3 min readBijgewerkt 7 mei 2026

Wat is een ICMP-flood? Uitleg over een DDoS-aanval met een pingflood

ICMP-floodaanvallen kunnen netwerken overbelasten. Ontdek hoe deze aanvallen werken en hoe u de impact ervan beperkt.

Door SentinelOne

Wat is een ICMP-flood? Uitleg over een DDoS-aanval met een pingflood

ICMP-floodaanvallen, ook bekend als pingfloods, zijn DDoS-aanvallen die een doelwit overspoelen met ICMP Echo Request-pakketten. Deze gids legt uit hoe de aanvallen werken, welke gevolgen ze kunnen hebben voor de netwerkprestaties en hoe u ze kunt beperken.

Ontdek welke tools en technieken aanvallers gebruiken en hoe u uw netwerk tegen deze verstorende dreigingen beschermt. Inzicht in ICMP-floodaanvallen is essentieel om uw netwerk veilig en beschikbaar te houden.

ICMP Flood - Featured Image | SentinelOne

Wat is een ICMP-floodaanval (pingfloodaanval)?

Een ICMP-flood, ook bekend als een pingflood, is een DDoS-aanval die het Internet Control Message Protocol (ICMP) gebruikt om een doelwit met grote hoeveelheden netwerkverkeer te overspoelen. Aanvallers gebruiken deze methode om onlinediensten te verstoren, waardoor legitieme gebruikers er geen toegang meer toe hebben.

Het Internet Control Message Protocol (ICMP) – ICMP is een protocol op de netwerklaag waarmee netwerkapparaten, zoals routers en switches, foutmeldingen en operationele informatie uitwisselen. ICMP-berichten, zoals “Destination Unreachable” en “Time Exceeded,” geven netwerkbeheerders informatie om netwerkproblemen op te sporen en op te lossen.
ICMP Echo Request en Echo Reply – Een ICMP Echo Request, beter bekend als een “ping,” is een bericht dat het ene apparaat naar het andere stuurt om de netwerkverbinding te testen. Het ontvangende apparaat antwoordt met een ICMP Echo Reply-bericht, waarmee het zijn aanwezigheid op het netwerk bevestigt.

Hoe werkt een ICMP-floodaanval (pingfloodaanval)?

Bij een ICMP-floodaanval stuurt de aanvaller enorme aantallen ICMP Echo Request-berichten naar het doelwit. Daardoor raken de netwerkcapaciteit en bandbreedte overbelast. Het doelwit kan legitieme verzoeken niet meer verwerken, waardoor diensten haperen of uitvallen.

Vervalste IP-adressen – Aanvallers gebruiken bij ICMP-floodaanvallen vaak vervalste IP-adressen om detectie en herleiding te voorkomen. Daardoor is het lastig om de herkomst van de aanval vast te stellen en tegenmaatregelen te nemen.
Botnets – Aanvallers kunnen ook botnets – netwerken van gecompromitteerde apparaten die zijn geïnfecteerd met malware – inzetten voor grootschalige ICMP-floodaanvallen. Door meerdere apparaten tegelijk te gebruiken, vergroot de aanvaller de impact en wordt de aanval moeilijker te beperken.

Technieken om ICMP-floodaanvallen (pingfloodaanvallen) te beperken

Met verschillende technieken en strategieën kunt u ICMP-floodaanvallen beperken en uw cloudinfrastructuur beschermen tegen de gevolgen ervan:

Verkeersfiltering – Met regels voor verkeersfiltering herkent en blokkeert u kwaadaardig ICMP-verkeer, terwijl legitieme verzoeken worden doorgelaten.
Snelheidsbeperking – Met snelheidsbeperking houdt u het aantal ICMP Echo Request-berichten dat uw netwerk ontvangt onder controle en beperkt u de impact van ICMP-floodaanvallen.
Anomaliedetectie – Systemen voor anomaliedetectie bewaken patronen in het netwerkverkeer en signaleren ongebruikelijke activiteit, zoals een plotselinge piek in ICMP-verkeer. Die kan wijzen op een actieve ICMP-floodaanval.

Bescherm uw cloudinfrastructuur met SentinelOne Singularity XDR

SentinelOne Singularity XDR is een geavanceerd cyberbeveiligingsplatform dat uw cloudinfrastructuur beschermt.

• AI-gestuurde dreigingsdetectie – SentinelOne Singularity XDR gebruikt kunstmatige intelligentie en machine learning om dreigingen in realtime te detecteren en erop te reageren. Deze technologie herkent ICMP-floodaanvallen en andere kwaadaardige activiteiten, zodat u snel kunt reageren en de impact kunt beperken.

• Analyse van netwerkverkeer – Door voortdurend netwerkverkeer te analyseren, signaleert SentinelOne Singularity XDR ongebruikelijke patronen en afwijkingen die op een actieve ICMP-floodaanval kunnen wijzen.

• Geïntegreerde endpoint- en cloudbeveiliging – SentinelOne Singularity XDR verenigt endpoint- en cloudbeveiliging in één platform. Zo beschermt het uw infrastructuur tegen ICMP-floodaanvallen en andere cyberdreigingen.

• Geautomatiseerde respons en herstel – SentinelOne Singularity XDR reageert automatisch op gedetecteerde dreigingen. Zo beperkt het de impact van ICMP-floodaanvallen en minimaliseert het de uitvaltijd voor uw organisatie.

AI-gestuurde endpointdetectie en -respons.

SentinelOne Singularity platform demo covering alert triage, investigation, threat hunting, and remediation using AI-assisted endpoint and cloud defense.

Open alerts are accessible from the left side menu. Selecting a ransomware alert for GPAgentInstaller.exe shows a natural language summary generated by Purple AI. Static AI identifies a ransomware file on user JeanLuc's desktop. The Graph view displays related entities, alerts, and misconfigurations, revealing that the endpoint TheBorg has multiple related alerts including a Lateral Movement alert. Purple AI summarizes the Lateral Movement alert, noting suspicious file manipulation, execution of malicious shellcode, and correlation to multiple MITRE ATT&CK indicators with severity tags.

The Storyline view organizes all atomic endpoint events into a single narrative describing the full chain of events on an endpoint. Nodes in Storyline can be expanded to show details such as command line arguments and network connections. Alert details include the detection engine that generated the alert, first-seen and last-updated timestamps, and an Alert Footprint showing how many times the malware has been seen across the organization. In this case the malware was first seen in 2024 and has impacted over 2,600 machines.

Singularity Threat Intelligence, an optional add-on, integrates Google Threat Intelligence context. Over 8,000 events were scanned with potential indicators found at 100 risk scores. The RACCOON malware family is identified as data-mining malware targeting Windows, with associated malware families and targeted industries listed. Searching for RACCOON indicators by hash in the Singularity Data Lake returns over 6,700 matching records including behavior indicators, network actions, and registry changes. Purple AI analyzes event properties and generates a summary identifying 9 defense evasion indicators.

Purple AI includes Quick Starts with pre-populated threat hunts and common support questions. Purple AI for Support is an always-on agent trained on SentinelOne technical documentation to answer administration questions. Selecting a hunt for MITRE ATT&CK T1140 (Deobfuscate/Decode Files), Purple AI automatically translates natural language into structured PowerQueries. The query returns 48 matching results in the Singularity Data Lake within the last 72 hours. Purple AI summarizes a selected event, identifying obfuscated PowerShell commands used to execute malicious code while evading detection. Purple AI also provides follow-up question recommendations to continue the hunt. A follow-up query for common T1140 indicators returns 4 results, the most common being suspicious shellcode followed by the obfuscated PowerShell command. Purple AI can generate an email summary of the hunt and supports full multilingual translation for globally dispersed SOC teams. Hunt findings can be saved as a named Notebook and shared with team members for collaborative review.

For remediation, multiple mitigation options are available and can be automated via policy to reduce attacker dwell time. The Kill action stops all running processes associated with the threat. The Quarantine action encrypts and moves threat executables to prevent further infection. The Remediate action deletes all system and file changes including persistence mechanisms. SentinelOne's 1-click Rollback restores files and configurations altered by the attacker, including files encrypted during a ransomware event. Mitigation is applied within milliseconds. Singularity Hyperautomation extends mitigation to third-party tools via customizable automation workflows with over 100 pre-built integrations for SaaS applications.

Alerts can be grouped into Incidents, either automatically through built-in correlation or manually. Incidents provide a higher-level view of all related alerts within an attack campaign and include related artifacts, assets, and all observed MITRE ATT&CK tactics. Incident names are generated automatically upon creation.

Conclusie

ICMP-floodaanvallen (pingfloodaanvallen) kunnen uw onlineactiviteiten ernstig verstoren en de beveiliging van uw cloudinfrastructuur in gevaar brengen. Door te begrijpen hoe deze aanvallen werken en effectieve maatregelen te nemen, beperkt u de impact op uw organisatie. Geavanceerde bescherming tegen ICMP-floodaanvallen en andere cyberdreigingen houdt uw kritieke systemen en gegevens veilig en beschikbaar.

Blijf cyberdreigingen een stap voor door te investeren in krachtige cybersecurity. Hulp nodig? Neem vandaag nog contact op met SentinelOne.

AI-gestuurde cyberbeveiliging

Verhoog uw beveiliging met realtime detectie, reactiesnelheid en volledig overzicht van uw gehele digitale omgeving.

Vraag een demo aan

Veelgestelde vragen over ICMP-floods

Wat is een ICMP-floodaanval?

Een ICMP-floodaanval stuurt een enorme hoeveelheid pingpakketten (ICMP Echo Request) naar een doelwit, dat daardoor niet meer op alle verzoeken kan reageren. Door het slachtoffer te dwingen elke ping te verwerken en te beantwoorden, put de aanvaller de netwerkbandbreedte of systeembronnen uit. Als de flood groot genoeg is, gaat legitiem verkeer verloren en worden diensten traag of vallen ze uit. Het is alsof er zo hard op elke deur wordt geklopt dat niemand nog normaal kan opendoen.

Hoe werkt een ICMP-flood?

Aanvallers sturen snel en voortdurend ICMP Echo Request-berichten naar het IP-adres van een doelwit. Elk verzoek vraagt om een Echo Reply, waardoor het slachtoffer CPU-capaciteit en bandbreedte verbruikt om te antwoorden. Als het aantal verzoeken de capaciteit van het systeem ver overstijgt, raakt de netwerkstack overbelast. Pakketten komen in wachtrijen terecht, routers laten nieuw verkeer vallen en de responstijden lopen sterk op. De flood houdt aan totdat de aanvaller stopt of de verdediging ingrijpt.

Hoe versterken aanvallers ICMP-floods?

Om de impact te vergroten, vervalsen aanvallers het IP-adres van het slachtoffer en sturen ze ICMP-verzoeken naar systemen van derden, die op het vervalste adres antwoorden. Elk antwoord draagt bij aan de flood bij het slachtoffer. Dit heet een ICMP-versterkingsaanval. Sommige routers of servers met te soepele filtering antwoorden met grotere pakketten, waardoor de hoeveelheid verkeer toeneemt. Door veel van deze systemen tegelijk in te zetten, vergroot de aanvaller de flood zonder het eigen netwerk extra te belasten.

Wat zijn typische tekenen van een aanhoudende ICMP-flood?

Je ziet plotselinge pieken in inkomend ICMP-verkeer—vaak tienduizenden pakketten per seconde. Tools voor netwerkbewaking kunnen een hoge belasting van verbindingen melden zonder bijbehorend uitgaand verkeer. Servers die worden aangevallen, vertonen een stijgend CPU-gebruik door de verwerking van pings, groeiende pakketwachtrijen en pakketverlies. Gebruikers merken vertragingen of time-outs. Een flood houdt vaak aan totdat het verkeer wordt gefilterd of beperkt.

Welke invloed heeft een ICMP-flood op de netwerkprestaties?

Tijdens een flood nemen kwaadaardige pings bandbreedte in beslag, waardoor legitieme verzoeken moeilijk doorkomen. De buffers van routers en switches raken vol, waardoor de latentie toeneemt. Kritieke diensten zoals webdiensten of VoIP kunnen een time-out krijgen of uitvallen. De CPU-belasting van het doelwit kan sterk stijgen door de verwerking van elk pingverzoek, waardoor applicatieprocessen vertragen. Zonder ingrijpen kan het pakketverlies oplopen tot 100%, waardoor het systeem feitelijk offline raakt.

Welke maatregelen beschermen tegen ICMP-floods?

Beperk de hoeveelheid ICMP-verkeer op routers of firewalls door een maximum in te stellen voor het aantal echoverzoeken per seconde. Configureer filtering van inkomend en uitgaand verkeer (BCP 38) om vervalste bron-IP-adressen te blokkeren. Gebruik netwerk-ACLs of DDoS-bescherming om overtollige pings te blokkeren voordat ze je kernnetwerk bereiken. Schakel in cloudomgevingen bescherming tegen volumetrische aanvallen in. Monitor tot slot ICMP-trends en stel drempelwaarde-alarmen in, zodat je snel kunt handelen.

Wat is een ICMP-flood? Uitleg over een DDoS-aanval met een pingflood

Wat is een ICMP-floodaanval (pingfloodaanval)?

Hoe werkt een ICMP-floodaanval (pingfloodaanval)?

Technieken om ICMP-floodaanvallen (pingfloodaanvallen) te beperken

Bescherm uw cloudinfrastructuur met SentinelOne Singularity XDR