حمله DoS و DDoS چیست و چگونه باعث Down شدن سایت می‌شود

حمله DoS یا DDoS با فرستادن ترافیک یا درخواست‌های خیلی زیاد، منابع سایت رو درگیر می‌کنه تا کاربران واقعی نتونن به اون دسترسی پیدا کنن. نتیجه این فشار می‌تونه کندشدن شدید سایت، نمایش خطاهای ۵xx یا از دسترس خارج‌شدن کامل سرویس باشه؛ وضعیتی که بهش Down شدن سایت هم می‌گن. البته هر کندی یا افزایش مصرف منابع نشونه حمله نیست. برای تشخیص درست باید ترافیک، لاگ‌ها و وضعیت سرور رو کنار هم ببینید.

در ادامه خیلی ساده می‌بینیم حمله DoS و DDoS چیست، چه تفاوتی بین این دو هست و چطور یک سایت رو از دسترس خارج می‌کنن. بعد سراغ نشونه‌های حمله، کارهای ضروری در لحظه اختلال و روش‌های محافظت از سایت می‌ریم.

حمله DoS و DDoS چیست؟

حمله محروم‌سازی از سرویس یا DoS تلاشی برای مشغول‌کردن منابع یک سیستم و بستن راه دسترسی کاربران واقعی به اون هست. اگه همین حمله به‌شکل هماهنگ از چند منبع یا دستگاه مختلف انجام بشه، بهش DDoS یا «محروم‌سازی توزیع‌شده از سرویس» می‌گن.

هدف حمله ممکنه یک سایت، فروشگاه اینترنتی، سرور بازی، سرویس ایمیل، API یا بخشی از شبکه باشه. API مسیریه که نرم‌افزارها از راه اون با هم اطلاعات ردوبدل می‌کنن. مهاجم هم می‌تونه ظرفیت اینترنت، پردازنده، حافظه، اتصال‌های شبکه یا بخش‌های سنگین سایت رو هدف بگیره.

سرور چطور با زیادشدن درخواست‌ها از دسترس خارج می‌شه؟

سرور رو مثل رستورانی با تعداد محدودی میز و نیروی کار تصور کنید. وقتی تعداد مشتری‌ها عادیه، سفارش‌ها به‌موقع آماده می‌شن. ولی اگه در چند ثانیه هزاران سفارش بی‌هدف ثبت بشه، کارکنان دیگه فرصت رسیدگی به مشتری‌های واقعی رو ندارن.

سرور هم برای دریافت داده، پردازش درخواست و نگه‌داشتن اتصال‌ها ظرفیت محدودی داره. اگه یکی از این ظرفیت‌ها پر بشه، پاسخ سایت دیر می‌رسه، خطا دیده می‌شه یا سرویس کاملاً از دسترس خارج می‌شه. معمولاً به این وضعیت Down شدن سایت می‌گن.

حمله DoS چطور انجام می‌شه؟

در حمله DoS، مهاجم بدون کمک‌گرفتن از یک شبکه توزیع‌شده و بزرگ از دستگاه‌های آلوده، بسته‌های شبکه یا درخواست‌های زیادی برای هدف می‌فرسته. بسته شبکه بخش کوچیکی از داده‌ست که بین دستگاه‌ها جابه‌جا می‌شه. این ترافیک می‌تونه پهنای باند، اتصال‌های باز یا قدرت پردازش سرور رو مصرف کنه.

منابع حمله DoS معمولاً محدودتر از DDoS هستن، پس شاید پیداکردن و بستن اون‌ها ساده‌تر باشه. بااین‌همه، DoS لزوماً فقط با یک دستگاه انجام نمی‌شه. تفاوت اصلی اینه که حمله به‌شکل هماهنگ بین تعداد زیادی منبع توزیع نشده. حتی یک حمله DoS هم می‌تونه سرویس ضعیف یا بخشی با تنظیمات نامناسب رو از کار بندازه.

حمله DDoS چطور انجام می‌شه؟

در حمله DDoS، ترافیک از دستگاه‌های زیاد و گاهی از چند کشور به‌سمت هدف میاد. این دستگاه‌ها معمولاً عضو یک بات‌نت هستن؛ یعنی شبکه‌ای از رایانه‌ها، سرورها یا دستگاه‌های متصل به اینترنت که بدون خبر صاحبشون آلوده شدن و از راه دور کنترل می‌شن.

چون ترافیک بین آدرس‌های زیادی پخش شده، تشخیص و متوقف‌کردن حمله سخت‌تره. اگه همه آدرس‌ها رو بدون بررسی ببندید، احتمال داره دسترسی کاربران واقعی رو هم قطع کنید.

تفاوت حمله DoS و DDoS چیه؟

• تفاوت در تعداد دستگاه‌های مهاجم: DoS به یک شبکه بزرگ و توزیع‌شده از دستگاه‌ها وابسته نیست، ولی DDoS از دستگاه‌ها یا منابع زیادی کمک می‌گیره.
• تفاوت در حجم و گستردگی حمله: یک حمله توزیع‌شده می‌تونه ترافیک خیلی بیشتری بسازه و چند بخش از زیرساخت رو هم‌زمان زیر فشار بذاره.
• تفاوت در شناسایی و مسدودکردن منبع: بستن چند منبع محدود معمولاً راحت‌تره، ولی در DDoS باید درخواست‌های مخرب رو بین تعداد زیادی درخواست ظاهراً عادی پیدا کنید.

حمله DDoS چطور باعث Down شدن سایت می‌شه؟

مصرف‌شدن پهنای باند سایت

پهنای باند رو مثل ظرفیت مسیر ورود و خروج داده در نظر بگیرید. اگه ترافیک حمله این مسیر رو پر کنه، درخواست کاربر واقعی به سرور نمی‌رسه یا پاسخ سرور دیر برمی‌گرده. در حمله‌های خیلی بزرگ، فیلتر ترافیک باید در شبکه شرکت هاست، ISP یا سرویس محافظت ابری انجام بشه؛ چون بعد از پرشدن مسیر اینترنت، فایروال داخل سرور کمک زیادی نمی‌کنه.

پرشدن ظرفیت پردازش سرور

بعضی درخواست‌ها پردازنده یا حافظه زیادی مصرف می‌کنن. وقتی تعدادشون بالا بره، صف پردازش پر می‌شه و درخواست‌های سالم دیرتر جواب می‌گیرن. منابع بیشتر شاید کمی زمان بخره، ولی به‌تنهایی جلوی یک حمله بزرگ رو نمی‌گیره.

اشغال‌شدن اتصال‌های شبکه

هر سرور فقط می‌تونه تعداد مشخصی اتصال هم‌زمان رو نگه داره. بعضی حمله‌ها اتصال‌های زیادی رو شروع می‌کنن و اون‌ها رو باز یا نیمه‌کاره نگه می‌دارن. وقتی این ظرفیت پر بشه، مرورگر کاربر واقعی نمی‌تونه اتصال تازه‌ای با سرور بسازه.

فشار روی پایگاه داده و بخش‌های پویای سایت

صفحه‌هایی مثل ورود، جست‌وجو، سبد خرید و گزارش‌های مدیریتی معمولاً به پردازش PHP یا پرس‌وجو از پایگاه داده نیاز دارن. درخواست‌های زیاد به این بخش‌ها می‌تونن با ترافیکی کمتر از یک حمله حجمی، منابع سایت رو مصرف کنن. کش‌کردن صفحه‌های ثابت کمک می‌کنه، ولی همه صفحه‌های شخصی‌سازی‌شده قابل کش نیستن.

انواع حمله DoS و DDoS

برای اینکه موضوع ساده‌تر بشه، می‌تونیم حمله‌ها رو در سه گروه حجمی، پروتکلی و لایه کاربرد بذاریم. لایه کاربرد همون بخشی از سایته که کارهایی مثل بازکردن صفحه یا جست‌وجو رو پردازش می‌کنه. بعضی حمله‌ها به بیشتر از یک گروه شباهت دارن و مهاجم هم ممکنه چند روش رو با هم به کار بگیره.

حمله‌های حجمی

• UDP Flood: بسته‌های UDP زیادی به درگاه‌های هدف فرستاده می‌شن تا ظرفیت شبکه یا پردازش سرور رو مصرف کنن. UDP یکی از روش‌های سریع جابه‌جایی داده در شبکه‌ست و پیش از ارسال، یک اتصال کامل رفت‌وبرگشتی نمی‌سازه.
• DNS Flood: درخواست‌های خیلی زیادی به سامانه DNS فرستاده می‌شن تا توان پاسخ‌گویی اون رو مصرف کنن. DNS سرویسیه که نام دامنه رو به نشانی IP تبدیل می‌کنه. اگه این سرویس جواب نده، کاربر شاید حتی نتونه نشانی سرور سایت رو پیدا کنه. DNS Flood شکل‌های مختلفی داره، پس هر حمله به DNS رو نباید حجمی یا تقویتی دونست.
• حمله‌های تقویتی مثل DNS Amplification: مهاجم یک درخواست کوچیک با نشانی جعلی قربانی برای سرویس واسطه می‌فرسته و پاسخی بزرگ‌تر به‌سمت قربانی برمی‌گرده. به این بزرگ‌ترشدن پاسخ، تقویت می‌گن. در DNS Amplification، سرورهای DNS نقش واسطه رو دارن.

حمله‌های پروتکلی

• SYN Flood: مهاجم درخواست‌های زیادی برای شروع اتصال TCP می‌فرسته، ولی مراحل اتصال رو کامل نمی‌کنه. سرور برای ادامه هر اتصال منتظر می‌مونه و کم‌کم ظرفیت اتصال‌های نیمه‌بازش پر می‌شه.
• ICMP Flood: پیام‌های ICMP زیادی، مثل درخواست‌های Ping، برای هدف فرستاده می‌شن تا پهنای باند یا توان پاسخ‌گویی دستگاه شبکه رو مصرف کنن.

حمله‌های لایه کاربرد

• HTTP Flood: درخواست‌های زیادی شبیه بازدید عادی مرورگر برای سایت فرستاده می‌شن. چون ظاهر این درخواست‌ها ممکنه طبیعی باشه، جداکردنشون از کاربران واقعی همیشه آسون نیست.
• حمله به صفحه ورود، جست‌وجو و درخواست‌های سنگین: مهاجم بخش‌هایی رو هدف می‌گیره که با هر درخواست، پردازش بیشتری لازم دارن. محدودکردن نرخ درخواست و بهینه‌کردن این مسیرها فشار رو کمتر می‌کنه.

Teardrop به‌عنوان یک روش قدیمی‌تر

در Teardrop، قطعه‌های دست‌کاری‌شده و هم‌پوشان IP برای هدف فرستاده می‌شن تا سیستم موقع کنار هم گذاشتن اون‌ها به مشکل بخوره. این روش بیشتر یک نمونه تاریخی برای سیستم‌ها و تجهیزات قدیمیه. سیستم‌های امروزی معمولاً در برابر چنین ناهنجاری‌هایی مقاوم‌ترن و حمله‌های حجمی، پروتکلی و HTTP بیشتر دیده می‌شن.

بات‌نت چه نقشی در حمله DDoS داره؟

بات‌نت مجموعه‌ای از دستگاه‌های آلوده‌ست که مهاجم اون‌ها رو از راه دور کنترل می‌کنه. این دستگاه‌ها می‌تونن رایانه، سرور، دوربین تحت شبکه، مودم یا هر وسیله متصل به اینترنت باشن. صاحب دستگاه هم معمولاً خبر نداره که بخشی از منابعش برای حمله مصرف می‌شه.

وقتی هزاران دستگاه با هم برای یک هدف درخواست می‌فرستن، ترافیک از آدرس‌ها و شبکه‌های مختلف میاد. برای همین، بستن یک IP یا حتی ترافیک یک کشور همیشه راه‌حل مؤثری نیست.

مهاجم‌ها چرا حمله DoS یا DDoS انجام می‌دن؟

• اخاذی و درخواست پول: مهاجم ممکنه برای متوقف‌کردن حمله یا انجام‌ندادن حمله بعدی پول بخواد.
• ایجاد اختلال برای کسب‌وکارها: قطع‌شدن فروشگاه، سامانه رزرو یا خدمات آنلاین می‌تونه به درآمد و اعتماد مشتری‌ها ضربه بزنه.
• پوشاندن یک حمله سایبری دیگه: شلوغی و هشدارهای زیاد ممکنه حواس تیم فنی رو از فعالیت مشکوک دیگه‌ای پرت کنه. پس هنگام DDoS بهتره رویدادهای امنیتی دیگه رو هم بررسی کنید.
• اهداف اعتراضی یا شخصی: گاهی انگیزه حمله سیاسی، اعتراضی، رقابتی یا نتیجه یک اختلاف شخصیه.

نشانه‌های حمله DoS و DDoS چیست؟

• کندشدن ناگهانی سایت: بدون اینکه تغییری در سایت یا کمپین تبلیغاتی داده باشید، زمان پاسخ بالا می‌ره.
• نمایش خطاهای ۵xx و قطع‌شدن سرویس: خطاهایی مثل 502، 503 و 504 بیشتر دیده می‌شن. اگه خطای 503 دارید، راهنمای رفع ارور 503 در وردپرس کمکتون می‌کنه علت‌های احتمالی دیگه رو هم بررسی کنید.
• افزایش غیرعادی ترافیک و مصرف پهنای باند: مصرف شبکه در مدت کوتاهی و بدون دلیل تجاری مشخص بالا می‌ره.
• زیادشدن درخواست‌ها از یک الگوی مشخص: ممکنه تعداد زیادی درخواست به یک نشانی، با یک نوع مرورگر، از یک محدوده شبکه یا با فاصله‌های زمانی مشابه برسن.
• اختلال هم‌زمان در سایت، ایمیل یا سرویس‌های دیگه: وقتی چند سرویس از یک شبکه مشترک استفاده می‌کنن، پرشدن ظرفیت اون شبکه می‌تونه روی همه‌شون اثر بذاره.

چطور حمله DDoS رو از افزایش عادی بازدید تشخیص بدیم؟

بالارفتن بازدید همیشه خبر بدی نیست. شاید یکی از پست‌هاتون در شبکه‌های اجتماعی دیده شده یا یک کمپین موفق، کاربران زیادی رو به سایت آورده. برای تشخیص حمله، فقط تعداد بازدید رو نبینید و چند نشونه رو با هم بررسی کنید.

بررسی نمودار ترافیک و مصرف منابع

زمان شروع افزایش ترافیک رو با مصرف پردازنده، حافظه، پهنای باند، تعداد اتصال‌ها و خطاهای سرور مقایسه کنید. این نمودارها معمولاً در بخش آمار یا مانیتورینگ پنل هاست، سرور، CDN یا سرویس امنیتی هستن و اسم منو در هر سرویس فرق می‌کنه. بازدید واقعی معمولاً با کارهایی مثل رفتن به صفحه‌های مختلف، خرید یا تکمیل فرم همراهه. ترافیک مخرب ممکنه فقط یک مسیر رو با سرعتی ثابت و غیرعادی صدا بزنه.

بررسی لاگ؛ یعنی گزارش درخواست‌های رسیده به سرور

لاگ دسترسی اطلاعاتی مثل زمان درخواست، نشانی صفحه، کد پاسخ، IP و مشخصات مرورگر رو ثبت می‌کنه. معمولاً می‌تونید اون رو در بخش Logs یا Statistics پنل هاست پیدا کنید. اگه چنین بخشی ندیدید، مسیر دقیق رو از پشتیبانی هاست بپرسید. با بررسی لاگ، مسیرهای پرتکرار، خطاهای زیاد و الگوهای مشکوک پیدا می‌شن. اگه اولین باره با این گزارش کار می‌کنید، آموزش Access Log و کاربرد اون رو ببینید.

مقایسه رفتار بازدیدکننده واقعی با ترافیک مخرب

کشور، شبکه، نوع درخواست، کوکی، سرعت درخواست و مسیر حرکت کاربران رو با رفتار عادی سایتتون مقایسه کنید. هیچ نشونه‌ای به‌تنهایی قطعی نیست. مثلاً ترافیک یک اپراتور بزرگ شاید از چند IP مشترک بیاد و VPN هم محل ظاهری کاربر رو عوض می‌کنه. پس فقط با دیدن کشور، IP یا نوع مرورگر، کاربر رو مسدود نکنید؛ چون ممکنه افراد واقعی هم بیرون بمونن. بهتره قانون محدودکننده رو اول آزمایش کنید و نتیجه‌ش رو در لاگ‌ها ببینید.

هنگام حمله DDoS چه کار کنیم؟

1. از چند اینترنت و دستگاه، در دسترس‌بودن سایت رو بررسی کنید. سایت رو با اینترنت موبایل، اینترنت ثابت و یک سرویس مانیتورینگ باز کنید تا یک مشکل محلی رو با قطعی عمومی اشتباه نگیرید.
2. زمان شروع اختلال و خطاها رو ثبت کنید. ساعت، متن خطا، دامنه یا IP درگیر و تغییرات اخیر سایت رو یادداشت کنید.
3. فوری با شرکت هاست یا ارائه‌دهنده اینترنت سرور تماس بگیرید. اون‌ها ترافیک بخش‌های قبل از سرور رو می‌بینن و شاید بتونن ترافیک رو فیلتر یا به سرویس مقابله با DDoS منتقل کنن.
4. محافظت DDoS و CDN رو فعال یا به حالت مقابله با حمله ببرید. CDN شبکه‌ای از سرورهای توزیع‌شده‌ست که درخواست‌ها رو نزدیک کاربر دریافت می‌کنه و بخشی از فشار رو پیش از رسیدن به سرور اصلی می‌گیره. این گزینه‌ها معمولاً در بخش Security یا DDoS پنل CDN هستن.
5. درخواست‌های مشکوک رو با Rate Limiting و WAF محدود کنید. Rate Limiting یعنی برای تعداد درخواست‌ها در یک بازه زمانی سقف بذارید. WAF یا فایروال برنامه وب هم درخواست‌های ورودی رو با قانون‌های امنیتی می‌سنجه. این تنظیمات معمولاً در بخش Security، Firewall یا Rules هستن. بهتره از قانون‌های پیشنهادی همون سرویس شروع کنید و محدودیت خیلی سخت نذارید.
6. لاگ‌ها و اطلاعات حمله رو برای بررسی بعدی نگه دارید. پیش از حذف یا بازنویسی خودکار لاگ‌ها، یک نسخه امن از اون‌ها و نمودارهای مربوط به زمان حمله بردارید.

چطور از سایت در برابر حمله DDoS محافظت کنیم؟

استفاده از CDN و محافظت ابری همیشه‌فعال

یک CDN مناسب ترافیک رو در نقاط مختلف دریافت می‌کنه و محتوای قابل کش رو از نزدیک‌ترین نقطه به کاربر می‌رسونه. سرویس محافظت DDoS هم ترافیک مخرب رو پیش از رسیدن به سرور اصلی فیلتر می‌کنه. بهتره این محافظت همیشه روشن باشه؛ چون بعضی حمله‌ها اون‌قدر کوتاهن که فعال‌سازی دستی بهشون نمی‌رسه.

کلودفلر یکی از سرویس‌هاییه که CDN، DNS و ابزارهای امنیتی رو یک‌جا ارائه می‌ده. امکانات و محدودیت‌های دقیق به طرح سرویس و نوع حمله بستگی دارن، پس شرایط و تنظیمات سرویس انتخابی‌تون رو با دقت ببینید.

تنظیم Rate Limiting برای محدودکردن درخواست‌های پرتکرار

برای مسیرهای حساس مثل ورود، جست‌وجو، بازیابی رمز و API یک سقف منطقی درخواست بذارید. قانون خیلی سخت می‌تونه کاربران واقعی یا ربات‌های سالم رو هم مسدود کنه. پس اول رفتار عادی سایتتون رو اندازه بگیرید، قانون رو روی حالت گزارش‌گیری یا آزمایشی بذارید و بعد محدودیت رو فعال کنید.

استفاده از WAF برای فیلترکردن درخواست‌های مشکوک

WAF درخواست‌های وب رو بررسی می‌کنه و با توجه به مسیر، نرخ درخواست، کشور، اعتبار IP یا رفتار کاربر تصمیم می‌گیره. چالش مرورگر، مسدودسازی موقت و قانون اختصاصی می‌تونن فشار حمله‌های لایه کاربرد رو کمتر کنن. ولی هیچ‌کدوم از این نشونه‌ها به‌تنهایی ثابت نمی‌کنن که یک کاربر مخربه؛ پس نتیجه قانون‌ها رو در لاگ ببینید.

جلوگیری از نمایش مستقیم IP سرور اصلی

اگه IP سرور اصلی در رکوردهای قدیمی DNS، زیردامنه‌ها، ایمیل یا سرویس‌های دیگه دیده بشه، مهاجم می‌تونه CDN رو دور بزنه و مستقیم سراغ سرور بره. پیش از هر تغییری، رکوردهای DNS، ایمیل، زیردامنه‌ها، وب‌هوک‌ها، ابزارهای مانیتورینگ و IPهای مجاز رو بررسی کنید. بعد دسترسی وب به سرور اصلی رو فقط به شبکه سرویس محافظتی بدید. این کار رو با کمک هاست انجام بدید و اول از تنظیمات فعلی نسخه پشتیبان بگیرید تا سرویس‌های ضروری یا دسترسی‌های قانونی قطع نشن.

مانیتورکردن ترافیک، خطاها و مصرف منابع

برای پهنای باند، تعداد درخواست‌ها، زمان پاسخ، خطاهای ۵xx و مصرف پردازنده هشدار بسازید. این هشدارها بهتره پیش از شکایت کاربران خبرتون کنن، ولی آستانه خیلی پایین هم پیام‌های بی‌فایده زیادی می‌سازه.

هماهنگی قبلی با هاست یا ISP برای زمان حمله

قبل از اینکه اتفاقی بیفته، از شرکت هاست بپرسید چه محافظتی ارائه می‌ده، موقع حمله باید از چه راهی تماس بگیرید و چه اطلاعاتی لازم داره. ISP هم شرکتیه که اینترنت سرور رو فراهم می‌کنه. در حمله‌های حجمی، کمک این شرکت یا یک سرویس فیلتر در بخش‌های قبل از سرور ضروری می‌شه.

آماده‌کردن برنامه واکنش به حادثه

اسم مسئول‌ها، راه تماس با هاست، روش دسترسی اضطراری، محل لاگ‌ها و ترتیب کارها رو در یک فایل کوتاه بنویسید. یک نسخه از این فایل رو بیرون از سرور اصلی نگه دارید تا هنگام قطعی هم بهش دسترسی داشته باشید. برای سایت وردپرسی، راهنمای جلوگیری از حملات DDoS در وردپرس جزئیات اجرایی بیشتری داره.

آیا فایروال و افزایش منابع سرور به‌تنهایی کافی هستن؟

نه، همیشه کافی نیستن. پردازنده، حافظه و ظرفیت اتصال بیشتر کمک می‌کنن سرور فشار بالاتری رو تحمل کنه. ولی اگه پهنای باند شبکه قبل از رسیدن ترافیک به سرور پر بشه، منابع اضافه عملاً کاری انجام نمی‌دن.

فایروال داخل سرور هم ترافیکی رو می‌بینه که وارد مسیر اینترنت شما شده. برای محافظت بهتر باید چند لایه رو کنار هم بذارید: ظرفیت مناسب، CDN، فیلتر ابری، Rate Limiting، WAF، پنهان‌کردن IP اصلی، مانیتورینگ و هماهنگی با هاست.

حمله DoS و DDoS چقدر طول می‌کشه؟

حمله زمان ثابتی نداره. ممکنه فقط چند ثانیه یا چند دقیقه طول بکشه، چند ساعت ادامه پیدا کنه یا در چند موج جدا طی چند روز برگرده. مدت اون به هدف و منابع مهاجم، نوع حمله و سرعت واکنش سرویس‌های دفاعی بستگی داره.

کوتاه‌بودن حمله هم به معنی بی‌خطربودنش نیست. یک موج کوتاه ولی سنگین می‌تونه سرویس رو قطع کنه. برای همین، مانیتورینگ خودکار و محافظت همیشه‌فعال معمولاً از واکنش دستی بهتر جواب می‌دن.

آیا حمله DDoS باعث هک‌شدن یا ازبین‌رفتن اطلاعات می‌شه؟

DDoS در اصل برای مختل‌کردن دسترسی به سرویس انجام می‌شه و به‌تنهایی معنی نفوذ یا دزدیده‌شدن اطلاعات رو نمی‌ده. بااین‌همه، شاید هم‌زمان با تلاش برای نفوذ اجرا بشه یا حواس تیم فنی رو پرت کنه. اگه برنامه یا زیرساخت، خطاها و تراکنش‌ها رو درست مدیریت نکنه، فشار شدید می‌تونه باعث خطای برنامه یا نیمه‌کاره‌ماندن بعضی عملیات بشه.

بعد از حمله فقط به برگشتن سایت راضی نشید. لاگ ورود، تغییر فایل‌ها، حساب‌های مدیریتی، رویدادهای امنیتی، تراکنش‌ها و سلامت پایگاه داده رو هم بررسی کنید. داشتن یک نسخه پشتیبان سالم و جدا از سرور اصلی هم برای چنین موقعیت‌هایی مهمه.

نمونه‌هایی از حمله‌های بزرگ DDoS

حمله سال ۲۰۱۸ به GitHub

GitHub در فوریه ۲۰۱۸ یکی از بزرگ‌ترین حمله‌های ثبت‌شده تا اون زمان رو تجربه کرد. طبق گزارش رسمی GitHub، اوج ترافیک به ۱٫۳۵ ترابیت‌برثانیه و ۱۲۶٫۹ میلیون بسته‌برثانیه رسید. در این حمله از روش تقویتی Memcached استفاده شده بود؛ یعنی پاسخ‌هایی خیلی بزرگ‌تر از درخواست اولیه به‌سمت هدف فرستاده می‌شدن.

این نمونه نشون می‌ده حتی یک زیرساخت بزرگ هم به تشخیص سریع، فیلتر ترافیک پیش از رسیدن به سرور و برنامه واکنش نیاز داره. البته عنوان «بزرگ‌ترین حمله» همیشگی نیست و با ثبت حمله‌های تازه تغییر می‌کنه.

چرا معیارهایی مثل پهنای باند، بسته و درخواست رو نباید مستقیم مقایسه کنیم؟

شدت حمله با معیارهای مختلفی گزارش می‌شه. بیت‌برثانیه حجم ترافیک رو نشون می‌ده، بسته‌برثانیه فشار روی تجهیزات شبکه رو می‌سنجه و درخواست‌برثانیه بیشتر برای حمله‌های وب کاربرد داره.

ممکنه یک حمله داده خیلی زیادی داشته باشه، ولی تعداد درخواست‌هاش کمتر باشه. یک حمله دیگه هم شاید با داده کمتر، میلیون‌ها درخواست پردازشی بسازه. پس برای مقایسه دو رکورد باید نوع حمله، بخش هدف و واحد اندازه‌گیری یکسان باشن.

جمع‌بندی

حالا می‌دونید حمله DoS و DDoS چیست و چرا نمی‌شه اون رو فقط زیادشدن بازدید دونست. DoS بدون استفاده از یک شبکه بزرگ و توزیع‌شده انجام می‌شه، ولی DDoS ترافیک رو بین دستگاه‌ها یا منابع زیادی پخش می‌کنه. این حمله‌ها می‌تونن پهنای باند، قدرت پردازش، اتصال‌های شبکه یا بخش‌های سنگین سایت رو اشغال کنن.

برای مقابله، اول سایت رو از چند شبکه بررسی کنید، زمان و نشونه‌ها رو ثبت کنید و سریع با هاست یا ISP تماس بگیرید. بعد CDN و محافظت ابری، Rate Limiting، WAF، پنهان‌کردن IP سرور اصلی و مانیتورینگ رو کنار هم به کار بگیرید. هیچ ابزار واحدی همه حمله‌ها رو متوقف نمی‌کنه، ولی دفاع چندلایه می‌تونه احتمال قطعی و مدت اختلال رو خیلی کمتر کنه.

سؤال‌های متداول درباره حمله DoS و DDoS

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.