ما المقصود بالهجوم الموزع لحجب الخدمة (DDoS)?

تتسبب هجمات DDoS في إغراق المواقع الإلكترونية بطلبات ضارة، ما يجعل التطبيقات والخدمات الأخرى غير متاحة للمستخدمين الحقيقيين. وعندما تعجز الموارد المستهدفة عن التعامل مع هذا الحجم الهائل من البيانات غير الحقيقية، فإنها تتباطأ بشكل كبير أو تتوقف تمامًا، ما يجعلها غير متاحة للمستخدمين الحقيقيين.

تُعد هجمات DDoS جزءًا من فئة أوسع تُسمّى هجمات حجب الخدمة (DoS)، وهي تضم كافة الهجمات الإلكترونية التي تؤدي إلى إبطاء التطبيقات أو خدمات الشبكة أو إيقافها. لكن ما يميز هجمات DDoS تحديدًا هو إرسالها حركة بيانات الهجوم من مصادر متعددة في نفس الوقت، وهذا هو سبب تسميتها "بالموزّعة".

ظل مجرمو الإنترنت يستخدمون هجمات DDoS لتعطيل عمليات الشبكات لأكثر من 20 عامًا، لكن مؤخرًا ارتفعت وتيرة هذه الهجمات وقوتها بشكل ملحوظ. ووفقًا لتقرير حديث، زادت هجمات DDoS بنسبة 203 بالمئة في النصف الأول من عام 2022 مقارنةً بالفترة نفسها من عام 2021.

على عكس الهجمات الإلكترونية الأخرى، لا تعتمد هجمات DDoS على استغلال الثغرات الأمنية لاختراق الأنظمة. بدلًا من ذلك، فإنها تستغل بروتوكولات الشبكة التقليدية، مثل بروتوكول نقل النص التشعبي (HTTP) وبروتوكول التحكم في الإرسال (TCP)، لإغراق الموارد المستهدفة مثل نقاط الاتصال والتطبيقات والخدمات الأخرى بعدد كبير من الطلبات يفوق قدرتها على الاستيعاب. تمتلك خوادم الويب وأجهزة التوجيه والبنية التحتية للشبكات قدرة محدودة على معالجة الطلبات والاتصالات في الوقت ذاته. وبإرسال كميات ضخمة من الطلبات التي تستهلك كل سعة النطاق الترددي المتاح لهذه الموارد، تمنع هجمات DDoS الموارد من الاستجابة للطلبات الحقيقية من المستخدمين.

بوجه عام، يمر هجوم DDoS بثلاث مراحل رئيسية:

يعتمد اختيار هدف هجوم DDoS على دوافع الجهة المُنفِّذة، وهي دوافع قد تتباين بشدة. فقد استخدم المخترقون هجمات DDoS للابتزاز، وطالبوا المؤسسات بدفع فدية لوقف الهجمات. واستخدم البعض الآخر هذه الهجمات لأغراض سياسية ضد منظمات يعارضونها. كما لجأت بعض الشركات غير الأخلاقية إلى هجمات DDoS لتعطيل منافسيها، واستخدمتها دول كجزء من حربها الإلكترونية.

تتضمن بعض أهداف أكثر اهتمامًا في هجمات DDoS ما يلي:

• تجار التجزئة عبر الإنترنت. إذ يمكن أن تتسبب هجمات DDoS في أضرار مالية كبيرة لتجار التجزئة عندما تؤدي إلى تعطيل متاجرهم الرقمية وتجعل من المستحيل على العملاء التسوق لفترة زمنية.
  
  

• مزودو الخدمات السحابية. من الأهداف الشائعة أيضًا مزوّدو الخدمات السحابية مثل Amazon Web Services (AWS) وMicrosoft Azure وGoogle Cloud Platform. ولأن هذه الخدمات تستضيف بيانات وتطبيقات لعدة شركات، يمكن للمخترقين إحداث انقطاع واسع النطاق بهجوم واحد. في عام 2020، تعرضت AWS لهجوم DDoS ضخم. حيث بلغ تدفق البيانات الخبيثة في ذروته 2.3 تيرابت في الثانية.
  
  

• المؤسسات المالية. يمكن أن تؤدي الهجمات إلى تعطيل الخدمات المصرفية، ما يمنع العملاء من الوصول إلى حساباتهم. ففي عام 2012، تعرضت ستة بنوك أمريكية كبرى لهجمات DDoS منسّقة يُعتقد أنها كانت مدفوعة بأغراض سياسية.
  
  

• مقدمو البرامج كخدمة (SaaS). وتُعد الشركات التي تقدم البرمجيات كخدمة (SaaS)، مثل Salesforce وGitHub وOracle، أهدافًا جذابة أيضًا، لأنها تتيح للمخترقين تعطيل عدة شركات بهجوم واحد. وفي عام 2018، تعرضت GitHub لأكبر هجوم DDoS سُجّل حتى ذلك الوقت.
  
  

• شركات الألعاب. وتستهدف هذه الهجمات كذلك شركات الألعاب، إذ يمكنها تعطيل الألعاب عبر الإنترنت من خلال إغراق خوادمها بحركة بيانات زائدة. وغالبًا ما ينفذ هذه الهجمات لاعبون يشعرون بالاستياء أو يرغبون بالانتقام، كما حدث مع شبكة Mirai التي بُنيت أصلًا لاستهداف خوادم لعبة Minecraft.

يتطلب هجوم DDoS عادة استخدام شبكة روبوت (botnet)، وهي شبكة مكوّنة من أجهزة متصلة بالإنترنت تم اختراقها ببرمجيات ضارة تمكّن المخترقين من التحكم بها عن بُعد. قد تتضمن هذه الأجهزة أجهزة كمبيوتر مكتبية أو محمولة، أو هواتف محمولة، أو أجهزة إنترنت الأشياء (IoT)، أو أجهزة أخرى منزلية أو تجارية.. وعادةً لا يكون أصحاب هذه الأجهزة المصابة على دراية بأنها مخترقة أو بأنها تُستخدم في تنفيذ هجوم DDoS.

يقوم بعض المجرمين الإلكترونيين ببناء شبكات الروبوت من الصفر، بينما يقوم آخرون بشراء أو استئجار شبكات روبوت جاهزة مسبقًا وفق نموذج يسمى "حجب الخدمة كخدمة" (denial-of-service as a service).

(ملاحظة: لا تستخدم جميع هجمات DDoS شبكات الروبوتات؛ إذ تستغل بعضها التشغيل العادي للأجهزة غير المصابة لأغراض خبيثة. انظر "هجمات Smurf" أدناه.)

يقوم المخترقون بإصدار أوامر للأجهزة الموجودة ضمن شبكة الروبوت لإرسال طلبات اتصال أو حزم بيانات أخرى إلى عنوان IP الخاص بالخادم أو الجهاز أو الخدمة المستهدفة. وتعتمد معظم هجمات DDoS على أسلوب القوة الغاشمة (brute force)، حيث تُرسل عددًا كبيرًا جدًا من الطلبات التي تستهلك كامل النطاق الترددي المتاح للمورد المستهدف. في المقابل، تُرسل بعض الهجمات عددًا أقل من الطلبات الأكثر تعقيدًا التي تفرض على الهدف استهلاك موارد أكبر في معالجتها. في كلا الحالتين، تكون النتيجة واحدة: إغراق النظام المستهدف بحركة بيانات الهجوم، ما يؤدي إلى حجب الخدمة ومنع حركة البيانات الشرعية من الوصول إلى الموقع الإلكتروني أو تطبيق الويب أو واجهة برمجة التطبيقات (API) أو الشبكة.

وغالبًا ما يُخفي المخترقون مصدر الهجوم باستخدام تقنية انتحال عنوان IP (IP spoofing)، وهي طريقة تسمح لهم بتزوير عناوين IP المصدرية لحزم البيانات المرسلة من شبكة الروبوت. في أحد أشكال انتحال عنوان بروتوكول الإنترنت (IP spoofing) والذي يُعرف باسم "الهجوم العاكس"، يُظهر المخترقون كما لو أن حركة البيانات الضارة قد أُرسلت من عنوان بروتوكول الإنترنت الخاص بالضحية نفسه.

غالبًا ما تُسمّى أنواع هجمات DDoS أو توصف بناءً على النموذج المرجعي للربط بين الأنظمة المفتوحة (OSI)، وهو إطار مفاهيمي يُعرّف سبع طبقات للشبكة، ويُشار إليه أحيانًا باسم "نموذج الطبقات السبع OSI".

كما يشير الاسم، تستهدف هجمات طبقة التطبيقات الطبقة السابعة من نموذج OSI، وهي الطبقة التي يتم فيها توليد صفحات الويب استجابةً لطلبات المستخدمين. تؤدي هجمات طبقة التطبيقات إلى تعطيل تطبيقات الويب عن طريق إغراقها بالطلبات الضارة.

من أكثر هجمات طبقة التطبيقات شيوعًا هجوم فيضان HTTP، حيث يرسل المهاجم عددًا كبيرًا من طلبات HTTP باستمرار ومن أجهزة متعددة إلى موقع ويب واحد. لا يتمكن الموقع من التعامل مع هذا الكم الهائل من الطلبات، مما يؤدي إلى تباطئه بشكل كبير أو توقفه تمامًا عن العمل. تشبه هجمات فيضان HTTP قيام مئات أو آلاف المتصفحات بتحديث صفحة ويب واحدة باستمرار.

تُعد هجمات طبقة التطبيقات سهلة التنفيذ نسبيًا، إلا أن منعها والتخفيف من آثارها قد يكون أمرًا صعبًا. ومع انتقال المزيد من المؤسسات إلى استخدام التطبيقات القائمة على الحاويات والخدمات المصغرة، تتزايد مخاطر تعطل خدمات الويب والسحابة الحيوية نتيجة لهذه الهجمات.

تستهدف هجمات البروتوكولات الطبقة الثالثة (طبقة الشبكة) والطبقة الرابعة (طبقة النقل) من نموذج OSI. وتهدف إلى إغراق الموارد الشبكية الحيوية، مثل جدران الحماية، وموازنات الأحمال، وخوادم الويب، بطلبات اتصال ضارّة.

من الأمثلة على هجمات البروتوكولات الشائعة ما يلي:

هجمات فيضان SYN. تستغل هجمات فيضان SYN آلية المصافحة ثلاثية الاتجاهات (TCP Handshake)، وهي العملية التي يتم من خلالها إنشاء الاتصال بين جهازين.

في الحالة الاعتيادية، يبدأ أحد الأجهزة الاتصال بإرسال حزمة SYN، ويرد الجهاز الآخر بحزمة SYN/ACK لتأكيد الطلب، ثم يُكمل الجهاز الأصلي المصافحة بإرسال حزمة ACK لتفعيل الاتصال.

أما في هجوم فيضان SYN، فيرسل المهاجم عددًا كبيرًا من حزم SYN إلى الخادم المستهدف باستخدام عناوين IP مُزيفة. يرد الخادم على هذه العناوين المُزيفة بحزم SYN/ACK وينتظر حزمة ACK النهائية. ولكن لأن العنوان مزيف، فإن هذه الحزمة لا تصل أبدًا. وبالتالي، يُحتجز الخادم في عدد كبير من الاتصالات غير المكتملة، مما يجعله غير قادر على التعامل مع طلبات TCP الحقيقية.

هجمات Smurf. تستغل هجمات Smurf بروتوكول رسائل التحكم في الإنترنت (ICMP)، وهو بروتوكول يُستخدم لتقييم حالة الاتصال بين جهازين. في الاتصال الاعتيادي عبر ICMP، يرسل جهاز حزمة طلب صدى (Echo Request) ويستقبل الجهاز الآخر رد الصدى (Echo Reply).

أما في هجوم Smurf، فيرسل المهاجم حزمة طلب صدى باستخدام عنوان IP مزيف يطابق عنوان IP الخاص بالضحية. يتم إرسال طلب صدى ICMP هذا إلى شبكة بث عبر بروتوكول الإنترنت (IP broadcast)، فتقوم هذه الشبكة بتمرير الطلب إلى جميع الأجهزة ضمن الشبكة المحددة. كل جهاز يستلم طلب الصدى عبر ICMP — وقد يصل عددها إلى مئات أو آلاف الأجهزة — يرسل رد صدى ICMP إلى عنوان بروتوكول الإنترنت الخاص بالضحية، مما يُغرق الجهاز بكمية من البيانات تفوق قدرته على المعالجة. وعلى عكس العديد من أنواع الهجمات الموزعة لحجب الخدمة، لا تتطلب هجمات Smurf بالضرورة وجود شبكة روبوتية (botnet).

تستهلك هجمات DDoS الحجمية كل النطاق الترددي المتاح داخل الشبكة المستهدفة أو بين الخدمة المستهدفة وباقي أجزاء الإنترنت، مما يمنع المستخدمين الشرعيين من الوصول إلى موارد الشبكة. وغالبًا ما تُغرق هذه الهجمات الشبكات والموارد بحجم هائل من حركة البيانات، حتى بالمقارنة مع أنواع هجمات DDoS الأخرى. ومن المعروف أن الهجمات الحجمية قادرة على إرباك أنظمة الحماية من هجمات DDoS، مثل مراكز التنقية (scrubbing centers)، المصممة لتمييز حركة البيانات الضارّة من الحقيقية.

من الأمثلة على الأنواع الشائعة من الهجمات الحجمية ما يلي:

هجمات فيضان UDP. تقوم هذه الهجمات بإرسال حزم وهمية باستخدام بروتوكول بيانات المستخدم (UDP) إلى منافذ المضيف المستهدف، مما يدفع الجهاز للبحث عن تطبيق لمعالجة هذه الحزم. وبما أن الحزم وهمية، فلا يوجد تطبيق يستقبلها، فيُضطر الجهاز إلى إرسال رسالة ICMP بعنوان "الوجهة غير متاحة" إلى المرسل. تُستنزف موارد الجهاز في الرد على هذا السيل المستمر من حزم UDP الوهمية، مما يجعله غير قادر على معالجة الحزم الحقيقية.

هجمات فيضان ICMP. وتُعرف أيضًا باسم "هجمات فيضان Ping"، حيث تقوم هذه الهجمات بإغراق الهدف بطلبات صدى ICMP من عناوين بروتوكول إنترنت مزيفة متعددة. يجب على الخادم المستهدف الرد على كل هذه الطلبات، مما يؤدي إلى زيادة الحمل عليه وعدم قدرته على معالجة طلبات ICMP الصحيحة. تتميّز هجمات فيضان ICMP عن هجمات Smurf في أن المهاجمين هنا يرسلون عددًا كبيرًا من طلبات ICMP من شبكات بوت نت بدلاً من خداع أجهزة الشبكة لإرسال الردود إلى عنوان الضحية.

هجمات تضخيم نظام أسماء النطاقات (DNS). في هذا النوع من الهجمات، يُرسل المهاجم عدة طلبات بحث عبر نظام أسماء النطاقات (DNS) إلى خادم أو أكثر من خوادم DNS العامة. تستخدم هذه الطلبات عنوان IP مزيفًا يعود إلى الضحية وتطلب من خوادم DNS الرد بمعلومات كبيرة الحجم مقابل كل طلب. ثم يرد خادم DNS على الطلبات عن طريق إغراق عنوان IP الخاص بالضحية بكميات كبيرة من البيانات.

كما يشير الاسم، تستغل الهجمات متعددة النواقل أكثر من أسلوب هجومي واحد لزيادة الأضرار إلى أقصى حد وتعقيد جهود التخفيف من آثار هجمات حجب الخدمة. وقد يستخدم المهاجمون عدة نواقل في وقت واحد أو يُبدّلون بينها أثناء الهجوم عندما يتم التصدي لإحدى النواقل. فعلى سبيل المثال، قد يبدأ المخترقون بهجوم Smurf، ثم ما إن يتم حظر حركة البيانات من أجهزة الشبكة، يتحوّلون إلى تنفيذ هجوم فيضان UDP عبر شبكة botnet.

كما يمكن استخدام تهديدات الهجوم الموزع لحجب الخدمة (DDoS) بالتزامن مع هجمات إلكترونية أخرى. على سبيل المثال، قد يُمارس المخترقون الذين يستخدمون برمجيات الفدية ضغوطًا على ضحاياهم من خلال التهديد بشن هجوم موزع لحجب الخدمة إذا لم تُدفَع الفدية.

استمرت الهجمات الموزعة لحجب الخدمة لفترة طويلة، وأصبحت أكثر شيوعًا بمرور الوقت بين المجرمين الإلكترونيين للأسباب التالية:

• لا تتطلب مهارات متقدمة لتنفيذها. يُمكن للمجرمين الإلكترونيين شن هجمات بمفردهم بسهولة، عبر استئجار شبكات بوت نت جاهزة من مخترقين آخرين، ودون الحاجة إلى تحضير أو تخطيط معقد.
  
  
• يصعب اكتشافها. نظرًا لأن شبكات البوت نت تتكوّن في الغالب من أجهزة استهلاكية وتجارية، يصعب على المؤسسات التمييز بين حركة البيانات الضارة وحركة بيانات المستخدمين الحقيقيين. علاوة على ذلك، فإن أعراض هجمات حجب الخدمة الموزعة — مثل بطء الخدمة وتعطّل المواقع أو التطبيقات مؤقتًا — قد تكون نتيجة ارتفاع مفاجئ في حركة البيانات الحقيقية، مما يصعّب اكتشاف الهجمات في مراحلها الأولى.
  
  
• يصعب التخفيف من حدتها. عند التعرف على هجوم DDoS، فإن طبيعته الموزعة تعني أنه لا يمكن إيقافه ببساطة عن طريق تعطيل مصدر واحد لحركة البيانات. كما أن عناصر التحكم القياسية في أمان الشبكة المخصصة لإحباط الهجوم الموزع لحجب الخدمة (DDoS)، مثل تحديد المعدل، يمكن أن تبطئ عمليات المستخدمين الحقيقيين أيضًا.
  
  
• تزايد عدد الأجهزة المحتملة ضمن شبكات البوت نت. أدى انتشار إنترنت الأشياء (IoT) إلى إتاحة مصدر غني من الأجهزة التي يمكن تحويلها إلى روبوتات. فالأجهزة المتصلة بالإنترنت — مثل الأدوات والأجهزة المنزلية، بما في ذلك تقنيات التشغيل (OT) كأنظمة التصنيع والأجهزة الصحية — تُباع وتُستخدم غالبًا بإعدادات افتراضية موحّدة ومن دون ضوابط أمان قوية، مما يجعلها عرضة للإصابة بالبرمجيات الضارة. كما يصعب على مالكي هذه الأجهزة اكتشاف أنها تعرضت للاختراق، لأن أجهزة إنترنت الأشياء وتكنولوجيا التشغيل تُستخدم غالبًا بشكل غير مباشر أو نادر.

أصبحت هجمات DDoS أكثر تطورًا مع اعتماد المخترقين على أدوات الذكاء الاصطناعي (AI) وأدوات التعلم الآلي (ML) للمساعدة في توجيه هجماتهم. وقد أدى ذلك إلى ظهور هجمات موزعة لحجب الخدمة قابلة للتكيّف، تستخدم الذكاء الاصطناعي والتعلم الآلي لاكتشاف أكثر نقاط النظام ضعفًا، وتعديل النواقل والاستراتيجيات تلقائيًا استجابة لمحاولات فرق الأمن الإلكتروني الحد من آثار الهجوم.

الهدف من هجوم موزع لحجب الخدمة هو تعطيل العمليات، وهو ما يمكن أن يُكلّف المؤسسات مبالغ طائلة. وفقًا لتقرير IBM بعنوان تكلفة خرق البيانات 2022، فإن الانقطاعات في الخدمة، وتوقف الأنظمة، والاضطرابات الأخرى الناتجة عن الهجمات الإلكترونية كلّفت المؤسسات في المتوسط 1.42 مليون دولار أمريكي. وفي عام 2021، كبّدت هجمة موزعة لحجب الخدمة أحد مزوّدي خدمات VoIP خسائر قاربت 12 مليون دولار أمريكي.

وسُجّلت أكبر هجمة موزعة لحجب الخدمة حتى الآن في نوفمبر 2021، حيث استُهدف أحد عملاء Microsoft Azure بتدفق ضار بلغ 3.47 تيرابت في الثانية. استخدم المهاجمون شبكة بوت نت تتكون من 10,000 جهاز من مختلف أنحاء العالم لإغراق الضحية بنحو 340 مليون حزمة بيانات في الثانية.

اُستخدمت هجمات موزعة لحجب الخدمة أيضًا ضد الحكومات، بما في ذلك هجوم وقع في بلجيكا عام 2021. استهدف المخترقون مزوّد خدمة إنترنت تديره الحكومة، مما أدى إلى قطع الاتصال بالإنترنت عن أكثر من 200 جهة حكومية وجامعة ومعهد أبحاث.

يستخدم المخترقون الهجمات الموزعة لحجب الخدمة بشكل متزايد ليس باعتبارها الهجوم الرئيسي، بل كوسيلة تشتيت لتشغيل فرق الأمن الإلكتروني، بينما ينفذون جريمة إلكترونية أكثر خطورة — مثل نقل غير مصرح للبيانات أو نشر برمجيات الفدية داخل الشبكة.

تعتمد جهود الحماية والتخفيف من الهجمات الموزعة لحجب الخدمة عادةً على إعادة توجيه حركة البيانات الضارة بأسرع وقت ممكن — على سبيل المثال، من خلال تمرير حركة البيانات إلى مراكز تنقية أو استخدام موازنات أحمال لإعادة توزيع حركة الهجوم. ولتعزيز الدفاعات ضد الهجمات الموزعة لحجب الخدمة، قد تعتمد المؤسسات تقنيات قادرة على اكتشاف حركة البيانات الضارة واعتراضها، ومن هذه التقنيات:

• جدران حماية تطبيقات الويب (WAFs)تستخدم معظم المجموعة اليوم جدار الحماية المحيطة وتطبيقات الويب (WAFs) لحماية شبكاتها وتطبيقاتها من الأنشطة الضارة. بينما تحمي جدران الحماية التقليدية على مستوى المنفذ، تضمن WAFs سلامة الطلبات قبل إعادة توجيهها إلى خوادم الويب. تميِّز WAF بين الطلبات الحقيقية والطلبات الضارة، مما يتيح لها إسقاط الطلبات الضارة ومنع هجمات طبقة التطبيقات.
  

• شبكات تسليم المحتوى (CDNs) شبكات تسليم المحتوى (CDNs) هي شبكة من الخوادم الموزعة تساعد المستخدمين على الوصول إلى الخدمات الإلكترونية بسرعة وموثوقية أعلى. عند استخدام شبكة توصيل المحتوى (CDN)، لا تنتقل طلبات المستخدمين بالكامل إلى خادم المنشأ الخاص بالخدمة. فبدلاً من إرسال طلب المستخدم إلى الخادم الأصلي، يُعاد توجيه الطلب إلى خادم أقرب جغرافيًا لتقديم المحتوى. تُسهم CDNs في الحماية من الهجوم الموزع لحجب الخدمة من خلال تعزيز قدرة الخدمة على استيعاب حجم أكبر من حركة البيانات. وفي حال توقف أحد خوادم CDN بسبب هجوم DDoS، يمكن توجيه حركة البيانات إلى خوادم أخرى متاحة داخل الشبكة.

• إدارة المعلومات والأحداث الأمنية (SIEM). تُقدِّم أنظمة SIEM مجموعة من الوظائف للكشف عن الهجمات الموزعة لحجب الخدمة والهجمات الإلكترونية الأخرى في مراحلها المبكرة، بما في ذلك إدارة السجلات وتحليل الشبكة. توفر حلول SIEM إدارة مركزية لبيانات الأمان المُولَّدة من أدوات الأمان المحلية والسحابية. ترصد هذه الأنظمة الأجهزة والتطبيقات المتصلة للكشف عن الحوادث والسلوكيات غير المعتادة — مثل الارتفاع المفاجئ في عدد طلبات الاتصال أو الأنشطة غير المشروعة. ثم تُرسل SIEM تنبيهات إلى فريق الأمن السيبراني لاتخاذ الإجراءات المناسبة.
• تقنيات الكشف والاستجابة تستخدم حلول كشف نقطة النهاية والاستجابة لها (EDR)، والكشف والاستجابة على مستوى الشبكة (NDR)، والكشف والاستجابة الموسعة (XDR) تحليلات متقدمة والذكاء الاصطناعي لمراقبة البنية التحتية للشبكة بحثًا عن مؤشرات اختراق — مثل أنماط حركة بيانات غير طبيعية قد تشير إلى وجود هجوم موزع لحجب الخدمة.تتضمن هذه الحلول إمكانات تلقائية للاستجابة للهجمات أثناء حدوثها، مثل إنهاء الاتصالات الشبكية المشبوهة أو عزل الأجهزة المصابة، مما يتيح استجابة فورية ومباشرة لحماية الشبكة من التصعيد.