ما هو هجوم DDoS “حجب الخدمة الموزع” كيف يعمل و طرق الحماية منه

يشبه هجوم DDoS ازدحامًا مروريًا غير متوقع يسد الطريق السريع ، مما يمنع حركة المرور العادية من الوصول إلى وجهتها.

بعض الأمثلة على هجمات DDoS 

في فبراير من عام 2020 ، عانت Amazon Web Services (AWS) من هجوم DDoS متطورًا بما يكفي لإبقاء الفريق التقني مشغولاََ لعدة أيام أيضًا مما أثر على العملاء في جميع أنحاء العالم.

في فبراير من عام 2021 ، وقعت منصة العملات المشفرة EXMO ضحية لهجوم DDoS الذي جعل المنظمة غير قابلة للعمل لمدة خمس ساعات تقريبًا.

في الآونة الأخيرة ، تعرضت أستراليا لهجوم DDoS كبير ومستمر على مستوى الدولة 

تعرضت بلجيكا أيضًا لهجوم DDoS استهدف البرلمان وخدمات الشرطة والجامعات في البلاد وأوقف خدماتها

مئات الآلاف من هجمات DDoS غير المسماة وغير الموثقة والناجحة تستمر يوميًا ، حيث تعتبرهذه الهجمات هي الأكثر فعالية وتكلفة  كما تأخذ إحصائيات هجمات DDoS  إلى الاتجاه التصاعدي بالاستمرار ، مما يضع طلبًا كبيرًا على مسؤولي الأمن بالتصدي لها واحباطها .

ما هو هجوم DDoS

هجوم حجب الخدمة الموزع – distributed denial-of-service (DDoS) هو محاولة خبيثة لتعطيل حركة المرور العادية لموقع أو خدمة أو شبكة مستهدفة من خلال إغراقها  بفيض من حركة مرور الإنترنت.

يحقق هجوم DDoS الفعالية من خلال استخدام عدد من أجهزة الكمبيوتر المخترقة كمصادر لحركة مرور الهجوم ، يمكن أن تتضمن الأجهزة المستغلة أجهزة الكمبيوتر أو أي أجهز أخرى متصلة بالشبكة مثل أجهزة إنترنت الأشياء.

 ويتم هذا الهجوم من أجهزة عادية / شرعية  بدون كسر كلمات السر أو سرقة البيانات السرية، ببساطة  هذه الهجمات تتم  عندما يقوم المهاجمون بإطلاق أحد البرامج التي تزحم المرور للموقع  وبالتالي تمنع أي مستخدم آخر من الوصول إليه.

كيف يتم تنفيذ هجوم DDoS : 

يتم تنفيذ هجمات DDoS باستخدام شبكات من الأجهزة المتصلة بالإنترنت.

تتكون هذه الشبكات من أجهزة كمبيوتر وأجهزة أخرى (مثل أجهزة إنترنت الأشياء) التي أصيبت ببرامج ضارة ، مما يسمح للمهاجمين بالتحكم فيها عن بُعد ، وتسمى هذه الأجهزة الفردية باسم البوت – Bot  (أو الزومبي) ، وتسمى مجموعة من البوتات باسم Botnet.

بمجرد إنشاء البوتات ، يمكن للمهاجم توجيه هجوم عن طريق إرسال تعليمات عن بُعد إلى كل بوت.

عندما يتم استهداف الخادم أو الشبكة الضحية بواسطة البوتات ، يرسل كل روبوت طلبات إلى عنوان IP الخاص بالهدف ، مما قد يتسبب في غمر الخادم أو الشبكة ، الأمر الذي يؤدي إلى رفض الخدمة لحركة المرور العادية.

ونظرًا لأن كل بوت هو جهاز إنترنت شرعي ، فإن فصل حركة مرور الهجوم عن حركة المرور العادية قد يكون أمرًا صعبًا للغاية 

Bot : هو برنامج يعمل على الإنترنت ويقوم بمهام متكررة ،مما يعني أنها تعمل وفقًا لتعليماتها دون أن يحتاج المستخدم البشري إلى بدء تشغيلها يدويًا في كل مرة ، ويمكن للبوتات السيئة أن يكون لها تأثير سلبي كبير على موقع الويب أو التطبيق.

Botnet : هي مجموعة من أجهزة الكمبيوتر التي أصيبت ببرامج ضارة وأصبحت تحت سيطرة ممثل ضار.  يتكون مصطلح botnet من الكلمتين robot و network وكل جهاز مصاب يسمى bot. يمكن تصميم شبكات البوت نت لإنجاز مهام غير قانونية أو ضارة بما في ذلك إرسال البريد العشوائي أو سرقة البيانات أو برامج الفدية أو النقر الاحتيالي على الإعلانات أو هجمات رفض الخدمة الموزعة (DDoS).

أنواع هجمات DDoS

هناك ثلاثة أنواع عامة من هجمات DDoS:

.1. Application Layer : 

تستهدف هجمات طبقة التطبيقات مزود الخدمة ، مثل خادم Apache ، أو خادم الويب ، أو أي تطبيق يتم تقديمه من خلال مزود الخدمات السحابية  CLOUD ، وهذا هو الشكل الأكثر شيوعًا لهجمات DDoS وغالبًا ما يعرف بهجمات الطبقة 7 – Layer 7 attacks

2. Protocol : 

يحدث هذا عندما يستهلك الهجوم موارد الخوادم الهامة والأجهزة القائمة على الشبكة ، مثل نظام تشغيل الخادم أو جدران الحماية ، ويعد هذا هو ثاني أكثر أشكال هجمات DDoS شيوعًا.

3. Volumetric : 

تركز هجمات DDoS الحجمية على استغلال العمليات العادية للإنترنت لإنشاء تدفق هائل لحركة مرور الشبكة التي تستهلك بعد ذلك النطاق الترددي مما يجعل الوصول الى الموقع أو الخدمة غير متاح.

الفرق بين هجوم DoS و هجوم DDoS

يؤدي هجوم رفض الخدمة (DoS) إلى إغراق الخادم بحركة المرور ، مما يجعل موقع الويب أو الخدمة غير متاحة بينما هجوم رفض الخدمة الموزع (DDoS) هو هجوم DoS يستخدم أجهزة كمبيوتر أو أجهزة متعددة لإغراق الخادم بحركة المرور ، كلا النوعين من الهجمات يسببان ازدحام  على الخادم أو تطبيق الويب بهدف تعطيله و إيقاف الخدمة 

يتمثل الاختلاف الجوهري بين هجوم DoS وهجوم DDoS في أن الأول هو هجوم من نظام على نظام ، بينما يتضمن هجوم DDoS عدة أنظمة تهاجم نظامًا واحدًا

يوجد هناك اختلافات أخرى تتعلق إما بطبيعتها أو اكتشافها ، بما في ذلك:

سهولة الاكتشاف: نظرًا لأن DoS يأتي من مكان واحد ، فمن الأسهل اكتشافه  وقطع الاتصال ،  يمكن لجدار حماية اكتشافه و معالجة الأمر ، من ناحية أخرى  يأتي هجوم DDoS من عدة مواقع بعيدة ، ما يجعل تحديده أمرا صعبا

سرعة الهجوم: نظرًا لأن هجوم DDoS يأتي من مواقع متعددة ، فيمكن نشره بشكل أسرع بكثير من هجوم DoS الذي ينشأ من موقع واحد. سرعة الهجوم المتزايدة تجعل اكتشافه أكثر صعوبة ، مما يعني زيادة الضرر الذي قد يؤدي إلى نتيجة كارثية.

حجم حركة المرور: يستخدم هجوم DDoS العديد من الأجهزة البعيدة (الزومبي أو البوتات) ، مما يعني أنه يمكنه إرسال كميات أكبر بكثير من حركة المرور من مواقع مختلفة في وقت واحد ، ما يؤدي إلى زيادة التحميل على الخادم بسرعة بطريقة تستعصي على الاكتشاف.

طريقة التنفيذ: ينسق هجوم DDoS عدة مضيفين مصابين ببرامج ضارة (Bot) ، مما يؤدي إلى إنشاء شبكة روبوت يديرها خادم قيادة وتحكم (C&C). في المقابل ، يستخدم هجوم DoS عادةً نصًا أو أداة لتنفيذ الهجوم من جهاز واحد.

تتبع المصدر: استخدام الروبوتات في هجوم DDoS يعني أن تتبع الأصل الفعلي أكثر تعقيدًا من تتبع أصل هجوم DoS.

الأدوات التي تستخدم في تنفيذ هجمات DDoS

فيما يلي بعض الأدوات الشائعة المستخدمة في هجمات DDoS :

• أجهزة الشبكة: تتضمن أجهزة الشبكة عناصر مثل أجهزة التوجيه والمحولات “routers and switches”
• Botnets: مجموعات من الأنظمة المخترقة التي يشيع استخدامها في هجمات DDoS.
• أجهزة إنترنت الأشياء: يمكن لمجرمي الإنترنت استغلال نقاط الضعف في الأجهزة المتصلة ، وتحويلها إلى كائنات زومبي
• الذكاء الاصطناعي: يستخدم المتسللون الذكاء الاصطناعي لتعديل التعليمات البرمجية أثناء هجوم DDoS تلقائيًا بحيث يظل الهجوم فعالاً.
• استغلال الأجهزة القديمة: غالبًا ما تتعرض الأجهزة القديمة لمزيد من نقاط الضعف ويتم استهدافها واستغلالها بشكل روتيني.

كيفية التعرف على هجوم DDoS

إن أوضح أعراض هجوم DDoS هو أن الموقع أو الخدمة أصبحت فجأة بطيئة أو غير متوفرة.

ولكن نظرًا لأن عددًا من الأسباب – مثل الارتفاع الطبيعي  في حركة المرور مثل زيادة الزيارات و طلبات الشراء من المواقع في بعض المواسم – يمكن أن يؤدي إلى حدوث مشكلات مماثلة في الأداء ، فعادةً ما يلزم إجراء مزيد من التحقيق

أعراض أخرى لهجوم DDoS :

• عدد كبير من حركة المرور التي تنشأ من عنوان IP واحد أو عدة عناوين

• زيادة غير مفسرة في الطلبات لصفحة واحدة أو نقطة نهاية “endpoint”

• تدفق حركة المرور من المستخدمين الذين يشاركون ملفًا ذو نمط واحد ، مثل نوع الجهاز أو الموقع الجغرافي أو إصدار متصفح الويب

• أنماط الزيارات الفردية مثل الارتفاعات المفاجئة في الساعات الفردية من اليوم أو الأنماط التي تبدو غير طبيعية (على سبيل المثال ، ارتفاع مفاجئ كل 10 دقائق)

الحماية من هجمات الـ  DDOS 

هناك بعض الخطوات التي عليك اتباعها للحماية من هجمات DDOS مثل : 

1- تعرف على حركة المرور على شبكتك :قم بالتعرف على حركة المرور الطبيعية لشبكتك أو موقعك ، فإن حدث نشاط غير عادي ، يمكنك تحديد أعراض هجوم DDoS

مراقبة النشاط غير العادي : بمجرد معرفة نشاطك المعتاد وعلامات الهجوم ، راقب شبكتك بحثًا عن حركة المرور الفردية ، فمن خلال مراقبة حركة المرور في الوقت الفعلي ، ستتمكن مؤسستك من اكتشاف هجوم DDoS عند بدئه والتخفيف من حدته.

قم بإنشاء خطة استجابة لرفض الخدمة : هل تعرف ماذا سيحدث عندما وإذا حدث هجوم DDoS؟ كيف ستتصدى لها ؟ من خلال تحديد خطة مسبقًا ، ستتمكن من الاستجابة بسرعة وكفاءة عندما تكون شبكتك مستهدفة.

اجعل شبكتك مرنة :يجب أن تكون بنيتك التحتية مرنة قدر الإمكان ضد هجمات DDoS ، وهذا لا يعني وضع جدار حماية  فقط  لأن بعض هجمات DDoS تستهدف جدران الحماية ، اضافة الى جدار الحماية قم بوضع مراكز البيانات على شبكات مختلفة ، وتأكد من عدم وجود جميع مراكز البيانات الخاصة بك في نفس الموقع الفعلي ، قم باستخدام شبكات DNS ، وتأكد من عدم وجود أماكن بها اختناقات مرورية في شبكتك.

استخدام التخزين السحابي :في حين أن هذا لن يقضي على هجمات DDoS ، فإن الانتقال إلى السحابة يمكن أن يخفف من الهجمات ، حيث تحتوي السحابة على نطاق ترددي أكبر “bandwidth ” من طرق التخزين التقليدية على سبيل المثال ، التخزين على السحابة تعني أن العديد من الخوادم ليست موجودة في نفس المكان

الاستعانة بمصادر خارجية للحماية من هجمات DDoS : تقدم بعض الشركات DDoS-as-a-Service. بعض هذه الشركات متخصصة في توسيع نطاق الموارد للرد على هجوم ، والبعض الآخر يعزز الدفاعات ، و البعض الآخر يخفف من الضرر الناجم عن هجوم مستمر.

الخاتمة : 

أكدت العديد من التقارير تزايد عدد هجمات DDoS وازدياد شدتها وتأثيرها التدميري عاماً بعد الآخر وتأثيرها على مبيعات المواقع والخدمات عبر الشبكة.، وبشكل عام تتواجد مثل هذه الهجمات منذ أعوام إلا أن قوتها الآن أصبحت أكبر من أي فترة مضت، كما أنها وصلت إلى مرحلة من النضج بحيث تستهدف أهدافًا محددة ومقصودة لأغراض تجارية وسياسية .
المراجع : ويكبيديا