Wat is een DDoS-aanval?
Een Distributed Denial-of-Service-aanval is precies wat de naam zegt: een gecoördineerde poging van veel endpoints om één doelwit te overweldigen met verkeer, waardoor een resource (netwerkbandbreedte, kernel-verbindingsstatus, applicatiedraden, databaseverbindingen) wordt uitgeput en de service onbeschikbaar wordt. Moderne DDoS-aanvallen vallen in drie klassen die verschillen in hoe ze het doelwit exploiteren.
Volumetrische aanvallen putten ruwe netwerkbandbreedte uit. De klassieke vorm is reflectie-amplificatie — de aanvaller stuurt vervalste UDP-pakketten naar publieke servers (DNS, NTP, Memcached, CLDAP) die antwoorden met veel grotere reacties, waardoor de bandbreedte van de aanvaller 50x tot 50.000x wordt vermenigvuldigd, afhankelijk van het protocol. Volumetrische aanvallen worden gemeten in bits per seconde en de grootste openbaar gemaakte gebeurtenissen hebben 3 Tbps overschreden. Mitigatie gebeurt aan de netwerkrand, voordat verkeer je server bereikt.
Protocolaanvallen putten kernel-niveau verbindingsstatus uit. SYN-floods (half-open TCP-verbindingen), ACK-floods en verschillende aanvallen met misvormde pakketten vallen in deze categorie. Ze worden gemeten in pakketten per seconde. Mitigatie gebeurt zowel aan de rand (met stateless filters) als op de server (met kernel-tuning, SYN-cookies, fail2ban-achtige automatische blokkering).
Applicatielaag (L7) aanvallen putten applicatieniveau-resources uit. HTTP-floods die dure endpoints targeten, slow-loris-aanvallen die verbindingen openhouden, GraphQL-query's die exploderen in N+1-patronen. Gemeten in verzoeken per seconde; mitigatie vereist inzicht in je applicatieoppervlak en is zelden puur aan de netwerkrand te doen — het vereist meestal rate limiting op applicatieniveau, querybudgetten, CDN-caching of een WAF.
Elke klasse heeft een andere mitigatie nodig; moderne beschermingsstapels combineren alle drie. De Gbps-cijfers in offshore-hosting marketingteksten verwijzen naar volumetrische capaciteit, maar volumetrische aanvallen zijn slechts één van de drie bedreigingen — de andere twee vereisen engineeringwerk aan jouw kant.
Hoe moderne DDoS-scrubbing werkt
De infrastructuur die volumetrische aanvallen absorbeert, wordt een "scrubbing center" genoemd en de architectuur is consistent bij alle grote providers (Cloudflare, Akamai, Imperva, NTT) en bij de meeste offshore hosts met een eigen edge.
Verkeer bestemd voor je IP wordt aangekondigd via anycast vanaf meerdere geografische punten. Anycast laat hetzelfde IP bereikbaar zijn vanaf veel locaties; routeringsprotocollen leveren elk pakket automatisch af bij de dichtstbijzijnde edge. Wanneer een aanval gaande is, wordt het aanvalsverkeer verdeeld over veel edge-punten (omdat de aanvallers zelf geografisch verspreid zijn), en elk edge-punt ziet slechts een fractie van het totale volume.
Op elk edge-punt classificeren scrubbing-filters verkeer in realtime. Legitiem verkeer wordt doorgestuurd naar je origin; aanvalsverkeer wordt aan de rand gedropt. De classificatie gebruikt een mix van stateless regels (drop vervalste bron-IP's, drop ongebruikelijke pakketstructuren), stateful heuristieken (volg verbindingsstatus en drop onvolledige handshakes), en gedragsanalyse (drop bronnen die overeenkomen met bekende botnet-patronen).
De hele architectuur is preventief — geen human-in-the-loop reactietijd, geen noodzaak om mitigatie te "activeren". Zodra je IP op de beschermde anycast-aankondiging staat, is de bescherming altijd aan. MurmurHost-plannen bevatten dit standaard; de DDoS-bescherming functiepagina documenteert de capaciteit per tier.
Welke capaciteit is voldoende?
Dit is de vraag die de meeste klanten stellen, en het antwoord is genuanceerder dan de marketingtekst suggereert.
Voor de meeste persoonlijke projecten (een blog, een klein forum, een hobby Mastodon-instantie), is 10 Gbps scrubbing voldoende. De aanvallen die persoonlijke projecten targeten, zijn typisch opportunistisch — script-kiddie-niveau, onder 10 Gbps, duren minuten tot uren. Onze instap-tier VPS-1 en VPS-2 plannen bevatten 10 Gbps scrubbing en dat heeft elke aanval gedekt die we het afgelopen jaar tegen persoonlijke projectklanten hebben gezien.
Voor bescheiden commerciële operaties (een niche e-commerce winkel, een kleine SaaS, een druk forum), is 50–100 Gbps de juiste tier. Aanvallen op dit niveau zijn typisch gemotiveerd — concurrentie-intimidatie, losgeldpogingen, ideologisch gemotiveerde aanvallen tegen specifieke commentaar — en ze houden soms uren of dagen aan. Middelste tier VPS-4 en VPS-8 plannen bevatten 100 Gbps scrubbing.
Voor workloads met hoge bandbreedte of hoog doelwit (streaming, adult, game servers, VPN exit nodes), is 200–400 Gbps geschikt. Aanvallen tegen deze workloads zijn meestal zowel groter (commerciële DDoS-for-hire-markten targeten expliciet streaming en adult) als langer (volgehouden over dagen, soms weken). Onze dedicated tier — DS-Mid, DS-Pro — bevat 400 Gbps scrubbing.
Voor enterprise-workloads met aanhoudende vijandige aandacht (waargenomen aanvallen van 1+ Tbps), is de standaardpraktijk om Cloudflare of BunnyCDN voor de offshore origin te plaatsen en te vertrouwen op de veel grotere absorptiecapaciteit van de CDN (multi-Tbps wereldwijd) voor L3/L4-bescherming. Cloudflare's gratis tier bevat nuttige bescherming; de betaalde tiers voegen WAF- en botbeheermogelijkheden toe. We ondersteunen dit patroon expliciet — zie onze DDoS-bescherming functiepagina.
De onderstaande tabel vat de MurmurHost-beschermingstiers samen:
| Plantier | Volumetrische scrubbing | Toepassing van |
|---|---|---|
| Gedeeld, VPS-1, VPS-2 | 10 Gbps | Persoonlijk, hobby |
| VPS-4, VPS-8, RDP-Pro | 100 Gbps | Commercieel, middenverkeer |
| VPS-16, DS-Lite | 200 Gbps | Hoogverkeer |
| DS-Mid, DS-Pro, DS-Beast, GPU-plannen | 400 Gbps | Streaming, adult, volgehouden |
| Aangepast enterprise | 1+ Tbps | Soeverein-niveau, cross-CDN |
Randtactieken — applicatielaagregels, rate limiting
De volumetrische scrubbing-tier behandelt L3/L4-aanvallen. Applicatielaagaanvallen vereisen engineeringwerk aan je applicatierand. Drie patronen zijn het belangrijkst:
Rate limiting. Beperk verzoeken per IP, per sessie, of per endpoint. De eenvoudigste implementatie is via Nginx (limit_req_zone), HAProxy, of de middleware van je applicatie. Geavanceerdere benaderingen — token-bucket per identiteit, sliding-window per endpoint — vereisen meer setup maar absorberen burst-aanvallen gracieuzer. De juiste verhouding hangt af van je normale verkeerspatronen: als je drukste legitieme gebruiker 50 verzoeken per minuut doet, stel de limiet dan in op 200/minuut, niet op 30.
WAF-regels. Een Web Application Firewall inspecteert verzoekpayloads en blokkeert patronen die overeenkomen met bekende aanvalssignaturen (SQL-injectie, XSS, veelvoorkomende bot-vingerafdrukken). Cloudflare's WAF, modsecurity (met de OWASP Core Rule Set), en BunnyCDN's WAF werken allemaal voor offshore hosts. De WAF leeft aan je CDN-rand als je die hebt, of voor je applicatieserver als je die niet hebt.
Cloudflare of BunnyCDN ervoor. Naast de WAF absorbeert een CDN de aanval op een laag die veel verder schaalt dan elke individuele origin. Cloudflare specifiek is al tien jaar de standaardpraktijk in offshore hosting — het werkt prima voor een Nederland- of IJsland-origin, en de gratis tier biedt op zichzelf betekenisvolle bescherming. We documenteren de canonieke Cloudflare-plus-offshore-origin configuratie op onze functiepagina.
Tarpitting en uitdagingsmechanismen
Voor aanhoudende laagvolume L7-aanvallen (geavanceerde bots, scrapers, gescripte accountovernames), worden expliciete uitdagingsmechanismen nuttig.
JS-uitdaging. Cloudflare's "I'm Under Attack"-modus en vergelijkbare functies injecteren een kleine JavaScript-uitdaging die legitieme browsers automatisch doorstaan; bots die geen JS draaien worden gefilterd. Goedkoop, effectief, transparant voor legitieme gebruikers.
CAPTCHA-poorten. Wanneer de JS-uitdaging onvoldoende is, filtert een echte CAPTCHA op de verdachte endpoints mensen van geavanceerde bots. De wrijvingskosten zijn reëel — uitvalpercentages stijgen — dus gebruik spaarzaam en alleen op endpoints onder aanhoudende aanval.
Proof-of-work-uitdagingen. mCaptcha, Anubis en vergelijkbare tools vereisen dat de client een kleine proof-of-work berekent voordat het verzoek wordt verwerkt. De economische kosten voor de aanvaller schalen lineair met het aanvalspercentage; de kosten voor een legitieme gebruiker zijn onzichtbaar (een paar honderd milliseconden in het slechtste geval). Dit patroon heeft in 2025–2026 tractie gekregen, specifiek tegen AI-scraping en credential-stuffing-campagnes.
Tarpitting. Reacties op verdacht verkeer vertragen zonder ze expliciet te weigeren. Effectief tegen eenvoudige bots die verbindingen openhouden tot ze een reactie krijgen; minder effectief tegen moderne aanvalstools die time-outen en doorgaan.
DDoS-economie: wie betaalt voor wat
De economie van DDoS-bescherming is meestal ondoorzichtig voor klanten. Ongeveer:
- Volumetrische scrubbingcapaciteit is de duurste laag voor de host. Een 10-Gbps scrubbing-tier op schaal kost de provider ruwweg $0,01–0,10 per beschermde GB aan aanvalsverkeer, wat oploopt tot niet-triviale overhead voor workloads met een hoog doelwit. De meeste providers nemen een basistier op in de planprijs en rekenen voor "premium"-capaciteit daarboven.
- Anycast-peering is matig duur — je hebt ruimte nodig op meerdere internet exchange points. Meestal een vaste kost.
- WAF-regels en L7-bescherming zijn goedkoop in vergelijking met scrubbing — de meeste kosten zitten in het onderhouden van de regelset, niet in CPU.
MurmurHost neemt de volledige basistier op in elk plan. Premium-scrubbing (boven de plantiercapaciteit, voor aanhoudende 1+ Tbps-aanvallen) is een enterprise-upgradegesprek, geen kosten per aanval. We factureren niet op aanvalsvolume; aanhoudende aanvallen boven plancapaciteit leiden tot een gesprek met de klant over het upgraden van de plantier, niet tot een verrassingsfactuur.
Wat je op applicatieniveau kunt doen
De meest effectieve DDoS-bescherming is om geen doelwit te zijn, en de tweede meest effectieve is om je applicatie goedkoop te houden om te serveren. Specifieke hefbomen:
Cach agressief. Statische inhoud geserveerd vanaf een CDN (of zelfs vanaf lokale Nginx met een cache-directive) kost de origin niets. Dynamische inhoud die voor korte vensters wordt gecached (5–60 seconden voor de meeste pagina's) absorbeert verkeerspieken zonder volledige origin-verwerking te vereisen.
Maak dynamische endpoints goedkoop. Een verzoek dat bij elke paginalading de database raakt, is veel kwetsbaarder dan een die Redis raakt. Duw dure berekeningen naar achtergrondwerkers, retourneer gecachte of uiteindelijk-consistente gegevens op het verzoekpad.
Stel querybudgetten in. GraphQL-API's zijn bijzonder kwetsbaar voor amplificatieaanvallen — een enkel aanvallersverzoek kan duizenden databasequery's triggeren. Stel querydieptelimieten, querycomplexiteitslimieten en per-IP-querybudgetten in.
Scheid lees- en schrijfpaden. Leesintensief verkeer mag nooit concurreren met schrijfintensief verkeer om dezelfde databaseverbindingspool. Leesreplica's behandelen leesaanvallen gracieus; schrijfaanvallen zijn kleiner in volume en gemakkelijker te rate-limiten.
Monitor en waarschuw. Een aanval van 10 minuten die je niet opmerkt, is meestal een non-event. Een aanval van 10 minuten die je wel opmerkt, geeft je tijd om beschermingen in te schakelen (Cloudflare's I'm-Under-Attack-modus omschakelen, nood-WAF-regels implementeren, contact opnemen met ondersteuning). Zelfs basisbewaking (serverbelasting, verzoekpercentage, 5xx-foutpercentage) is voldoende voor de eerste reactie.
Plannen met ingebouwde DDoS-bescherming
Geselecteerde MurmurHost-plannen, gesorteerd op typisch gebruiksscenario:
- Persoonlijke projecten, hobby: VPS-1 ($8/mnd, 10 Gbps), Shared Pro ($7,99/mnd, 10 Gbps).
- Commercieel kleinbedrijf: VPS-2 ($16/mnd, 10 Gbps), VPS-4 ($32/mnd, 100 Gbps).
- Streaming, adult, seedboxes: VPS-8 ($64/mnd, 100 Gbps), Stream-1 (hoge bandbreedte-tier).
- Game servers: Game-M (game-grade UDP-filters), Game-L.
- Aanhoudend hoog doelwit dedicated: DS-Mid ($149/mnd, 400 Gbps), DS-Pro, DS-Beast.
- GPU-inferentie en ML: GPU-Pro, GPU-Beast — beschermd door 400 Gbps scrubbing, hetzelfde als dedicated.
Het volledige menu staat op /pricing en de uitsplitsing per functie op /features/ddos-protection.
Conclusie
DDoS-bescherming is een opgelost probleem op de volumetrische laag — elke geloofwaardige offshore host in 2026 bevat standaard substantiële scrubbingcapaciteit. Het resterende werk gebeurt op de applicatielaag, waar goedkope caching, rate limiting, querybudgetten en basisbewaking het meeste resterende oppervlak sluiten. De juiste plantier wordt meer bepaald door je gebruiksscenario dan door aanvalsgroottevoorspellingen: persoonlijke projecten hebben 10 Gbps nodig, middenverkeer commercieel 100 Gbps, en workloads met een hoog doelwit 400 Gbps met Cloudflare ervoor. Kies de tier die past bij je workload op de prijspagina, en combineer het met verstandige applicatieniveau-engineering. Voor de bedreigingsmodellen die het rechtvaardigen, behandelt de DDoS-bescherming functiepagina de capaciteit per tier in detail.