حمله DDoS چیست؟ انواع حملات و روش‌های واقعی محافظت

حمله DDoS چیست و چرا باید جدی گرفته شود؟

حمله DDoS (Distributed Denial of Service) تلاشی برای از کار انداختن یک سرویس آنلاین با هدایت حجم عظیمی از ترافیک جعلی به سمت آن است. تفاوت اصلی این حمله با DoS ساده در توزیع‌شدگی آن است: مهاجم از هزاران یا میلیون‌ها دستگاه آلوده (بات‌نت) استفاده می‌کند تا درخواست‌هایی هم‌زمان به سرور شما بفرستد. نتیجه این است که منابع سرور — اعم از پهنای باند، پردازنده، حافظه یا اتصالات شبکه — اشباع می‌شود و کاربران واقعی دیگر نمی‌توانند به سرویس دسترسی پیدا کنند.

نکته مهم این است که حمله DDoS لزوماً به معنی نفوذ به سرور نیست. مهاجم معمولاً به دنبال دزدیدن داده نیست؛ هدف اصلی او ایجاد اختلال، کاهش اعتبار برند، یا تحت فشار گذاشتن شما برای پرداخت باج است. آمارها نشان می‌دهد میانگین هزینه هر دقیقه قطعی سرویس برای کسب‌وکارهای متوسط می‌تواند از چند صد هزار تومان تا چند میلیون تومان متغیر باشد — و این فقط هزینه مستقیم است؛ هزینه از دست رفتن اعتماد مشتری را باید جداگانه حساب کرد.

برای مقابله مؤثر با حمله DDoS، اول باید بدانید حمله در کدام لایه از مدل OSI رخ می‌دهد. چون راهکار محافظت از لایه شبکه با لایه کاربرد کاملاً متفاوت است. در ادامه، سه لایه اصلی حمله را بررسی می‌کنیم و سپس به سراغ راهکارهایی می‌رویم که واقعاً جواب می‌دهند.

انواع حمله DDoS بر اساس لایه هدف

حملات DDoS را می‌توان بر اساس لایه OSI که به آن حمله می‌کنند دسته‌بندی کرد. هر لایه ویژگی‌های خاص خودش را دارد و روش مقابله با آن نیز متفاوت است.

حملات لایه شبکه و انتقال (L3/L4)

این حملات به زیرساخت شبکه حمله می‌کنند و هدفشان اشباع پهنای باند یا پر کردن جدول اتصالات است. معروف‌ترین انواع آن عبارتند از:

• حمله UDP Flood: مهاجم حجم عظیمی از بسته‌های UDP را به پورت‌های تصادفی سرور می‌فرستد. سرور مجبور است برای هر بسته، پاسخ ICMP «پورت غیرقابل دسترس» بفرستد که خودش مصرف منابع دارد.
• حمله SYN Flood: مهاجم درخواست‌های اتصال TCP را با آدرس IP جعلی (Spoofed) می‌فرستد و هرگز مرحله Handshake را کامل نمی‌کند. صف اتصالات نیمه‌باز (SYN Queue) پر می‌شود و اتصالات جدید واقعی رد می‌شوند.
• حمله ICMP (Ping) Flood: ارسال حجم انبوهی از بسته‌های ping به سرور. در حالت مهندسی‌شده به آن Smurf Attack می‌گویند که از آدرس پخش شبکه برای تقویت حمله استفاده می‌کند.
• حمله NTP Amplification: مهاجم درخواست‌های کوچکی به سرورهای NTP عمومی می‌فرستد و آدرس IP قربانی را جعل می‌کند. پاسخ سرور NTP که می‌تواند تا ۵۰۰ برابر بزرگ‌تر باشد، به سمت قربانی روانه می‌شود.

حملات L3/L4 معمولاً با حجم‌سنجی (Bandwidth) اندازه‌گیری می‌شوند — مثلاً ۵۰ گیگابیت بر ثانیه یا ۱۰ میلیون بسته در ثانیه. این حملات را نمی‌توان با فایروال معمولی متوقف کرد، چون فایروال خودش هم نقطه شکست می‌شود.

حملات لایه کاربرد (L7)

این حملات هوشمندانه‌ترند و هدفشان مصرف منابع پردازشی وب‌سرور یا اپلیکیشن است. حجم ترافیک این حملات معمولاً کم است (شاید فقط چند هزار درخواست در ثانیه) اما هر درخواست بسیار سنگین است:

• HTTP Flood: ارسال درخواست‌های GET یا POST به صفحات سنگین سایت. مهاجم ممکن است از بات‌نت استفاده کند یا با ابزارهایی مثل LOIC درخواست‌های به ظاهر قانونی بفرستد.
• Slowloris: مهاجم اتصالات HTTP را باز نگه می‌دارد و هدرها را خیلی آهسته می‌فرستد. سرور منتظر تکمیل درخواست می‌ماند و به مرور تمام اتصالات مجاز خود را از دست می‌دهد.
• حمله Slow POST: مشابه Slowloris اما با ارسال بدنه درخواست با سرعت بسیار کم (مثلاً ۱ بایت در هر ۱۰ ثانیه).
• حمله به API: فراخوانی مکرر یک endpoint سنگین مثل جستجو یا تولید گزارش که کوئری‌های پیچیده دیتابیس را اجرا می‌کند.

تشخیص حملات L7 سخت‌تر است چون ترافیک شبیه رفتار کاربران عادی است. یک درخواست HTTP عادی و یک درخواست حمله از نظر ساختار ممکن است کاملاً یکسان باشند.

حملات ترکیبی و جدید

امروزه بیشتر حملات جدی ترکیبی هستند. مهاجم ابتدا با یک حمله L4 پهنای باند را اشباع می‌کند تا توجه تیم امنیتی جلب شود، و هم‌زمان با حمله L7 سعی می‌کند از سد WAF عبور کند. برخی حملات جدید هم از پروتکل‌های QUIC یا WebSocket استفاده می‌کنند که فیلتر کردن آنها پیچیده‌تر است.

چه چیزی واقعاً جلوی حمله DDoS را می‌گیرد؟

بسیاری از راهکارهای رایج — مثل افزایش پهنای باند یا استفاده از فایروال سخت‌افزاری — در برابر حملات مدرن کارایی چندانی ندارند. در ادامه، راهکارهایی را بررسی می‌کنیم که در عمل جواب می‌دهند.

فیلتر ترافیک در لبه شبکه (Edge Filtering)

مهم‌ترین اصل مقابله با حمله DDoS این است که ترافیک حمله نباید به سرور اصلی شما برسد. اگر حمله به زیرساخت شما برسد، دیگر خیلی دیر شده است. راهکار استاندارد این است که ترافیک را در لبه شبکه — یعنی جایی که دیتاسنتر به اینترنت متصل می‌شود — فیلتر کنید.

سرویس‌های ابری مثل Cloudflare، Akamai یا سرویس‌های داخلی مشابه، ترافیک شما را از طریق شبکه خودشان مسیردهی می‌کنند. وقتی حمله شروع می‌شود، ترافیک جعلی در لبه شبکه شناسایی و دور ریخته می‌شود و فقط ترافیک سالم به سرور شما می‌رسد. این کار با تکنیک‌های زیر انجام می‌شود:

• تحلیل رفتارسنجی: بررسی نرخ بسته‌ها، نرخ اتصالات جدید و الگوهای زمانی برای تشخیص ناهنجاری.
• اعتبارسنجی پروتکل: بررسی اینکه بسته‌های TCP سه‌مرحله Handshake را کامل کرده‌اند یا نه. بسته‌های SYN بدون ACK مربوطه دور ریخته می‌شوند.
• لیست سیاه IP: مسدود کردن آدرس‌های IP شناخته‌شده که قبلاً در حملات استفاده شده‌اند.
• محدودیت نرخ (Rate Limiting): محدود کردن تعداد درخواست‌های هر IP در واحد زمان.

نکته مهم: اگر سرویس شما در ایران است و مخاطبان شما هم در ایران هستند، استفاده از سرویس‌های خارجی ممکن است به دلیل تحریم‌ها یا تأخیر شبکه (Latency) عملی نباشد. در این حالت باید از سرویس‌های داخلی محافظت DDoS استفاده کنید. شرکت‌هایی مثل ServerNet در کنار خدمات میزبانی وب و ابری، راهکارهای مقابله با حمله DDoS را هم به مشتریان خود ارائه می‌دهند که می‌تواند گزینه مناسبی برای کسب‌وکارهای ایرانی باشد.

پیکربندی صحیح سرور و نرم‌افزار

هیچ سرویس ابری نمی‌تواند جای یک سرور درست پیکربندی‌شده را بگیرد. تنظیمات زیر را حتماً روی سرور خود اعمال کنید:

1. تنظیم پارامترهای هسته لینوکس: در فایل /etc/sysctl.conf مقادیر زیر را تنظیم کنید تا مقاومت در برابر SYN Flood افزایش یابد:

   net.ipv4.tcp_syncookies = 1
   net.ipv4.tcp_synack_retries = 2
   net.ipv4.tcp_max_syn_backlog = 4096
   net.ipv4.icmp_echo_ignore_broadcasts = 1
   net.ipv4.conf.all.rp_filter = 1

   سپس با دستور sysctl -p تغییرات را اعمال کنید.
2. محدودیت اتصالات همزمان: با iptables می‌توانید تعداد اتصالات همزمان از هر IP را محدود کنید:

   iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT

   این قانون اجازه می‌دهد هر IP حداکثر ۵۰ اتصال هم‌زمان به پورت ۸۰ داشته باشد.
3. محدودیت نرخ درخواست با Nginx: در بلاک سرور خود تنظیم کنید:

   limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
   server {
       location / {
           limit_req zone=req_limit burst=20 nodelay;
       }
   }

   این تنظیم اجازه می‌دهد هر IP حداکثر ۱۰ درخواست در ثانیه ارسال کند.
4. فعال‌سازی WAF: اگر از Nginx استفاده می‌کنید، ماژول ModSecurity را نصب و قوانین OWASP CRS را فعال کنید. این کار از بسیاری از حملات L7 جلوگیری می‌کند.

زیرساخت مقیاس‌پذیر و توزیع‌شده

اگر سرویس شما روی یک سرور واحد اجرا می‌شود، حتی بهترین فیلتر هم نمی‌تواند از اشباع پهنای باند جلوگیری کند. راهکارهای زیر را در نظر بگیرید:

• استفاده از CDN: محتوای استاتیک سایت را روی CDN قرار دهید تا درخواست‌های استاتیک به سرور اصلی نرسد.
• تعادل بار (Load Balancing): ترافیک را بین چند سرور توزیع کنید تا اگر یکی از کار افتاد، بقیه پاسخگو باشند.
• معماری میکروسرویس: به جای یک مونولیت بزرگ، سرویس‌ها را جدا کنید تا حمله به یک بخش، کل سیستم را از کار نیندازد.

اشتباهات رایج در مقابله با حمله DDoS

در طول سال‌ها کار با مشتریان، چند اشتباه را بارها دیده‌ام که نتیجه حملات را بسیار بدتر می‌کند:

• انتظار برای شروع حمله: بسیاری از کسب‌وکارها بعد از اولین حمله به فکر راهکار می‌افتند. اما راه‌اندازی سرویس محافظت DDoS زمان می‌برد و در میانه حمله دیگر دیر است. باید قبل از حمله، زیرساخت محافظت آماده باشد.
• اعتماد به فایروال سخت‌افزاری به تنهایی: فایروال‌های معمولی برای ترافیک عادی طراحی شده‌اند و در برابر حملات حجمی بالا خودشان اولین نقطه شکست هستند.
• بستن کامل پورت‌ها: بعضی تیم‌ها در میانه حمله همه پورت‌ها را می‌بندند. این کار سرویس را برای کاربران واقعی هم از کار می‌اندازد و عملاً همان نتیجه حمله را دارد.
• بی‌توجهی به لاگ‌ها: بعد از هر حمله، لاگ‌های سرور و فایروال را بررسی کنید تا الگوی حمله را بشناسید. این اطلاعات برای تنظیم دقیق‌تر فیلترها در حمله بعدی حیاتی است.

جمع‌بندی: برنامه عملی شما

برای محافظت واقعی در برابر حمله DDoS، این مراحل را به ترتیب انجام دهید:

1. ارزیابی کنید سرویس شما در کدام لایه‌ها آسیب‌پذیرتر است. اگر سایت فروشگاهی با ترافیک بالا دارید، احتمالاً حملات L7 مهم‌ترند؛ اگر سرویس بازی یا استریم ارائه می‌دهید، حملات L3/L4 خطر اصلی هستند.
2. زیرساخت محافظت لبه شبکه را قبل از هر حمله راه‌اندازی کنید. این کار را به شرکت متخصص بسپارید یا از سرویس‌های آماده استفاده کنید.
3. تنظیمات سرور را طبق دستورالعمل‌های بالا اعمال کنید و مقاومت سرور را با ابزارهایی مثل ab (Apache Bench) یا wrk تست کنید.
4. یک برنامه واکنش به حادثه بنویسید: چه کسی مسئول است، با چه کسی تماس بگیرید، و چه مراحلی را به ترتیب انجام دهید.
5. به طور دوره‌ای (مثلاً هر ۳ ماه) یک حمله شبیه‌سازی‌شده با حجم کم اجرا کنید تا مطمئن شوید زیرساخت شما هنوز کار می‌کند.

حمله DDoS یک تهدید واقعی و همیشگی است، اما با شناخت درست لایه‌های حمله و استفاده از راهکارهای مناسب، می‌توانید ریسک آن را به حداقل برسانید. نکته کلیدی این است که محافظت باید قبل از حمله آماده باشد، نه بعد از آن.