Hoe kies ik tussen een beheerde scrubbingdienst, een apparaat en de bescherming die bij hosting is inbegrepen?
Begin met wie het netwerk bezit dat wordt aangevallen. Als je je eigen autonome systeem beheert of connectiviteit aan klanten verkoopt, bouwt Corero Network Security SmartWall-apparaten precies voor die rol als operator, en de filtering gebeurt in het datapad binnen seconden in plaats van na een omleiding.
Als je een website of API draait op infrastructuur van veel aanbieders, neemt een beheerde dienst zoals Myra Security, Link11 of Gcore je verkeer via het eigen scrubbingnetwerk, wat een DNS- of routingwijziging vraagt maar geen hardware.
Als je servers al bij OVHcloud, Hetzner, Leaseweb, Anexia of Neterra staan, komt het filter bij de hosting en kost het in de meeste niveaus niets extra. De keerzijde is de reikwijdte: die bescherming dekt alleen systemen binnen het netwerk van de exploitant, dus die helpt niet voor een origin die elders wordt gehost. Kies de laag die past bij de asset die je je niet kunt veroorloven kwijt te raken en vergelijk daarna leveranciers binnen die laag.
Welke Europese DDoS-leveranciers publiceren een prijs, en hoe verschillen de prijsmodellen?
Vier modellen komen op deze lijst voor. Link11 publiceert maandelijkse plannen in euro en een vast tarief per aanval. Gcore factureert schoon verkeer, in Amerikaanse dollars, met abonnementen vanaf $275 per maand volgens het categorieonderzoek, terwijl de algemene CDN-abonnementen vanaf €25 per maand beginnen. Bunny.net bundelt filtering in Shield-abonnementen die beginnen met een gratis variant en een proefperiode van 14 dagen, met de Advanced- en Business-abonnementen genoteerd op $9.5 en $99.
Myra Security en Corero Network Security werken met offertes op aanvraag, en Myra biedt een prijscalculator en proof-of-concept-trajecten in plaats van prijslijsten. OVHcloud en Hetzner rekenen niets apart voor hun basisfiltering, Leaseweb bevat zijn Standard-niveau en rekent een klein bedrag per IP voor Advanced zonder het bedrag te noemen, en Anexia en Neterra publiceren helemaal geen cijfer. Als een aanbieder geen prijs toont, vraag dan naar de factuur tijdens een aanval van drie dagen, naast het basistarief.
Maakt de jurisdictie van een DDoS-aanbieder uit als die alleen verkeer ziet?
Dat maakt meer uit dan bij de meeste beveiligingstools, omdat mitigatie betekent dat de aanbieder je inkomende verkeer verwerkt, en bij filtering op laag 7 beëindigt hij de TLS-verbinding en leest hij de verzoeken. Daarmee wordt de aanbieder een verwerker van alles wat je bezoekers versturen.
Myra Security zegt dat al het personeel met toegang tot klantsystemen in Duitsland is gevestigd en onder Duits arbeidsrecht valt, en Link11 GmbH is in Frankfurt ingeschreven. Neterra EOOD contracteert vanuit Sofia, Leaseweb Netherlands B.V. vanuit Amsterdam en Anexia Holding GmbH vanuit Klagenfurt.
Twee vermeldingen vragen om een nauwkeurigere lezing van het bestelformulier. Corero is een in Londen genoteerd bedrijf en het Verenigd Koninkrijk valt buiten de EER, gedekt door een adequaatheidsbesluit in plaats van EU-vestiging, en er bestaat een Amerikaanse dochter in de groep. Anexia heeft ook een dochter in New York en Leaseweb werkt via meerdere lokale verkoopentiteiten. Bevestig in beide gevallen welke juridische entiteit je contract ondertekent.
Hoe moeilijk is het om van NETSCOUT Arbor naar een Europese dienst over te stappen?
De inspanning hangt af van welk Arbor-product je gebruikt. De NETSCOUT-reeks omvat Arbor Edge Defense, Arbor Sightline en Arbor Cloud, dus sommige klanten hebben een clouddienst en anderen hebben apparatuur in hun eigen racks.
Een cloudklant die naar Myra Security of Link11 overstapt, verandert vooral waar het verkeer wordt geleid, en Link11 beschrijft het onboarden als een wijziging in DNS-doorsturing. Een klant met apparatuur op de eigen locatie heeft een fysiek project, en de SmartWall-apparaten van Corero, of de filtering van Anexia en Neterra in het carriernetwerk, passen beter.
Hetzner vermeldt op zijn DDoS-pagina dat het Arbor- en Juniper-hardware gebruikt, dus een team dat die technologie wil behouden, kan er via een Europese exploitant bij. Plan een parallelle run, kopieer je verkeersbasislijnen en alarmdrempels, en houd het oude contract aan totdat de nieuwe dienst één echte aanval heeft verwerkt.
Wanneer moet ik niet overstappen van een wereldwijde scrubbingaanbieder?
Blijf bij je huidige aanbieder als je aanvalsoppervlak wereldwijd is en je verkeer van elk continent komt. Gcore noemt 180+ points of presence en Bunny.net 110+, maar de kleinere Europese netwerken van Neterra, Anexia en Leaseweb zijn het sterkst waar hun eigen backbones liggen, en de Neterra-pagina zelf benadrukt de Bulgaarse en regionale verankering. Een dienst die op één regio is afgestemd, kan voor gebruikers elders extra latentie opleveren.
Blijf ook bij je huidige aanbieder als de enige reden voor de overstap een algemene wens voor Europese leveranciers is en je geen compliance-eis hebt. Een overstap midden in een contract kost een parallelle run en een migratieperiode, en een storing in dat venster is erger dan een Amerikaans jurisdictierisico dat je al hebt beoordeeld. Voor gereguleerde kritieke infrastructuur zijn Myra Security en Link11 daarentegen door het BSI gekwalificeerde of gecertificeerde Duitse opties, wat een wereldwijde aanbieder niet in dezelfde vorm kan bieden.
Welke tools op deze lijst integreren met de rest van een Europese infrastructuurstack?
De hostingexploitanten integreren doordat ze de stack zelf zijn. OVHcloud, Hetzner, Leaseweb en Anexia filteren binnen het netwerk dat je servers draait, en Leaseweb laat je één IP upgraden via de Customer Portal of de API. Bunny.net zet DDoS-filtering naast zijn CDN, edge-opslag, video en DNS in één account, en Gcore voegt edge computing, cloud-VM's, DNS-hosting en load balancing rond zijn filtering toe.
Myra Security en Link11 staan voor elke origin en voegen in dezelfde dienst een webapplicatiefirewall, botbeheer en DNS-bescherming toe. Dat maakt ze de gebruikelijke keuze wanneer de origin over meerdere hosts is verspreid en de filterlaag moet werken, ongeacht wie de servers erachter beheert.
