حمله انکار سرویس توزیع شده (DDoS) یک تلاش مخرب برای ایجاد اختلال در ترافیک عادی یک سرور، سرویس یا شبکه مورد نظر با غلبه بر هدف یا زیرساخت اطراف آن با سیل ترافیک اینترنت است.

حملات DDoS با استفاده از چندین سیستم کامپیوتری به خطر افتاده به عنوان منابع ترافیک حمله به اثربخشی دست می یابند. ماشین های مورد بهره برداری می توانند شامل رایانه ها و سایر منابع شبکه مانند دستگاه های اینترنت اشیا باشند.

از سطح بالا، یک حمله DDoS مانند یک ترافیک غیرمنتظره است که بزرگراه را مسدود می کند و از رسیدن ترافیک منظم به مقصد جلوگیری می کند.

حملات DDoS با شبکه های ماشین های متصل به اینترنت انجام می شود.

این شبکه‌ها از رایانه‌ها و سایر دستگاه‌ها (مانند دستگاه‌های اینترنت اشیا) تشکیل شده‌اند که به بدافزار آلوده شده‌اند و به آنها اجازه می‌دهند از راه دور توسط یک مهاجم کنترل شوند. این دستگاه‌های منفرد به عنوان ربات (یا زامبی) شناخته می‌شوند و به گروهی از ربات‌ها بات‌نت گفته می‌شود.

هنگامی که یک بات نت ایجاد شد، مهاجم می تواند با ارسال دستورالعمل های راه دور به هر ربات، حمله را هدایت کند.

هنگامی که سرور یا شبکه قربانی توسط بات نت مورد هدف قرار می گیرد، هر ربات درخواست هایی را به آدرس IP مورد نظر ارسال می کند که به طور بالقوه باعث می شود سرور یا شبکه تحت فشار قرار گیرد و در نتیجه سرویس به ترافیک عادی منع شود.

از آنجایی که هر ربات یک دستگاه اینترنتی قانونی است، جداسازی ترافیک حمله از ترافیک عادی می تواند دشوار باشد.

بارزترین علامت حمله DDoS این است که سایت یا سرویسی ناگهان کند می شود یا در دسترس نیست. اما از آنجایی که تعدادی از دلایل - چنین افزایش قانونی در ترافیک - می تواند مشکلات عملکرد مشابهی ایجاد کند، معمولاً به بررسی بیشتر نیاز است. ابزارهای تجزیه و تحلیل ترافیک می توانند به شما کمک کنند برخی از این نشانه های آشکار حمله DDoS را شناسایی کنید:

مقادیر مشکوک ترافیک ناشی از یک آدرس IP یا محدوده IP

سیل ترافیک از سوی کاربرانی که یک نمایه رفتاری مشترک دارند، مانند نوع دستگاه، موقعیت جغرافیایی، یا نسخه مرورگر وب

افزایش غیر قابل توضیح در درخواست ها به یک صفحه یا نقطه پایانی

الگوهای ترافیکی عجیب و غریب مانند افزایش ناگهانی در ساعات فرد روز یا الگوهایی که غیرطبیعی به نظر می رسند (مثلاً هر 10 دقیقه یک بار افزایش می یابد)

علائم خاص دیگری از حمله DDoS وجود دارد که بسته به نوع حمله می تواند متفاوت باشد.

انواع مختلف حملات DDoS اجزای مختلف اتصال شبکه را هدف قرار می دهند. برای درک چگونگی عملکرد حملات DDoS مختلف، لازم است بدانید که چگونه یک اتصال شبکه ایجاد می شود.

یک اتصال شبکه در اینترنت از اجزای مختلف یا "لایه ها" تشکیل شده است. مانند ساختن یک خانه از پایه، هر لایه در مدل هدف متفاوتی دارد.

مدل OSI، یک چارچوب مفهومی است که برای توصیف اتصال شبکه در 7 لایه مجزا استفاده می شود.

در حالی که تقریباً تمام حملات DDoS شامل غلبه بر یک دستگاه یا شبکه هدف با ترافیک است، حملات را می توان به سه دسته تقسیم کرد. یک مهاجم ممکن است از یک یا چند بردار حمله مختلف یا بردارهای حمله چرخه ای در پاسخ به اقدامات مقابله ای انجام شده توسط هدف استفاده کند.

این حملات لایه ای را هدف قرار می دهند که در آن صفحات وب روی سرور تولید می شوند و در پاسخ به درخواست های HTTP تحویل داده می شوند. اجرای یک درخواست HTTP از نظر محاسباتی در سمت کلاینت ارزان است، اما پاسخگویی به آن برای سرور مورد نظر می تواند گران باشد، زیرا سرور اغلب چندین فایل را بارگیری می کند و پرس و جوهای پایگاه داده را برای ایجاد یک صفحه وب اجرا می کند.

دفاع در برابر حملات لایه 7 دشوار است، زیرا تشخیص ترافیک مخرب از ترافیک قانونی دشوار است.

این حمله شبیه فشار دادن بارها و بارها به‌روزرسانی در یک مرورگر وب در بسیاری از رایانه‌های مختلف است - تعداد زیادی درخواست HTTP به سرور سرازیر می‌شود و منجر به انکار سرویس می‌شود.

این نوع حمله از ساده تا پیچیده را شامل می شود.

پیاده سازی های ساده تر ممکن است به یک URL با همان محدوده از آدرس های IP مهاجم، ارجاع دهنده ها و عوامل کاربر دسترسی داشته باشند. نسخه‌های پیچیده ممکن است از تعداد زیادی آدرس IP مهاجم استفاده کنند و آدرس‌های اینترنتی تصادفی را با استفاده از ارجاع‌دهنده‌های تصادفی و عوامل کاربر هدف قرار دهند.

حملات پروتکلی

حملات پروتکل، همچنین به عنوان حملات خستگی حالت شناخته می شود، با مصرف بیش از حد منابع سرور و/یا منابع تجهیزات شبکه مانند فایروال ها و متعادل کننده های بار باعث اختلال در سرویس می شود.

حملات پروتکلی از نقاط ضعف لایه 3 و لایه 4 پشته پروتکل برای غیرقابل دسترس کردن هدف استفاده می کنند.

SYN Flood شبیه به کارگری است که در یک اتاق عرضه درخواست‌هایی را از جلوی فروشگاه دریافت می‌کند.

کارگر درخواستی دریافت می‌کند، می‌رود و بسته را می‌گیرد و قبل از بیرون آوردن بسته منتظر تأیید می‌شود. سپس کارگر بسیاری از درخواست‌های بسته بیشتری را بدون تأیید دریافت می‌کند تا زمانی که نتوانند بسته‌های دیگری را حمل کنند، غرق شوند و درخواست‌ها بی‌جواب بمانند.

این حمله با ارسال تعداد زیادی از بسته های SYN "درخواست اتصال اولیه" TCP با آدرس های IP جعلی منبع، از دست دادن TCP - توالی ارتباطاتی که توسط آن دو کامپیوتر اتصال شبکه را آغاز می کنند - سوء استفاده می کند.

ماشین هدف به هر درخواست اتصال پاسخ می دهد و سپس منتظر مرحله نهایی در دست دادن می شود که هرگز اتفاق نمی افتد و منابع هدف را در این فرآیند خسته می کند.

هدف حمله: این دسته از حملات با مصرف تمام پهنای باند موجود بین هدف و اینترنت بزرگتر، ازدحام ایجاد می کنند. حجم زیادی از داده ها با استفاده از یک فرم تقویت یا ابزار دیگری برای ایجاد ترافیک گسترده، مانند درخواست های یک بات نت، به یک هدف ارسال می شود.

تقویت DNS مانند این است که شخصی با یک رستوران تماس بگیرد و بگوید "من یکی از همه چیز را خواهم داشت، لطفاً با من تماس بگیرید و تمام سفارشم را تکرار کنید"، جایی که شماره تماس در واقع متعلق به قربانی است. با تلاش بسیار کم، یک پاسخ طولانی ایجاد می شود و برای قربانی ارسال می شود.

با درخواست یک سرور DNS باز با آدرس IP جعلی (آدرس IP قربانی)، آدرس IP هدف سپس پاسخی از سرور دریافت می کند.

نگرانی اصلی در کاهش حمله DDoS، تمایز بین ترافیک حمله و ترافیک عادی است.

به عنوان مثال، اگر وب‌سایت یک شرکت با مشتریان مشتاق عرضه شود، قطع کردن همه ترافیک اشتباه است. اگر آن شرکت به طور ناگهانی ترافیک مهاجمان شناخته شده را افزایش دهد، احتمالاً تلاش برای کاهش حمله ضروری است.

مشکل در جدا کردن مشتریان واقعی از ترافیک حمله است.

در اینترنت مدرن، ترافیک DDoS به اشکال مختلفی وجود دارد. ترافیک می تواند در طراحی متفاوت باشد، از حملات تک منبع جعلی گرفته تا حملات چند بردار پیچیده و تطبیقی.

یک حمله DDoS چند بردار از مسیرهای حمله متعدد استفاده می‌کند تا به روش‌های مختلف بر یک هدف غلبه کند که به طور بالقوه تلاش‌های کاهش را در هر مسیری منحرف می‌کند.

حمله ای که چندین لایه پشته پروتکل را به طور همزمان هدف قرار می دهد، مانند تقویت DNS (لایه های هدف 3/4) همراه با سیل HTTP (لایه هدف 7) نمونه ای از DDoS چند برداری است.

کاهش یک حمله DDoS چند بردار به استراتژی‌های مختلفی برای مقابله با مسیرهای مختلف نیاز دارد.

به طور کلی، هرچه حمله پیچیده‌تر باشد، احتمال اینکه ترافیک حمله از ترافیک عادی جدا شود، بیشتر می‌شود - هدف مهاجم این است که تا حد امکان با هم ترکیب شود و تلاش‌های کاهش را تا حد ممکن ناکارآمد کند.

تلاش‌های کاهشی که شامل حذف یا محدود کردن بی‌رویه ترافیک می‌شود، ممکن است ترافیک خوب را همراه با موارد بد از بین ببرد، و همچنین حمله ممکن است برای دور زدن اقدامات متقابل اصلاح و سازگار شود. به منظور غلبه بر یک تلاش پیچیده برای اختلال، یک راه حل لایه ای بیشترین سود را به همراه خواهد داشت.