Opfer eines DDOS-Angriffs – Wie viel muss man zugeben?

Question

Hier ist die Umgebung:

1. Website, die ein Forum/Journal/Board/E-Mail/Social-Media-Anwendung in einem geschlossenen Bereich hostet (d. h. Sie zahlen für die Nutzung oder werden dazu eingeladen).

2. Viele Kunden zahlen für die Nutzung der Site während bestimmter Zeiträume (d. h. sie mieten den Zugriff auf die Site), um mit ihren Kunden interagieren zu können. Es gibt Dutzende von Kunden in den unterschiedlichsten Bereichen.

3. Es gibt ein sehr umfassendes Service-Level-Agreement. Das heißt, es ist nicht festgelegt, dass die Website nicht länger als zehn Minuten ausfallen darf, aber es gibt eine Gentlemen’s Agreement, dass dies nicht der Fall sein wird. Sie zahlen nicht für den 24/7-Support, aber wir geben ihn ihnen, weil wir lieben, was wir tun.

4. Die Site wird in sieben verschiedenen Sprachen und über mehrere Zeitzonen hinweg angeboten.

Hier ist die Situation:

Die Site fällt um 5:30 EST aus und bleibt aufgrund eines DDOS-Angriffs etwa zwei Stunden lang „offline“. Die Reaktionen der Kunden reichen von verärgert bis wütend. Die Kunden sind außerdem nicht sehr technisch versiert. Die Kunden sind an Support rund um die Uhr gewöhnt und erhalten in der Regel hervorragenden Support.

Hier ist die Frage:

Wie viel verraten Sie dem Kunden über den DDOS-Angriff? Er möchte wissen, warum die Site ausgefallen ist.

Answer 1

Seien Sie ehrlich. Ein DDoS-Angriff liegt wahrscheinlich außerhalb Ihrer Kontrolle (oder zumindest außerhalb Ihrer Vorhersagefähigkeit).

Handelt es sich um einen DoS-Angriff, der durch einen Fehler in Ihrem Code verursacht wurde (oder dadurch, dass jemand einen Fehler in Ihrem Code gezielt ausnutzt, um einen DoS-Angriff zu verursachen), wird es schwieriger, da die Schuld auf Sie abgewälzt werden könnte. Bei einem DDoS-Angriff, der wirklich außerhalb Ihrer Kontrolle liegt, ist Ehrlichkeit jedoch definitiv die beste Vorgehensweise.

Wenn Ihre Benutzer eine Verfügbarkeitsrichtlinie wünschen, die besagt: „Der Server wird aus keinem Grund länger als X im Jahr Y oder für einen Zeitraum länger als Z ausfallen“, dann müssen sie Ihnen für eine Dienstvereinbarung zahlen, in der diese Regeln festgelegt sind, statt nach einem Gentlemen’s Agreement zu leben.

Answer 2

Meiner Meinung nach sollten Sie ihnen gegenüber direkt sein. Erklären Sie ihnen, was Ihrer Meinung nach die Ursache des Ausfalls ist. Erklären Sie, was Sie tun, um die Ursache des Ausfalls zu analysieren/zu bestätigen und was Sie tun werden, um ihn in Zukunft zu verhindern. Selbst die größten und technisch versiertesten Unternehmen haben Probleme: Microsoft bringt sein DNS durcheinander, TechCrunch wird Opfer eines DDOS-Angriffs, Facebook-Konten werden entstellt, die Washington Post lässt ihren Domänennamen auslaufen usw. usw.

Wenn Sie bei der Sicherung Ihrer Site/Assets die gebotene Sorgfalt walten lassen, ist das meiner Meinung nach alles, was ein Kunde von Ihnen verlangen kann. Meiner Meinung nach sind Ehrlichkeit und offene Worte die beste Politik.

Answer 3

Ich war schon immer für maximale Transparenz. Ich war beeindruckt von der Offenheit von FogCreek bei der Berichterstattung über einen ungeplantenAusfallihres gehosteten FogBugz-Dienstes vor ein paar Jahren. Sie mussten uns nichts davon erzählen, aber Ehrlichkeit schafft Vertrauen.

Answer 4

Entschuldigen Sie, wenn das hart klingt. Ich würde ihnen sagen, dass es ein allgemeines Netzwerkproblem gab und mit der Behebung des Problems fortfahren, anstatt hier ethische Fragen zu stellen – diese Dinge können später angegangen werden, wenn das Problem behoben ist.