حمله DDoS می تواند یک سایت، فروشگاه اینترنتی، API یا حتی کل شبکه یک شرکت را در چند دقیقه از دسترس خارج کند. در این حمله، مهاجم با استفاده از تعداد زیادی دستگاه یا منبع توزیع شده، ترافیکی بیشتر از ظرفیت سرویس هدف ایجاد می کند. نتیجه می تواند کندی شدید، خطاهای 502 و 503، قطع دسترسی کاربران و افزایش مصرف منابع باشد.
مقابله موثر با دی داس فقط با نصب یک افزونه یا مسدود کردن چند IP انجام نمی شود. نوع حمله، محل اشباع، ظرفیت شبکه، معماری سرور و امکان پنهان نگه داشتن IP اصلی تعیین می کنند که چه دفاعی موثر است. در این راهنما انواع حملات، نشانه های واقعی، اقدامات فوری و روش ساخت یک دفاع چند لایه را بررسی می کنیم.
حمله DDoS چیست؟
DDoS مخفف Distributed Denial of Service و به معنای حمله انکار سرویس توزیع شده است. مهاجم تلاش می کند پهنای باند، جدول اتصال، پردازنده، حافظه، وب سرور یا پایگاه داده را با درخواست های مخرب اشغال کند تا کاربران واقعی نتوانند سرویس بگیرند.
در حمله DoS معمولا یک منبع به هدف فشار وارد می کند، اما در حمله DDoS ترافیک از منابع متعدد می آید. این منابع می توانند عضو یک Botnet باشند؛ یعنی مجموعه ای از رایانه ها، سرورها، مودم ها، دوربین ها یا دستگاه های اینترنت اشیا که بدون اطلاع مالکانشان آلوده و از راه دور کنترل شده اند.
حمله DDoS چگونه کار می کند؟
مهاجم ابتدا منابع اجرای حمله را آماده می کند و سپس یک هدف مانند IP سرور، دامنه، درگاه شبکه یا مسیر سنگین سایت را انتخاب می کند. دستگاه های تحت کنترل هم زمان بسته یا درخواست می فرستند. اگر حجم یا هزینه پردازش این درخواست ها از ظرفیت دفاعی بیشتر شود، سرویس کند یا قطع می شود.
همه حملات به پهنای باند زیاد وابسته نیستند. گاهی تعداد نسبتا کمی درخواست پیچیده به صفحه جستجو، ورود، سبد خرید یا API می تواند CPU و دیتابیس را درگیر کند. به همین دلیل مشاهده مصرف پهنای باند به تنهایی برای تشخیص کافی نیست.
تفاوت حملات حجمی، پروتکلی و لایه 7
1. حملات حجمی
حملات Volumetric می خواهند ظرفیت ارتباط اینترنتی هدف یا مسیر بالادست آن را پر کنند. UDP Flood و حملات تقویتی DNS یا NTP در این گروه قرار می گیرند. در حمله تقویتی، مهاجم با یک درخواست کوچک و آدرس مبدا جعلی، پاسخ بزرگ تری را به سمت قربانی هدایت می کند.
اگر لینک شبکه پیش از رسیدن ترافیک به سرور اشباع شود، فایروال نرم افزاری داخل سرور نمی تواند مشکل را حل کند. این وضعیت به شبکه Anti-DDoS، همکاری دیتاسنتر یا سرویس لبه با ظرفیت کافی نیاز دارد.
2. حملات پروتکلی
حملات لایه 3 و 4 محدودیت های پروتکل یا تجهیزات شبکه را هدف می گیرند. SYN Flood نمونه شناخته شده ای است که اتصال های نیمه باز ایجاد می کند و جدول وضعیت سرور، فایروال یا Load Balancer را تحت فشار قرار می دهد. ACK Flood، ICMP Flood و برخی حملات Reflection نیز در این سطح دیده می شوند.
3. حملات لایه برنامه
حملات لایه 7 از درخواست های HTTP یا HTTPS استفاده می کنند و گاهی شبیه رفتار کاربر واقعی هستند. HTTP Flood می تواند صفحه ای را هدف بگیرد که تولید آن به چند Query دیتابیس، پردازش PHP یا ارتباط با سرویس خارجی نیاز دارد. تشخیص این حمله از افزایش طبیعی بازدید دشوارتر است و به WAF، Rate Limiting، تحلیل رفتار و کش مناسب نیاز دارد.
برای درک نقش Apache، Nginx و LiteSpeed در مدیریت اتصال ها و درخواست ها، راهنمای مقایسه وب سرورها را بخوانید.
نشانه های حمله DDoS چیست؟
کندی سایت همیشه به معنای حمله نیست. خطای کدنویسی، Query سنگین، کمبود منابع، خرابی شبکه یا افزایش واقعی کاربران نیز علائم مشابهی ایجاد می کنند. برای تشخیص، چند شاخص را هم زمان بررسی کنید:
- افزایش ناگهانی درخواست در مقایسه با خط پایه همان ساعت و روز
- رشد غیر عادی مصرف پهنای باند، Packet Rate یا Connection Rate
- افزایش خطاهای 502، 503، 504 یا Timeout
- درخواست های تکراری به یک URL، API، فایل یا پارامتر مشخص
- تعداد زیاد اتصال نیمه باز یا اتصال های کوتاه و پشت سر هم
- افزایش CPU، Load Average، مصرف RAM یا فشار روی دیتابیس
- ترافیک از شبکه ها، کشورها یا User-Agentهای غیر معمول
- تفاوت شدید بین تعداد بازدید ثبت شده و رفتار عادی کاربران
لاگ وب سرور، نمودارهای شبکه، گزارش CDN، رویدادهای WAF و شاخص های دیتابیس باید کنار هم تحلیل شوند. مسدود کردن یک کشور یا User-Agent فقط براساس یک نمودار می تواند کاربران واقعی را نیز حذف کند.
اگر همین حالا تحت حمله هستید چه کنید؟
- وضعیت را ثبت کنید: زمان شروع، IP هدف، مسیرهای پرترافیک، پروتکل، Packet Rate، درخواست بر ثانیه و کدهای خطا را ذخیره کنید.
- با دیتاسنتر یا میزبان تماس بگیرید: اگر لینک بالادست اشباع شده باشد، تنها ارائه دهنده شبکه می تواند ترافیک را پیش از رسیدن به سرور پاک سازی یا مسیر را کنترل کند.
- سرویس لبه را فعال کنید: DNS و Proxy باید به درستی تنظیم باشند تا ترافیک وب از شبکه محافظ عبور کند.
- IP اصلی را محافظت کنید: اگر IP مبدا قبلا افشا شده است، مهاجم می تواند CDN را دور بزند و مستقیم سرور را هدف بگیرد.
- روی مسیرهای سنگین محدودیت بگذارید: Login، Search، API، XML-RPC و عملیات پویا معمولا به Rate Limit دقیق نیاز دارند.
- کش را افزایش دهید: پاسخ های قابل کش را در لبه نگه دارید تا درخواست کمتری به Origin برسد.
- قوانین اضطراری را محدود و قابل بازگشت نگه دارید: تغییر عجولانه فایروال یا مسدودسازی گسترده می تواند اختلال بیشتری از خود حمله ایجاد کند.
در زمان بحران، سرور را بدون ثبت شواهد Reboot نکنید. راه اندازی مجدد شاید اثر کوتاهی داشته باشد، اما علت حمله را از بین نمی برد و داده های ارزشمند تشخیص را از دسترس خارج می کند.
چگونه یک دفاع چند لایه در برابر DDoS بسازیم؟
محافظت در لبه شبکه
CDN و شبکه Anycast می توانند ترافیک را در نقاط متعدد دریافت و حمله را نزدیک مبدا آن فیلتر کنند. طبق مستندات رسمی Cloudflare DDoS Protection، Rule Setهای مدیریت شده برای حملات لایه 3 و 4 و همچنین لایه 7 در نظر گرفته شده اند. فعال بودن Proxy و تنظیم صحیح رکوردهای DNS برای بهره بردن از این محافظت ضروری است.
پنهان کردن IP سرور اصلی
اگر رکورد قدیمی DNS، سرویس ایمیل، Subdomain یا پاسخ مستقیم سرور IP اصلی را آشکار کند، مهاجم می تواند لایه محافظ را دور بزند. دسترسی وب به Origin را فقط به IPهای شبکه Proxy محدود کنید و برای سرویس های دیگر معماری جداگانه در نظر بگیرید. Cloudflare در راهنمای دفاع پیشگیرانه نیز محدود کردن دسترسی عمومی Origin، استفاده از WAF، Rate Limiting و کش را توصیه می کند.
WAF برای حملات HTTP
فایروال برنامه وب درخواست ها را بر اساس مسیر، Header، Cookie، روش HTTP و الگوی رفتاری بررسی می کند. WAF برای حملات لایه 7 مفید است، اما جایگزین محافظت لایه شبکه نیست. قانون ها را ابتدا با Log یا Challenge آزمایش کنید تا Checkout، ربات های معتبر و APIهای قانونی به اشتباه مسدود نشوند.
Rate Limiting هوشمند
برای هر مسیر یک آستانه منطقی تعریف کنید. تعداد مجاز درخواست برای صفحه محصول، ورود مدیر، جستجو و API یکسان نیست. محدودیت باید براساس رفتار عادی، IP، Session، Token یا ویژگی های مناسب دیگر تنظیم شود. اتکا به IP در شبکه های NAT یا موبایل می تواند False Positive ایجاد کند.
کش و کاهش هزینه پردازش
کش صفحات عمومی، فایل های ثابت و پاسخ های قابل ذخیره، تعداد درخواست هایی را که به PHP و دیتابیس می رسند کاهش می دهد. صفحه ورود، حساب کاربری و سبد خرید معمولا نباید مانند صفحات عمومی کش شوند. در فروشگاه اینترنتی، تنظیم نادرست کش می تواند اطلاعات کاربران را مخلوط کند؛ راهنمای انتخاب هاست ووکامرس معیارهای منابع، کش و امنیت فروشگاه را توضیح می دهد.
فایروال و تنظیمات سیستم عامل
فایروال میزبان برای محدودسازی پورت ها، کنترل اتصال و دفع بخشی از ترافیک کم حجم مفید است. با این حال، فایروال نمی تواند پهنای باند اشباع شده را بازگرداند. تنظیم Kernel، Conntrack و Queue باید متناسب با سیستم عامل و بار واقعی انجام شود. برای انتخاب بستر مناسب می توانید مقایسه توزیع های لینوکس را بررسی کنید.
مقیاس پذیری و افزونگی
Load Balancer، چند Origin، Auto Scaling و معماری ابری می توانند تحمل سرویس را افزایش دهند، اما جایگزین فیلتر ترافیک مخرب نیستند. مقیاس دادن بدون کنترل ممکن است هزینه حمله را به صورت مستقیم به مالک سرویس منتقل کند. مقاله رایانش ابری و سرور ابری چیست تفاوت زیرساخت ابری و سرور منفرد را توضیح می دهد.
محافظت از وردپرس در برابر حملات لایه 7
وردپرس به دلیل مسیرهای عمومی و افزونه های متعدد می تواند هدف HTTP Flood قرار گیرد. اقدامات زیر ریسک را کاهش می دهند:
- وردپرس، قالب و افزونه ها را به روز نگه دارید.
- برای صفحه ورود، XML-RPC و Endpointهای حساس Rate Limit تعریف کنید.
- REST API یا XML-RPC را بدون بررسی نیاز واقعی به طور کامل نبندید.
- صفحات عمومی را در CDN یا افزونه کش معتبر ذخیره کنید.
- Taskهای زمان بر، Search و Queryهای سنگین را بهینه کنید.
- ورود مدیر را با 2FA و محدودیت دسترسی محافظت کنید.
- لاگ WAF و وب سرور را نگهداری و هشدارهای مصرف منابع را فعال کنید.
زیرساخت مناسب در کنار تنظیمات برنامه اهمیت دارد. صفحه هاست وردپرس ویژه برای مقایسه نیازهای یک سایت وردپرسی در دسترس است و برای پروژه های PHP عمومی نیز می توانید مشخصات هاست لینوکس حرفه ای را ببینید.
محافظت از cPanel و WHM
دسترسی های مدیریتی نباید بدون محدودیت در معرض اینترنت باشند. 2FA، رمز قوی، محدودیت IP در صورت امکان، به روزرسانی منظم و بررسی Loginهای ناموفق را فعال کنید. نصب CSF یا هر فایروال دیگر باید با شناخت پورت های مورد نیاز cPanel انجام شود تا DNS، ایمیل یا سرویس وب قطع نشود.
اگر در حال راه اندازی سرور جدید هستید، آموزش نصب سی پنل در AlmaLinux پیش نیازهای امنیتی و تنظیمات بعد از نصب را پوشش می دهد. سرویس ایمیل نیز باید جداگانه مانیتور شود؛ توضیحات میزبانی ایمیل به انتخاب معماری مناسب کمک می کند.
اشتباهات رایج هنگام مقابله با حمله دی داس
- مسدود کردن دستی تعداد زیادی IP: در حمله توزیع شده، فهرست IPها سریع تغییر می کند و نگهداری دستی موثر نیست.
- اتکا به افزونه وردپرس: افزونه زمانی اجرا می شود که درخواست به سرور و PHP رسیده است و برای حمله حجمی کافی نیست.
- فعال کردن حالت اضطراری برای مدت طولانی: Challenge شدید می تواند کاربر، موتور جستجو یا API قانونی را مختل کند.
- باز گذاشتن IP اصلی: در این حالت مهاجم با درخواست مستقیم، CDN را دور می زند.
- نداشتن خط پایه: بدون شناخت ترافیک عادی، تشخیص حمله و انتخاب آستانه Rate Limit دشوار می شود.
- تست روی زیرساخت مشترک: شبیه سازی حمله بدون مجوز می تواند غیرقانونی و برای سایر مشتریان مخرب باشد.
اگر نیاز به تست دارید، فقط روی دارایی متعلق به خودتان، پس از هماهنگی با میزبان و مطابق مقررات سرویس اقدام کنید. راهنمای رسمی Cloudflare برای شبیه سازی DDoS نیز بر مالکیت زیرساخت و رعایت شرایط آزمون تاکید دارد.
چک لیست پیشگیری از حمله DDoS
- DNS و Proxy سرویس لبه را کنترل کنید.
- IP اصلی را از رکوردها و سرویس های جانبی پنهان نگه دارید.
- دسترسی Origin را به شبکه محافظ محدود کنید.
- WAF و Rule Setهای مدیریت شده را فعال و مانیتور کنید.
- برای Login، Search، API و مسیرهای سنگین Rate Limit جداگانه بسازید.
- کش صفحات عمومی و فایل های ثابت را فعال کنید.
- هشدار پهنای باند، Packet Rate، خطا و مصرف منابع تعریف کنید.
- اطلاعات تماس اضطراری میزبان و دیتاسنتر را آماده داشته باشید.
- بکاپ خارج از سرور و برنامه بازیابی سرویس را آزمایش کنید.
- پس از هر رخداد، گزارش Post-Incident و اصلاحات لازم را ثبت کنید.
پرسش های متداول
آیا Cloudflare همه حملات DDoS را متوقف می کند؟
هیچ راهکار واحدی تضمین مطلق نمی دهد. Cloudflare برای حملات شبکه و HTTP محافظت خودکار ارائه می کند، اما تنظیم DNS، پنهان بودن Origin، WAF، Rate Limiting و معماری سرویس همچنان اهمیت دارند. نوع سرویس Cloudflare نیز تعیین می کند کدام پروتکل ها تحت محافظت قرار می گیرند.
آیا تغییر IP سرور مشکل را حل می کند؟
اگر IP جدید پنهان بماند و ترافیک فقط از شبکه محافظ به آن برسد، تغییر IP می تواند حمله مستقیم به Origin را متوقف کند. اگر IP دوباره از DNS، ایمیل یا سرویس جانبی افشا شود، مشکل باز می گردد.
آیا افزایش RAM و CPU برای مقابله کافی است؟
منابع بیشتر تحمل حملات کوچک لایه 7 را افزایش می دهند، اما حمله حجمی می تواند لینک شبکه را پیش از رسیدن ترافیک به سرور اشباع کند. ظرفیت بیشتر باید بخشی از دفاع چند لایه باشد.
تفاوت WAF و Anti-DDoS چیست؟
WAF بیشتر روی درخواست های HTTP و تهدیدات لایه برنامه تمرکز دارد. سامانه Anti-DDoS می تواند حملات حجمی و پروتکلی لایه شبکه را نیز در لبه یا زیرساخت بالادست فیلتر کند. معمولا به هر دو نیاز دارید.
آیا حمله DDoS باعث هک شدن اطلاعات می شود؟
هدف اصلی DDoS ایجاد اختلال در دسترسی است، نه سرقت مستقیم داده. با این حال، مهاجم ممکن است از حمله به عنوان پوشش عملیات دیگری استفاده کند. هنگام رخداد، Loginها، تغییر فایل، حساب های مدیریتی و رویدادهای امنیتی را نیز بررسی کنید.
جمع بندی
حمله DDoS با مصرف پهنای باند یا منابع پردازشی، دسترسی کاربران واقعی را مختل می کند. دفاع موثر از ترکیب محافظت بالادست، CDN و Anycast، پنهان کردن Origin، WAF، Rate Limiting، کش، مانیتورینگ و پاسخ سریع ساخته می شود. ابتدا نوع حمله و محل اشباع را تشخیص دهید و سپس به جای مسدودسازی تصادفی، کنترل متناسب با همان لایه را اعمال کنید.
هیچ نظری ثبت نشده است