DDoS اختصار لـ Distributed Denial of Service أي “حجب الخدمة الموزع”. هدفه ليس سرقة البيانات بل إسقاط الخدمة: موقع إلكتروني، أو خادم DNS، أو بوابة VPN، أو حتى خط الإنترنت بالكامل. الفرق بينه وبين DoS العادي أن الهجوم يأتي من آلاف أو ملايين المصادر في وقت واحد، غالباً من شبكة أجهزة مخترقة تُسمى Botnet، مما يجعل حظر المصدر شبه مستحيل.
أنواع هجمات DDoS
- Volumetric: إغراق عرض النطاق الترددي بحجم هائل من الحركة يُقاس بالـ Gbps أو Tbps، وغالباً عبر هجمات التضخيم (Amplification) التي تستغل خوادم DNS أو NTP أو Memcached المفتوحة لترد بحجم أكبر بكثير من الطلب نحو عنوان الضحية المزيف.
- Protocol Attacks: استنزاف موارد أجهزة الشبكة وجداول الجلسات، مثل SYN Flood.
- Application Layer (Layer 7): طلبات HTTP تبدو طبيعية لكنها تستهدف صفحات ثقيلة كالبحث وتسجيل الدخول، وهي الأصعب في التمييز عن الزوار الحقيقيين.
أمثلة واقعية
في أكتوبر 2016 استخدم المهاجمون شبكة Mirai المكونة من كاميرات مراقبة وأجهزة إنترنت الأشياء المخترقة بكلمات مرورها الافتراضية لمهاجمة شركة Dyn لخدمات DNS، فتعطل الوصول لمواقع كبرى مثل Twitter و Netflix لساعات في أجزاء واسعة من العالم. وفي 2018 تعرضت GitHub لهجوم تضخيم عبر Memcached تجاوز 1.3 تيرابت في الثانية، واستطاعت الصمود بتحويل الحركة إلى خدمة متخصصة في التنقية.
كيف تحمي خدماتك؟
- استخدام خدمات الحماية السحابية ومراكز التنقية (Scrubbing) أو شبكات CDN مثل Cloudflare و Akamai، أو خدمة الحماية لدى مزود الإنترنت، لأن الهجوم الحجمي لا يمكن صده من داخل خطك.
- تفعيل Rate Limiting و SYN Cookies وحمايات DoS في جدار الحماية.
- عدم ترك خوادم DNS أو NTP مفتوحة للعامة حتى لا تُستخدم في تضخيم الهجمات على الآخرين.
- تغيير كلمات المرور الافتراضية لأجهزة IoT وعزلها في شبكة منفصلة.
- وضع خطة استجابة مسبقة بالتنسيق مع مزود الخدمة.
الفرق بين DoS و DDoS
الـ DoS يصدر من مصدر واحد أو عدد قليل، ويمكن حظره بقاعدة في جدار الحماية. أما DDoS فموزع على عدد ضخم من المصادر وغالباً يحتاج حماية على مستوى مزود الخدمة أو السحابة.
