Kommunalvalg og risiko for DDoS-angreb

Kære kommunale kunde,

Vi skriver til dig forud for det kommende kommunalvalg for at være på forkant med eventuelle DDoS-angreb.

Flere af jer har kontaktet os, da KL og Beredskabsstyrelsen har meldt ud, at de vurderer, at der er forhøjet risiko for, at kommunernes hjemmesider kan blive udsat for DDoS-angreb forud for og under valget.

Vi vil derfor gerne opsummere vores anti-DDoS-strategi og bede jer bekræfte skriftligt, at jeres nuværende valgte sikkerhedsniveau vurderes passende. Såfremt I ønsker at opjustere jeres anti-DDoS-beskyttelse, er der nogle tidsfrister, I skal være opmærksomme på.

GoPublics anti-DDoS-strategi

Hos GoPublic har vi stor erfaring med at imødegå DDoS-angreb, da vi driver og hoster en række statslige websites, der vurderes at være samfundskritiske.

Vores DDoS-strategi er kort opsummeret som følger:

For kunder på vores sølv-sikkerhedsniveau:

  • Vi overvåger oppetid på tværs af alle vores kunder, og i tilfælde af nedetid starter vi med at analysere, om nedetiden skyldes DDoS-angreb.
  • Ved nedetid forårsaget af DDoS kontakter vi jer som kunde og opsætter herefter stærk caching samt begrænser trafikken til løsningen, så kun trafik fra danske IP-adresser tillades.

Yderligere for kunder på vores guld-sikkerhedsniveau:

  • Al trafik køres igennem et europæisk anti-DDoS-værn, hvor vi bruger den globalt anerkendte anti-DDoS-tjeneste, som Akamai tilbyder. Her spredes trafikken ud på flere tusinde servere placeret i EU. Ligeledes har Akamai specialiseret sig i at lukke trafik ned fra identificerede DDoS-afsendere, så denne trafik aldrig når deres servere.
  • Hvis angrebet er meget kraftigt, lukker vi for dynamisk indhold såsom søgning og formularer, så kun cached front-end-trafik tillades.

Kan vi garantere 100 % oppetid i forbindelse med DDoS-angreb?

Det korte svar på dette spørgsmål er nej. DDoS-angreb er ikke et enten-eller. I skal tænke på det som, at et DDoS-angreb kan foretages med en styrke fra 1 til 100. Vores eget anti-DDoS-værn kan i dette eksempel modstå angreb med en styrke op til 70, mens kunder omfattet af Akamai kan modstå angreb foretaget med en styrke op til 95.

For at eksemplificere: I december 2024 blev alle danske kommuner udsat for et samlet DDoS-angreb foretaget af den russiske gruppe NoName057. Minimum 16 kommuner blev i denne forbindelse lagt ned, men ingen af GoPublics kunder blev lagt ned, da angrebet havde en styrke, som vores miljø er dimensioneret til at kunne modstå.

Et andet eksempel: I februar 2024 blev Thisted kommunes løsning lagt ned i forbindelse med DDoS-angreb ligeledes foretaget af hackergruppen NoName057. Angrebet var stilet mod danske lufthavne, og både CPH.dk og Thistedlufthavn.dk blev angrebet med en styrke, så begge sites blev gjort utilgængelige. Eftersom Thistedlufthavn.dk ligger i samme løsning som thisted.dk, var alle kommunens sites nede. Det var det kraftigste angreb, vi har konstateret mod en af vores løsninger. Da succesfulde angreb, som opnår medieomtale, i hovedreglen vil blive gentaget, indtil angrebet ikke kan gennemføres længere, valgte Thisted Kommune at tilkøbe guld-sikkerhedspakken med Akamai-beskyttelse. Efter at have aktiveret dette kom der et angreb mere af samme styrke, hvor vi måtte konstatere, at vi grundet styrken skulle foretage yderligere konfiguration af Akamai-opsætningen, før angrebet kunne afværges. Da vi succesfuldt kunne afværge nedbrud, stoppede angrebet. Det havde dog på ingen måde været muligt at holde sitet oppe for os uden Akamai som anti-DDoS-skjold.

Hvad anbefaler vi?

Det er op til jer som kunde at foretage en trusselsvurdering samt en vurdering af, hvorvidt I kan leve med nedetid, hackergruppens fejring af et succesfuldt angreb samt den efterfølgende medieomtale afledt heraf. Anti

DDoS-værn af høj kvalitet som Akamai, der efterlever GDPR-regler, er desværre blevet en meget bekostelig affære, så dette skal selvfølgelig også indgå i jeres vurdering.

Pris

Såfremt I ønsker at sikre jer yderligere forud for valget, koster et tilkøb af Akamai:

  • 6.000 kr. ex. moms pr. måned for kommuner med mindre end 50.000 indbyggere.
  • 9.000 kr. ex. moms pr. måned for kommuner med mere end 50.000 indbyggere.

Der er en bindingsperiode på tilkøbet på 6 måneder.

Proces

Det tager 2-3 uger at opsætte Akamai og kræver, at vi får opdateret jeres databehandleraftale, samt at vi sammen med jeres IT-afdeling opdaterer IP-adresser m.m. Det betyder altså, at I skal være ude i god tid inden valget d. 18. november, hvis I vil have gavn af Akamai-skjoldet.

Tilbagemelding

Ligegyldigt om I ønsker at anvende Akamai eller ej, vil vi bede jer om at foretage trusselsvurderingen og melde tilbage til mig med jeres beslutning inden fredag d. 10. oktober. Har I yderligere spørgsmål, er I selvfølgelig også velkomne til at række ud.

Partner, adm. direktør

Rasmus Rudolf

+45 5077 5690
rasmus@beru.dk