Het gebeurt vaker dat een partij afscheid neemt van klanten omdat ze overlast veroorzaken. Dat Cloudflare 8Chan de deur heeft gewezen is wat dat betreft niet uniek. Het verhaal wordt anders als de dienstverlening centraal wordt gezet. Cloudflare is niet een provider die klant 8Chan heeft gesommeerd de website weg te migreren.
DDoS mitigatie – need to have
De dienst die Cloudflare leverde was primair gericht op het in de lucht houden van 8Chan, een DDoS mitigatie dienst. 8Chan is een website die schijnbaar niet alleen veel regulier verkeer trekt, maar ook populair is bij personen die de website het liefst op zwart willen zetten en dat middels DDoS aanvallen willen realiseren.
Websites als 8Chan hebben dus DDoS mitigatie nodig. Dat geldt inmiddels voor een steeds grotere groep van websites. In Nederland weten we dat de banken en overheidsdiensten geliefde doelen zijn van DDoS aanvallen. Andere websites en/of webshops ervaren ook steeds meer aanvallen. DDoS mitigatie is daarmee niet langer een toolkit voor een kleine en exclusieve groep. Het is inmiddels een need to have. Providers en datacenters bieden een dergelijke dienst dan ook steeds vaker aan.
Aanbod
Wie het DDoS mitigatie aanbod bekijkt zal direct opvallen dat het aantal spelers op deze markt (voor het gemak beperken we ons tot de Nederlandse markt) beperkt is. Het model middels eigen hardware aanvallen het hoofd te bieden bestaat nog steeds, maar legt het steeds vaker af tegen de complete dienstverlening die elders kan worden gehuurd zonder daarvoor te hoeven investeren.
Velen zullen naast Cloudflare, Akamai, Imperva en Verisign (her-) kennen als internationale spelers met een cloudbased aanbod. Op meer nationaal niveau is er de dienstverlening van de stichting Nawas en Serverius. Het overzicht is niet volledig, maar illustreert wel dat de DDoS mitigatie aanbodzijde redelijk beperkt, helemaal als het wordt vergeleken met het aantal datacenters, providers en zelfs internetknoppunten dat in Nederland is gevestigd.
Eerste les – klein aanbod
De eerste les uit de 8Chan affaire kan worden getrokken is dan ook de volgende. De aard en omvang van het DDoS mitigatie aanbod is dusdanig dat een partij die de deur wordt gewezen een serieus probleem heeft. Het aantal alternatieven is beperkt en de reden van verbanning zal waarschijnlijk ook bij de andere grotere spelers een issue zijn (zie ook het volgende punt). Uitwijken naar een kleinere aanbieder is op papier een optie, maar het aanbod daarvan is geringer en of zij bereid zijn de nek uit te steken is onduidelijk.
Tweede les – schoon schip
De tweede les heeft ook alles te maken de DDoS mitigatie aanbieder. Opvallend weinig is gewezen op de bijzonder positie waarin Cloudflare verkeert. Het bedrijf wil komende maand naar de beurs. Het is daarom verplicht alle risico’s inzichtelijk te maken. Het faciliteren van 8Chan is een dergelijk risico. Het kan schadelijk zijn voor het imago, klanten kunnen opzeggen uit protest en het bedrijf kan daardoor bij juridische geschillen betrokken raken. Geen enkele beurskandidaat kan zich permitteren daarmee geconfronteerd te worden. Wie kiest voor DDoS mitigatie doet er dus goed aan te kijken of er op termijn redenen zijn voor de aanbieder de bezem door het klantenbestand te halen.
Derde punt – ad hoc alternatieven
Wat er als derde punt kan worden genoteerd is dat kiezen voor een ad hoc alternatief alleen maar contraproductief is. De snelheid waarmee 8Chan onderdak vond bij Epik was niet onverwachts. Dat de laatste onder DDoS mitigatie verstaat het huren van veel verspreide IaaS capaciteit bij Voxility was wel onverwacht. Dat deze IaaS aanbieder binnen no time Epik en daarmee 8Chan de deur wees was totaal geen verrassing. Het ging het duidelijk om haastwerk van Epik dat inhoudelijk nooit een serieus DDoS mitigatie alternatief kon voorstellen.
Vierde punt – de snelheid
Ten slotte is de snelheid iets dat aparte vermelding verdient. Ook crisismanagers zullen verbaasd zijn over de tijdspanne. Tussen het eerste bericht dat Cloudflare niet zou bewegen tot het verbannen van Epik en 8Chan van het Voxility netwerk zit nog geen 24 uur. Binnen 24 uur kan een website van het internet zijn verdwenen omdat niemand nog bereid is de noodzakelijke connectiviteit te regelen. Dit is gebeurd zonder een rechterlijk bevel, natuurgeweld of omdat de websitehouder failliet is verklaard. Waarschijnlijk is hier sprake van een primeur.
Mogelijk zijn er nog meer bijzonderheden rond de laatste 24 of 48 uur van 8Chan te melden. Iedereen die zich interesseert voor zowel business continuity als crisismanagement kan er van leren. Voor netwerk en infra specialisten is deze affaire minder interessant. Zij zullen wellicht verbaasd zijn over het gekozen ad hoc alternatief, maar uniek was dat ook weer niet.
