werden probeerden andere agenten hun internetlijn met nutteloos verkeer te vullen om zelf meer kans te maken op de juiste domeinnaam.

En dit is niet zo moeilijk vandaag de dag: iedere thuisgebruiker met een Telenetlijn kan makkelijk meer dan 10MBit aan verkeer genereren en ergens naartoe sturen. En op het dark web is er met wat bitcoin ook Denial-of-service-as-a-service ( DoSaaS ofzoiets?) te kopen. Veel scholen doen ook hun eigen Denial-of-service door zelf enorm veel, soms nutteloos verkeer te genereren: als de hele klas zijn laptop openstaan heeft en ook zijn persoonlijke camera streamt dan hoeft er geen snoodaard de boel plat te leggen dan doen jullie het onbewust het zelf wel.
Scholieren en studenten hebben ook veel energie, stamina en de nodige tijd om dit soort dingen uit te zoeken. Tijd die de ICT-coordinator van de school niet heeft met alle gevolgen van dien. Ik heb zelf als scholier/student heel veel uren besteed aan het uitzoeken van allerlei toepassingen op basis van een toen nog obscuur besturingssysteem genaamd linux maar ik had ook de tijd en (vaak nachtelijke) energie om allerlei securityproblemen uit te zoeken.
Het klinkt ook een beetje een cover-your-ass verhaal van Smartschool: ze hebben het duidelijk moeilijk gehad om te schalen, hebben ( logischerwijze) het afgelopen jaar heel veel problemen gehad en zijn als platform een nummer 1 doelwit voor zo’n Denial-of-service aanval. Het blijft een goeie verdediging als je alles aan het oplossen bent om te zeggen tegen de eindklant dat het zijn lijn is die platgelegd wordt natuurlijk. Ik neem hen dit als bedrijf niet kwalijk – ze hebben zeer snel moeten schalen in coronatijden. Maar technisch kunnen er wel een aantal slimme performantie-verbeteringen kunnen doen. Zo staat hun hele infrastructuur in een Nederlands datacenter met al de nodige vertragingen van dien en ook de connectiviteit er naartoe zou beter en redundanter kunnen. Maar ik vermoed dat het beschikbare budget hier ook een rol in speelt.

Maar wat kan je als school doen ? Hoe voorkom je dat je internetlijn zo zwaar belast is dat je niet meer deftig kan op afstand lesgeven?

5 tips :

• Voorzie voldoende infrastructuur, internetbandbreedte of om een vergelijking te maken : zorg dat je digitale oprit breed genoeg is om makkelijk uit je school te geraken. Bereken de bandbreedte die je nodig hebt en neem wat reserve op de groei of situaties zoals een pandemie. Van zowel Telenet, Proximus als sinds kort Eurofiber zijn er goede, betaalbare abonnementen met veel bandbreedte te krijgen. Maak er gebruik van en voorzie eventueel 2 lijnen die je allebei kan gebruiken. Hier kan je zelf zo ver gaan als één van beide lijnen te reserveren voor de leerkrachten en/of lessen op afstand.

• Zorg voor een goeie, voldoende performante router/firewall om deze bandbreedte aan te kunnen. We zien hier heel vaak op bespaard worden waardoor soms het verkeer niet optimaal gebruikt kan worden. Die firewall moet ook up-to-date zijn en het is ook een aanrader om een dashboard te hebben dat je kan zien wat er gebeurt, als die aangevallen wordt.

• Zorg dat deze firewall goed geconfigureerd is met een deny-all policy, zeker van buitenuit. Dit betekent dat je geen verkeer van buitenaf en diensten bereikbaar van buitenaf staan hebt. Deze kunnen allemaal gebruikt worden om je aan te vallen en zijn vaak voor niks nodig : de meeste echte diensten zoals e-mail, smartschool of andere toepassingen staan zelf meestal al ergens in de cloud. Dus zet alles van buitenaf toe, ook ICMP ( ping ).

• Bepaal welk verkeer voorrang heeft. Dit kan door gebruik te maken van zogenaamde Quality-of-service ( QoS) klassen ( hoe toepasselijk ) te gaan instellen. Zo kan je bepalen welk internetverkeer voorrang heeft en welk er pas door mag als er bandbreedte op overschot is. Je kan hier ook bijvoorbeeld een hoeveelheid bandbreedte reserveren voor leerkrachten, of voor één specifieke toepassing. Handig is ook dat leerkrachten en leerlingen intern gebruik maken van een eigen stuk van het netwerk, zo kan je dit al eenvoudiger oplossen.

• Leer op eenvoudige manier vaststellen wat er aan de hand is en waar het probleem zit. Als ICT-coördinator maar eigenlijk als elke gebruiker moet je in staat zijn zelf je situatie te debuggen en al een eerste vaststelling te maken van waar het misgaat: je pc, je wifi, je firewall, je internetlijn. Een handig dom tooltje hiervoor is mtr of Matt’s traceroute (MTR). Het zit in quasi elke linux maar ook op windows kan je het installeren. Het pingt elke stap van de weg naar bijvoorbeeld smartschool permanent en toont je waar de vertraging zit.

Wij als BA vinden onderwijs maatschappelijk zeer belangrijk en willen hier ons steentje voor bijdragen. Bij BA hebben we een medewerker gereserveerd de rest van de paasvakantie om scholen te helpen om gratis een eerste status op te stellen en op gang te helpen naar oplossingen. Stuur een mailtje naar support@ba.be en iemand neemt contact met je op voor een snelle check en een paar eerste adviezen.