DDoS-aanval kost bedrijf 5.000 euro per uur
Een ruim 10 uur durende gedistribueerde Denial of Service (DDoS)-aanval die vorig jaar op een Amerikaans bedrijf plaatsvond, kostte de organisatie 50.000 euro. Dat komt neer op 5.000 euro per uur, aldus een Amerikaans beveiligingsbedrijf dat de aanval onderzocht. De e-commerce webserver van het bedrijf werd vanaf 91.000 IP-adressen met verkeer bestookt.
De IP-adressen waren over 150 landen verdeeld, waarbij Amerikaanse IP-adressen 60% van het totaal uitmaakte. Hierdoor werd het lastig om geo-filtering toe te passen, door bijvoorbeeld verkeer uit bepaalde landen te blokkeren. Na 10,5 uur wisten internetproviders de aanval succesvol te filteren.
Reactie
Het identificeren, reageren op en onderzoeken van het incident kostte het bedrijf meer dan 50.000 euro, waarbij andere kostenposten tijdens de aanval niet zijn meegenomen, zoals productiviteitsverlies, imagoschade en inkomstenderving.
Volgens het beveiligingsbedrijf is het belangrijk dat organisaties zich niet blindstaren op DDoS-aanvallen, aangezien die ook regelmatig worden gebruikt om andere en ernstigere aanvallen te verhullen. Aangezien de aandacht dan op DDoS-aanval ligt, wordt de andere aanval niet opgemerkt.
Waarom zijn de kosten van dergelijk onderzoeken altijd zo exorbitant hoog?
Research op de gemiddelde universiteit veel efficienter!
Hoger opleidingsniveau, complexer onderzoek, lagere kosten, enz.
Helaas krijgt de gemiddelde researcher aldaar wel zwaar onderbetaald.
In de vrije sector kan hij/zij gemakkelijk het dubbele verdienen...
Of topic:
Het onderzoek van Job Cohen (Project X Haren) kostte bijvoorbeeld 400.000 euro,
waarvan 35.000 voor de heer Cohen, belachelijk toch!?
Waarom zijn de kosten van dergelijk onderzoeken altijd zo exorbitant hoog?
Research op de gemiddelde universiteit veel efficienter!
Hoger opleidingsniveau, complexer onderzoek, lagere kosten, enz.
Helaas krijgt de gemiddelde researcher aldaar wel zwaar onderbetaald.
In de vrije sector kan hij/zij gemakkelijk het dubbele verdienen...
Of topic:
Het onderzoek van Job Cohen (Project X Haren) kostte bijvoorbeeld 400.000 euro,
waarvan 35.000 voor de heer Cohen, belachelijk toch!?
Reken het eens om naar een dagsalaris en je komt op een boven-modaal maandsalaris.
Daarnaast is er bij Job Cohen geen sprake van kundigheid waar geen betere voor te vinden is, laat staan kennis van zaken van sociale media.
Maar daar gaat het hier niet over. Het gaat hier over afhandelen van een DDOS-aanval. Daarbij moet direct gehandeld worden en is er dus geen tijd om te wachten op een academisch onderzoek, of zelfs maar een offerte-rondvraag om zo de beste prijs/prestatie-verhouding te krijgen.
Daarnaast zit er in dit bedrag ook een aandeel 'gederfde inkomsten' wat, voor zover ik kan zien, niet echt gespecificeerd is.
Voor hetzelfde geld heeft de "specialist" die ingehuurd is om de boel weer draaiende te krijgen, maar een salaris van 1000 $ gehad. (100$ per uur is niet heel gek voor een externe kracht)
Heel simpel rekenvoorbeeld. Stel Amazon is 10 uur onbereikbaar. Amazon had in het 4e kwartaal van 2012 een omzet van 21,27 miljard dollar.
Dat is ongeveer 5 miljard euro omzet in een maand.
10 uur downtime is 1/72e van dat bedrag aan gemiste omzet, oftewel een kleine 70 miljoen euro.
Lijkt me wel dat de winst > 1 promille is, dus al een inkomsten derving van > 70'000 euro.
Dat is uitgaande van een constant verkoop-aantal voor elk uur van de dag. Als je zoiets hebt vlak voor de kerst, dan zijn de kosten vele malen hoger.
Ik denk dat als hij bij elk incident een rekening van 100 euro gepresenteerd krijgt, wel andere vragen gaat stellen bij de aanschaf van een laptop of telefoon.
Is hij wel veilig?
Kan ik werken zonder administratie en installatie rechten te hebben?
Worden programma's in afgezonderde omgevingen gedraaid?
Wie kan me vertellen welke pc het minst misbruikt wordt?
etc.etc.
Dat geldt natuurlijk ook voor de providers die flut routers neerzetten bij massa's mensen. Of hosters die bijvoorbeeld gratis mail accounts beschikbaar maken en totaal niet naar hun abuse mail kijken (yihaa)
Het wordt eens tijd om bedachtzaam om te gaan met pc's.
Daarbij hebben de internetproviders het probleem opgelost, niet het bedrijf zelf!
Door dit soort bedragen te noemen (waarop uitgekomen wordt door alles, inclusief fictionele inkomsten-derving en de kosten van de koffiedame mee te rekenen), lijkt een bedrijf te hopen dat als ze de dader te pakken krijgen, ze een flinke (onrechtmatige daad) claim tegen de dader hebben.
Persoonlijk geloof ik alleen bedragen waarvoor ze daadwerkelijk een 'bonnetje' hebben, zodat aannemenlijk is dat die kosten daadwerkelijk gemaakt zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information security en privacy officer vreemdelingenketen
Ministerie van Veiligheid en Justitie
Risicoanalyses initiëren, beveiligingsplannen opstellen, implementaties monitoren; je speelt een belangrijke rol in een verantwoorde en veilige optimalisatie van de digitale informatie-uitwisseling. Met jouw vasthoudendheid en overtuigingskracht zorg jij voor een adequate risicogebaseerde aanpak van de privacy- en informatiebeveiliging voor de centrale ketenvoorzieningen.