حمله DDoS چیست و چگونه از آن جلوگیری کنیم؟

حمله DDoS چیست؟

به زبان ساده حمله DDoS یا DoS (مخفف Denial of Service attack) یعنی سرازیر کردن تقاضاهای زیاد به یک سرور (کامپیوتر قربانی یا هدف) و استفاده بیش از حد از منابع (شامل پردازنده، پایگاه داده، پهنای باند، حافظه و...) به طوری که سرویس دهی عادی آن به کاربرانش دچار اختلال شده یا به کلی از دسترس خارج شود (به دلیل حجم بالای پردازش یا به اصطلاح Overload شدن عملیات های سرور)، در این نوع حمله ها در یک لحظه یا طی بازه زمانی به صورت مداوم از طریق کامپیوترهای مختلف که ممکن است خواسته یا حتی ناخواسته مورد استفاده قرار گرفته باشند، به یک سرور (با آی پی مشخص) درخواست دریافت یا پردازش اطلاعات می شود و به دلیل محدود بودن قدرت پاسخ دهی سرور به کاربران در وضعیت عادی (یعنی قدرت سرور را به تعداد کاربرانش در حالت عادی در نظر گرفته اند نه در شرایط حجم درخواست های غیر طبیعی)، مشابه مواقعی که کامپیوترهای رومیزی دچار کندی یا توقف کامل می شوند دچار وقفه در سرویس دهی یا Down شدن آن می شود.

چه کسانی حمله DDoS را انجام می دهند؟

اصولا حمله های DDoS با انگیزه های متفاوت ممکن است توسط یک یا چند نفر و یا حتی گروهی از افراد صورت گیرد، اما آماری که تا به امروز به ثبت رسیده حکایت از انگیزه های بیشتر فردی یا چند نفره داشته است، به طور مثال ممکن است افرادی برای از سر راه برداشتن ناجوانمردانه رقیبشان در وب دست به این نوع اعمال بزنند تا مخاطبان آن سایت یا سرور دچار دلسردی شده و از آن فاصله بگیرند یا برعکس عده ای هکر، خیرخواهانه به سایتی ضد اجتماعی یا به فرض جنگ طلب حمله DDoS کنند، لذا گستره افراد و انگیزه ها بسته به نوع مورد، متفاوت خواهد بود اما آنچه مسلم است معمولا انسان ها پشت این حملات هستند یا ترکیبی از اندیشه انسان و به کارگیری سیستم، سرور و ابزارهای خاص (DDoS Tools) دست به دست هم می دهند تا یک حمله DDoS شکل بگیرد.

علائم حمله DDoS چیست؟

خوشبختانه یکی از موارد مثبت در هنگام بروز این نوع حملات این است که به سرعت می توان به نحوه عملکرد سرویس مشکوک شد و جلوی اختلال بیشتر را گرفت، پس از اینکه سروری مورد حمله DDoS قرار می گیرد ممکن است با توجه به اهداف و شیوه به کار رفته یک قسمت از منابع یا همه ی قسمت های اصلی آن دچار اختلال شود، در زیر لیستی از این علائم را ذکر می کنیم:
- کندی در پاسخگویی به درخواست ها
سروری که مود حمله قرار گرفته باشد معمولا خیلی کند و با وقفه به درخواست بارگذاری صفحات وب پاسخ می دهد، البته این نشانه همیشه دلیل حمله DDoS نیست چرا که این اتفاق به طور طبیعی نیز برای سرورها و سایت ها به دلایل فنی یا بازدید بالا ممکن است رخ دهد و کنترل این امر بستگی زیادی به قدرت سخت افزاری سرور و تنظیمات آن دارد، اما کند شدن غیرطبیعی فرآیندهای سرور همیشه می تواند یک هشدار برای مدیران امنیتی تلقی شود تا اوضاع را بررسی و کنترل کنند.
- عدم اتصال به پایگاه داده
گاهی ممکن است صفحات استاتیک وب که نیازی به اتصال پایگاه داده ندارند به راحتی بارگذاری شوند اما اتصال به پایگاه داده برای صفحات داینامیک برقرار نشود، در چنین مواقعی معمولا پیام تکمیل ظرفیت اتصال به پایگاه داده یا Too Many Connections  ظاهر خواهد شد، بهترین کار در چنین حالتی این است که با تنظیم یک دستور هدر 500 HTTP به ربات های جستجوگر بگوییم که سایت ما فعلا دچار مشکلی است و بعدا مراجعه نمائید!، چرا که در غیر اینصورت با وجود Down بودن دیتابیس سرور، ربات ها با دریافت وضعیت HTTP 200 صفحه خالی را ایندکس می کنند که این حالت قاعدتا مناسب نیست، در PHP این کار را با استفاده از دستورات header می توانیم انجام دهیم:

header('HTTP/1.0 500 Internal Server Error');

دقت کنیم که عدم اتصال به پایگاه داده می تواند از پائین بودن قدرت سخت افزاری یا مشکلات نرم افزاری و پیکره بندی نامناسب سیستم مدیریت پایگاه داده نیز ناشی شود، لذا این حالت نیز صرفا به عنوان نشانه وجود مشکل (نه الزما حمله DDoS) در سرور تلقی می شود که باید توسط مدیر فنی یا امنیت شبکه بررسی شود.
- مصرف بیش از حد منابع سرور
یکی دیگر از نشانه های حمله DDoS می تواند مصرف بیش از حد و غیر طبیعی منابع سرور از قبیل حافظه یا میزان دیتای رد و بدل شده بین سرور و کلاینت در یک بازه زمانی کوتاه باشد.
- افزایش انفجاری درخواست ها
یکی دیگر از نشانه های حمله DDoS وجود شمار زیادی درخواست HTTP به سرور است که با مشاهده فایل Log و قسمت آمار می توان به این موضوع پی برد.
- اختلالات در سرویس های جانبی نظیر ایمیل
گاهی مواقع حملات DDoS سرویس های جانبی سرور نظیر سرویس ایمیل را هدف می گیرند، در این مواقع ارسال و دریافت ایمیل ممکن است به کندی صورت گیرد یا دچار وقفه شود، البته همانطور که گفتیم هر وقفه و اختلالی به معنی حمله DDoS نیست، اختلال در سرویس های جانبی اگر بدون علت فنی خاصی باشد می تواند نشانه ای از حملات محسوب شود که با کنار هم قرار دادن شواهد دیگر می توانیم از وجود یا عدم وجود DDoS مطمئن شویم.

در حمله DDoS از چه روش هایی استفاده می شود؟

چند روش به عنوان شایع ترین ها در این نوع حملات استفاده می شود که در ادامه به طور مختصر و جهت آشنایی بیشتر به آنها اشاره می کنیم:
- روش Ping Flood یا طوفان درخواست ها
در این شیوه مهاجم سعی می کند با ارسال درخواست ها (یا بسته های Ping) به سمت کامپیوتر هدف (قربانی) و با تکرار این عمل، کل منابع سرور را اشغال کند تا در نهایت عملکرد آن را به طور کامل از کار بیندازد، در این شیوه معمولا از کامپیوترهای موجود در یک شبکه یا از سرورهایی به طور همزمان درخواست ها به سمت سرور قربانی ارسال می شود تا در نهایت موجب از کار افتادن و به اصطلاح Down آن شود.
- روش Smurf attack یا استفاده از نقص تنظیمات
یک Smurf attack نوع خاصی از طوفان درخواست ها به یک سرور است که طی آن به دلیل وجود ضعف در تنظیمات سرویس، بسته هایی از اطلاعات موسوم به ICMP (مخفف Internet Control Message Protocol) به تمام کامپیوترهای موجود در یک شبکه از طریق آدرس Broadcast آنها ارسال می شود، آدرس Broadcast می تواند به عنوان مثال آی پی اشتراکی سایت های موجود در یک سرور باشد، در این حالت اگر تنظیمات سرور به درستی انجام نشده باشد ارسال یک درخواست به این آی پی موجب تقسیم شدن آن بین تمام زیر شاخه ها و در نتیجه Overload شدن سرور می شود.
- حملات موسوم به SYN یا SYN flood
روش اخیر نیز در عمل مشابه با موارد گفته شده است، با این تفاوت که در اینجا مهاجم با ارسال درخواست هایی از نوع بسته های TCP/SYN در پشت چهره ای عادی و تایید شده به عنوان یک کاربر معمولی، از سرور تقاضای اتصال می کند که پس از ارسال پاسخ درخواست هیچ جوابی به پاسخ سرور داده نمی شود تا اتصال نیمه باز همچنان برقرار باشد (سرور در انتظار پاسخ مهاجم مدتی صبر می کند)، در این بین با افزایش این اتصالات نیمه باز، منابع سرور اشغال شده و نهایتا موجب بروز اختلال و از کار افتادن آن می شود.
- روش Teardrop یا Teardrop attacks
در این شیوه رشته ای از آی پی های ناقص به هم متصل شده و شبیه به هم را به سرور ارسال می کنند که اگر تنظیمات قسمت TCP/IP fragmentation re-assembly سرور دچار نقص در تشخیص آنها باشد، موجب بروز مشکل اضافه بار یا Overload در سرور خواهد شد.

حمله DDoS چقدر طول می کشد؟

یکی از سوال های همیشگی در چنین موقعیت هایی این است که یک حمله DDoS چقدر طول می کشد و ظرف چه مدتی به پایان می رسد؟، پاسخ این سوال نیز می تواند یک جمله باشد: تا زمانی که به پایان رسد! این موضع بستگی به میزان سماجت مهاجم و ضعف مدافع دارد، یعنی اگر مهاجم بر ادامه حملات خود اصرار داشته باشد و در مقابل مدافع که همان مدیران شبکه و سرور هستند نتوانند از عهده کنترل اوضاع برآیند ممکن است حمله DDoS ساعت ها یا روزها به طول انجامد، در خوش بینانه ترین حالت ظرف چند دقیقه و در بدترین حالت چندین و چند روز و به دفعات ممکن است اختلال طول بکشد.

برای جلوگیری از حمله DDoS چه کارهایی را انجام دهیم؟

واقعیت این است که کنترل حمله های DDoS پس از وقوع کمی دشوارتر از پیشگیری از آن است، امروزه در سایت ها و انجمن های زیادی به افراد آموزش شیوه های هک و ایجاد حمله های DDoS داده می شود که این امر با افزایش شمار کاربران اینترنت (که می توانند میانجی و قربانی بالقوه برای حمله به سرورها باشند) و توسعه زیرساخت ها و سخت افزارهای شبکه به لحاظ کمی رو به گسترش است، البته آسیب پذیری در این رابطه بیشتر به امنیت سرور برمی گردد تا به امنیت سایتمان، در مورد سرور می توان پس از اطمینان از حمله DDoS، آی پی هایی را که بیشترین تقاضا را به سرور داشته اند و ناشناس هستند توسط فایروال ها بلاک و مسدود کرد، یا با نصب بسته های امنیتی خاص و به روزرسانی و ارتقاء سخت افزاری و نرم افزاری، آسیب پذیری سرور را تا حد چشمگیری کاهش داد، آگاهی از روند عادی سرور می تواند کمک بزرگی در این خصوص محسوب شود، چرا که اگر مدیر سرور نسبت به عادی یا غیر عادی بودن ترافیک آن آشنایی داشته باشد به سرعت می تواند پی به وجود این نوع حمله ها ببرد و در جهت رفع اختلال برآید، به عنوان یک کاربر عادی در سرویس های میزبانی وب بهترین کار این است که به محض مشکوک بودن به چنین حمله هایی موضوع را به پشتیبانی فنی هاست خود اطلاع دهیم تا در کوتاه ترین زمان جلوی آن گرفته شود.