حجب الخدمة وDDoS

يحاول هجوم حجب الخدمة (DoS) جعل نظام أو مورد شبكي غير متاح للمستخدمين الشرعيين، وذلك بإغراقه بحركة المرور أو استغلال ثغرات تؤدي إلى تعطل الخدمة.

ينشأ DoS من مصدر واحد. أما DDoS (DoS موزع) فيستخدم آلاف الأجهزة أو ملايينها بعد اختراقها (شبكات الروبوتات)، أو يستخدم التضخيم لإنشاء حركة مرور هجومية. ويصعب حظر DDoS بدرجة أكبر بكثير لأن مصدره موزع على مستوى العالم.

تُغرق الهجمات الحجمية عرض النطاق الترددي للهدف بحركة مرور خام:

• إغراق UDP — تعمل حزم UDP منتحلة المصدر على تشبيع عرض النطاق الترددي
• إغراق ICMP — تُغرق حزم ping الهدف
• تضخيم DNS — تعيد استعلامات DNS الصغيرة استجابات كبيرة إلى الضحية

تُقاس بوحدة Gbps — وتتجاوز بعض الهجمات 1 Tbps.

تستغل هجمات البروتوكولات نقاط الضعف في بروتوكولات الشبكة:

• إغراق SYN — يرسل آلاف حزم TCP SYN، مما يستنفد جداول اتصالات الخادم
• Ping of Death — يرسل حزم ICMP ضخمة تتسبب في تعطل الأنظمة المعرضة للخطر
• هجوم Smurf — يُرسل ICMP منتحل المصدر إلى بث الشبكة، فترد جميع المضيفات على الضحية

تستهدف هجمات طبقة التطبيقات (الطبقة 7) وظائف محددة في التطبيق باستخدام طلبات تبدو شرعية:

• إغراق HTTP — يرسل ملايين طلبات GET/POST
• Slowloris — يرسل ترويسات HTTP جزئية ببطء، فيشغل جميع اتصالات الخادم
• استنزاف SSL — يستغل تكلفة وحدة المعالجة المركزية لمصافحة TLS

يستغل التضخيم البروتوكولات التي تعيد بيانات أكثر بكثير من البيانات المطلوبة:

• تضخيم DNS: معامل تضخيم 60x
• تضخيم NTP: معامل تضخيم 556x
• تضخيم Memcached: معامل تضخيم 51,000x (في 2018: هجوم بسرعة 1.7 Tbps)

ينتحل المهاجمون عنوان IP الخاص بالضحية كمصدر، فترسل العواكس استجابات ضخمة إلى الضحية.

مراكز التنقية هي بنية تحتية متخصصة تمتص حركة مرور DDoS وتُرشحها قبل وصولها إلى الهدف. ويمتلك كبار مزودي الخدمة (Cloudflare وAkamai وAWS Shield) قدرة تنقية تبلغ مئات Tbps.

وسائل الدفاع على مستوى التطبيق:

• تحديد المعدل لكل عنوان IP أو مستخدم
• تحديات CAPTCHA لأنماط حركة المرور المشبوهة
• تقييد الاتصالات
• حظر السمعة السيئة لعناوين IP (عناوين IP المعروفة لشبكات الروبوتات)

يوزع Anycast حركة المرور الهجومية على مراكز بيانات متعددة حول العالم. وبدلًا من أن يتحمل هدف واحد حركة المرور كلها، يتوزع الحمل. تستخدم Cloudflare وشبكات CDN أخرى Anycast للتعامل مع الهجمات الحجمية الهائلة.

يُستخدم DDoS عادةً كأداة للحرب السيبرانية. ومن أبرز الحوادث:

• إستونيا 2007 — أُخرجت مواقع حكومية ومصرفية من الخدمة أثناء أزمة سياسية
• أوكرانيا 2022 — استُهدفت مواقع حكومية أوكرانية أثناء الغزو الروسي
• استخدام الناشطين الإلكترونيين لهجمات DDoS لإيصال رسائل سياسية

يمكن للمؤسسات اختبار قدرتها على الصمود باستخدام أدوات اختبار تحميل مصرح بها:

• siege — اختبار تحميل HTTP
• ab (Apache Bench) — قياس أداء HTTP البسيط
• خدمات اختبار الضغط التجارية (بتفويض)

لا تختبر أبدًا أنظمة لا تملكها أو لا تملك إذنًا كتابيًا لاختبارها.

أي نوع من الهجمات يرسل ترويسات HTTP غير مكتملة ببطء شديد لشغل جميع اتصالات الخادم المتاحة؟

تحجب هجمات DoS/DDoS الخدمة بإغراق الأهداف بحركة المرور أو باستغلال نقاط الضعف في البروتوكولات. وتشمل أنواع الهجمات الهجمات الحجمية (إغراق UDP/DNS)، وهجمات البروتوكولات (إغراق SYN)، وهجمات طبقة التطبيقات (Slowloris وإغراق HTTP). وتشمل وسائل الدفاع مراكز التنقية، وAnycast، وتحديد المعدل، وCAPTCHA. وتضاعف هجمات التضخيم قوة الهجوم باستغلال العواكس.