هجمات حجب الخدمة

تحاول هجمة DoS (حجب الخدمة) جعل خدمة ما غير متاحة للمستخدمين الشرعيين عبر إغراقها بالطلبات. وعلى خلاف الهجمات التي تسرق البيانات، تستهدف هجمة DoS التوافر، وهو الركن الثالث في مثلث CIA.

ومن خلال إغراق خادم أو شبكة بحركة مرور أو طلبات تفوق قدرتها على المعالجة، يستنفد المهاجم مواردها حتى يتعذر على المستخدمين الحقيقيين الوصول إليها.

تأتي DoS العادية من مصدر واحد. أما DDoS (حجب الخدمة الموزع) فتأتي من مصادر كثيرة في الوقت نفسه، وغالبًا ما تكون بالآلاف، مما يجعل إيقافها أصعب بكثير.

من السهل حظر عنوان IP مهاجم واحد؛ أما حظر حركة المرور الواردة من عشرات الآلاف من العناوين المتفرقة، وكثير منها لأجهزة مختطفة لا ذنب لها، فهو التحدي الحقيقي الذي يجعل DDoS خطيرة جدًا.

تعمل هجمات DDoS عادةً بواسطة شبكة روبوتات: شبكة من أجهزة الكمبيوتر وأجهزة IoT المصابة ببرمجيات خبيثة، والتي يتحكم فيها المهاجم عن بُعد. يرسل كل جهاز مصاب، يُسمى روبوتًا أو جهازًا زومبيًا، حركة مرور هجومية بأمر المهاجم.

وغالبًا لا يعلم المالكون أن أجهزتهم تشارك في ذلك. وقد أنشأت أجهزة IoT غير الآمنة، مثل الكاميرات، شبكات روبوتات ضخمة قادرة على توليد أحجام هائلة من الهجمات.

تغمر الهجمات الحجمية الهدف ببساطة بحركة مرور هائلة لإشباع سعة نطاق الإنترنت لديه. فإذا امتلأت القناة بحركة مرور عديمة الفائدة، فلن تتمكن حركة المرور الشرعية من العبور.

تشمل الأمثلة إغراق UDP وإغراق ICMP (ping). ويتمثل الدفاع في امتلاك سعة كافية أو استخدام تنظيف upstream لامتصاص الإغراق أو تصفيته قبل أن يملأ الوصلة.

تستنفد هجمات البروتوكولات موارد الخادم أو الجهاز عبر استغلال طريقة عمل البروتوكولات. ومن الأمثلة الكلاسيكية إغراق SYN: يبدأ المهاجم عددًا كبيرًا من اتصالات TCP (بإرسال حزم SYN)، لكنه لا يكملها أبدًا، مما يملأ جدول اتصالات الخادم.

ينتظر الخادم إتمام عمليات مصافحة لا تكتمل أبدًا، إلى أن يعجز عن قبول أي اتصالات جديدة، فيحجب الخدمة عن المستخدمين الحقيقيين.

تستهدف هجمات طبقة التطبيق البرنامج نفسه بطلبات تبدو شرعية، لكنها مكلفة في المعالجة، مثل عمليات البحث المعقدة أو إعادة تحميل الصفحات مرارًا. وهي تستخدم نطاقًا تردديًا أقل بكثير، ولذلك تكون أكثر خفاءً.

ولأن كل طلب يبدو طبيعيًا، يصعب تمييز حركة المرور الهجومية من حركة المستخدمين الحقيقيين، مما يجعل اكتشاف هذه الهجمات وتصفيتها صعبًا خصوصًا دون الإضرار بالزوار الشرعيين.

تضاعف هجمات التضخيم قوة المهاجم. يرسل المهاجم طلبات صغيرة بعنوان مصدر منتحل (عنوان الضحية) إلى خوادم ترد باستجابات أكبر بكثير، مثل خوادم DNS أو NTP التي أُسيء إعدادها.

يؤدي طلب صغير إلى استجابة ضخمة موجهة إلى الضحية، فيضخم المهاجم حركة مروره مرات عديدة، مع الاختباء خلف الانتحال.

تشمل علامات هجمة DoS الارتفاعات المفاجئة في حركة المرور، وبطء الخدمات أو انتهاء مهلة الطلبات، والاستخدام المرتفع على نحو غير معتاد للموارد، وتدفق الاتصالات من عناوين كثيرة. وتساعد المراقبة وخطوط الأساس على اكتشاف الارتفاع غير الطبيعي بسرعة.

يهم الاكتشاف السريع: فكلما ميزتم الهجمة عن الارتفاع الطبيعي في حركة المرور مبكرًا، أمكن بدء التخفيف مبكرًا وتقليل فترة التوقف.

تتضافر وسائل الحماية:

• تحديد معدل الطلبات يضع حدًا لعدد الطلبات من كل مصدر.
• جدران الحماية وأنظمة IPS تصفي أنماط الهجوم المعروفة.
• تمتص خدمات تنظيف DDoS السحابية عمليات الإغراق الهائلة upstream.
• توزع شبكات CDN (شبكات توصيل المحتوى) الحمل على خوادم كثيرة.

كما تقلل تصفية مكافحة الانتحال على الإنترنت هجمات التضخيم من مصدرها.

يصعب إيقاف DoS على نحو فريد لأن حركة المرور الهجومية قد تبدو كأنها حركة شرعية، وقد تصل من مصادر لا حصر لها. ولا يمكنكم حظر كل شيء ببساطة، وإلا حجبتم الخدمة بأنفسكم.

يجمع الدفاع الأكثر قدرة على الصمود بين سعة كافية، وتنظيف upstream، وتصفية جيدة، وخطة للتعامل مع الحوادث، مع الإقرار بأن الوقاية المطلقة مستحيلة وأن الهدف الواقعي هو الصمود.

تستهدف هجمة DoS التوافر عبر إغراق الهدف؛ وتفعل DDoS ذلك من مصادر كثيرة باستخدام شبكة روبوتات. وتشمل الأنواع الهجمات الحجمية، وهجمات البروتوكولات (مثل إغراق SYN)، وهجمات طبقة التطبيق، وهجمات التضخيم. وتجمع وسائل الحماية بين تحديد معدل الطلبات، وجدران الحماية، وشبكات CDN، والتنظيف السحابي، إضافةً إلى مكافحة الانتحال للحد من التضخيم.

اختبروا معرفتكم بـ DoS.

تغمر DoS خدمةً لحجب التوافر؛ بينما تستخدم DDoS مصادر كثيرة من شبكة روبوتات. وتشمل أنواع الهجمات الإغراقات الحجمية، وهجمات البروتوكولات مثل إغراق SYN، وهجمات طبقة التطبيق الخفية، وهجمات التضخيم عبر الانتحال. وتجمع وسائل الحماية بين تحديد معدل الطلبات، وجدران الحماية، وشبكات CDN، وتنظيف DDoS السحابي.