فهم هجمات DDoS على AWS

يُغرق هجوم حجب الخدمة الموزع (DDoS) هدفًا بحركة مرور قادمة من مصادر متعددة في الوقت نفسه، بهدف استنفاد سعته بحيث يتعذر على المستخدمين الشرعيين الاتصال به. ونظرًا إلى أن حركة المرور تأتي من آلاف المضيفين الموزعين، لا يمكنكم حظر عنوان IP واحد فحسب؛ بل يجب استيعاب التدفق أو تصفيته.

تهدف الهجمات الحجمية إلى إشباع نطاق تردد الشبكة بكمية هائلة من حركة المرور، ويُقاس ذلك بالغيغابت أو التيرابت في الثانية. ومن أمثلتها هجمات إغراق UDP وهجمات الانعكاس أو التضخيم التي ترتد فيها حركة المرور عن خوادم مفتوحة (DNS وNTP) لمضاعفة حجمها. وتعمل هذه الهجمات في الطبقة 3.

تستنفد هجمات البروتوكول (الطبقة 4) موارد حالة الاتصالات بدلاً من نطاق التردد. ومن الأمثلة الكلاسيكية هجوم إغراق SYN، الذي يرسل عددًا هائلًا من عمليات مصافحة TCP نصف المفتوحة، فتستهلك جدول اتصالات الهدف حتى يتعذر إنشاء جلسات جديدة.

ترسل هجمات طبقة التطبيقات (الطبقة 7) عددًا كبيرًا من الطلبات التي تبدو صحيحة، مثل إغراق صفحة مكلفة بعدد هائل من طلبات HTTP GET، بهدف استنفاد وحدة المعالجة المركزية أو الذاكرة أو اتصالات قاعدة البيانات. وتستخدم هذه الهجمات نطاق تردد أقل بكثير، وتمتزج مع حركة المرور الحقيقية، مما يجعل اكتشافها أصعب من اكتشاف الهجمات الحجمية.

تستوعب AWS هجمات DDoS عند حافتها العالمية. وتعمل خدمات مثل CloudFront وRoute 53 وGlobal Accelerator عبر العديد من مواقع الحافة، مع سعة إجمالية هائلة، لذلك تتوزع الهجمات قبل وصولها إلى المصدر الخاص بكم. وتُعد هندسة الأنظمة عند الحافة بحد ذاتها وسيلة دفاع ضد DDoS.

يتم تمكين AWS Shield Standard لجميع العملاء دون تكلفة إضافية، ويدافع تلقائيًا ضد أكثر هجمات الشبكة وطبقة النقل شيوعًا. ولا تحتاجون إلى تهيئته؛ فهو يحمي كل موارد AWS، ولا سيما الموارد الموجودة خلف خدمات الحافة، من هجمات الإغراق المعتادة في الطبقتين 3 و4.

يركز Shield Standard على طبقتي الشبكة والنقل. أما هجمات الإغراق على طبقة التطبيقات، فيتم التعامل معها باستخدام القواعد المستندة إلى المعدل في AWS WAF وShield Advanced. ولهذا يجمع دفاع DDoS بين Shield للتعامل مع الحجم وWAF لتصفية الطلبات، وهو اقتران يختبره الاختبار كثيرًا.

إضافةً إلى فترة التوقف، يمكن أن يؤدي هجوم DDoS إلى زيادة تكاليف التوسع التلقائي ونطاق التردد بينما تحاول بنيتكم الأساسية خدمة التدفق الهائل. ويُعد هذا الأثر المالي، الذي يُسمى أحيانًا حجب الاستدامة اقتصاديًا، أحد أسباب تقديم Shield Advanced أرصدة حماية من التكاليف الناتجة عن التوسع الذي تسببه الهجمات.

تشمل مؤشرات هجوم DDoS الارتفاعات المفاجئة في حركة المرور، وارتفاع زمن الانتقال، وتزايد معدلات الأخطاء. تكشف مقاييس CloudWatch المتعلقة بأعداد الطلبات، بالإضافة إلى وحدة تحكم Shield، الحالات الشاذة. ويضيف Shield Advanced إمكانية رؤية الهجمات والإشعارات شبه الفورية، لكي تعرفوا أن هجومًا جارٍ، لا أن التطبيق بطيء فحسب.

يُصمم أفضل نهج للحماية من DDoS ضمن البنية، ولا يُضاف إليها لاحقًا. إن وضع أحمال العمل خلف CloudFront وRoute 53، واستخدام التوسع التلقائي، وتقليل السطح المكشوف، كلها أمور تتيح لـ AWS استيعاب التدفقات الهائلة عند الحافة. ثم يتعامل Shield وWAF مع ما يتبقى. وتأتي المرونة من البنية ومن هذه الخدمات مجتمعة.

ستقارنون لاحقًا بين Shield Standard وShield Advanced، وتتعلمون ما يضيفه فريق الاستجابة لـ DDoS والحماية من التكاليف، وتدرسون كيفية تصميم بنية مرنة. ويساعد فهم أنواع الهجمات هنا على اختيار الدفاع المناسب لكل طبقة.

صنّفوا نوع الهجوم.

يُغرق DDoS الهدف من مصادر متعددة. وتُشبع الهجمات الحجمية (الطبقة 3) نطاق التردد عبر هجمات إغراق UDP والتضخيم؛ وتستنفد هجمات البروتوكول (الطبقة 4)، مثل هجمات إغراق SYN، حالة الاتصالات؛ بينما ترسل هجمات طبقة التطبيقات (الطبقة 7) طلبات تبدو صحيحة لاستنزاف موارد الحوسبة. وتخفف خدمات الحافة في AWS من التدفقات الهائلة، ويدافع Shield Standard تلقائيًا عن الطبقتين 3 و4، بينما تتعامل القواعد المستندة إلى المعدل في WAF مع الطبقة 7.