حفاظت در برابر حملات DDoS (Distributed Denial-of-Service) ترکیبی از ابزارها و تکنیک‌هایی است که برای شناسایی و فیلتر کردن ترافیک مخرب، پیش از آنکه منجر به از دسترس خارج شدن وب‌سایت، سرور یا شبکه شود، به کار می‌روند. هدف این سیستم‌ها، شناسایی ترافیک حمله، جذب یا پاک‌سازی (Scrubbing) آن و اجازه عبور به درخواست‌های قانونی (Legitimate) است که معمولاً به صورت خودکار و در عرض چند ثانیه انجام می‌شود.
تفاوت DoS و DDoS
حفاظت در برابر Denial of Service به طور کلی در برابر حملاتی که سیستم را برای کاربران غیرقابل دسترس می‌کنند، عمل می‌کند. اما DDoS Protection به طور خاص برای حملاتی طراحی شده است که به طور هم‌زمان از منابع متعددی صورت می‌گیرند. در یک حمله DoS، تنها یک ماشین یا اتصال ترافیک را ارسال می‌کند و مسدود کردن آن منبع معمولاً حمله را متوقف می‌کند. اما در حملات DDoS، هزاران یا میلیون‌ها دستگاه آلوده که به عنوان یک بات‌نت (Botnet) شناخته می‌شوند، به طور هم‌زمان ترافیک ارسال می‌کنند؛ بنابراین دفاع باید بتواند ترافیک حمله را از میان جریان کل بازدیدکنندگان واقعی تشخیص دهد.
تفاوت Protection و Mitigation
اگرچه این دو اصطلاح اغلب به جای یکدیگر استفاده می‌شوند، اما تفاوت‌های ظریفی دارند. DDoS Mitigation به معنای جذب و فیلتر کردن ترافیک حمله در حین وقوع است. در مقابل، DDoS Protection یک قابلیت گسترده‌تر است که شامل آمادگی، شناسایی، کاهش اثرات (Mitigation)، مانیتورینگ و برنامه‌ریزی برای بازیابی است. با توجه به سرعت بالای حملات مدرن، اتوماسیون در شناسایی و کاهش اثرات حیاتی است.
مکانیسم‌های عملکرد حملات DDoS
- بات‌نت‌ها (Botnets): شبکه‌ای از دستگاه‌های آلوده (مانند روترها، دوربین‌ها و سرورها) که توسط عامل تهدید کنترل می‌شوند.
- Reflection و Amplification: مهاجم با جعل IP قربانی، درخواست‌های کوچکی را به سرورهای عمومی (مانند DNS Resolverها) ارسال می‌کند و این سرورها پاسخ‌های بسیار بزرگ‌تری را به سمت قربانی می‌فرستند که منجر به اشباع پهنای باند می‌شود.
- سرویس‌های DDoS-for-Hire: ابزارهایی (Booters/Stressers) که به افراد بدون دانش فنی اجازه می‌دهند ظرفیت حمله را اجاره کنند.
بردارهای حمله و لایه‌های هدف
مهاجمان بسته به اینکه قصد دارند چه منبعی را به اشباع برسانند، بردار حمله را انتخاب می‌کنند:
- وب‌سایت‌ها (Layer 7): حملات HTTP Flood که درخواست‌های زیادی شبیه به بازدیدکنندگان واقعی ارسال کرده و سرور وب یا اپلیکیشن را فلج می‌کنند.
- سرورها (Layer 3/4): حملات SYN و UDP Flood که جداول اتصال (Connection Tables)، CPU یا پهنای باند را در لایه‌های شبکه و انتقال مصرف می‌کنند.
- DNS: حملاتی که باعث می‌شوند وب‌سایت حتی در صورت سالم بودن، به دلیل عدم امکان Resolve شدن نام دامنه، غیرقابل دسترس شود.
- APIها: فراخوانی‌های مکرر نقاط انتهایی (Endpoints) سنگین مانند جستجو یا ورود، که منابع Back-end را مصرف می‌کنند.
روش‌های دفاعی و تکنیک‌های حفاظتی
سیستم‌های حفاظتی مدرن از سه مرحله اصلی پیروی می‌کنند: یادگیری ترافیک نرمال، شناسایی انحرافات و فیلتر کردن ترافیک مخرب.
۱. شناسایی و Baseline ترافیک
سیستم‌ها یک پروفایل به‌روز از حجم ترافیک، نرخ درخواست‌ها، پروتکل‌ها و رفتار کاربران ایجاد می‌کنند (Baselining). سپس با استفاده از Signature Matching (برای الگوهای شناخته شده) و Behavioral Analysis (برای شناسایی انحرافات از Baseline)، حملات را تشخیص می‌دهند.
۲. فیلترینگ، Scrubbing و Rate Limiting
- Filtering: مسدود کردن بسته‌ها بر اساس منبع، پروتکل یا پورت.
- Scrubbing: هدایت ترافیک مشکوک به مراکز پاک‌سازی اختصاصی برای بازرسی عمیق و بازگرداندن ترافیک تمیز به سرور.
- Rate Limiting: محدود کردن تعداد درخواست‌های هر منبع در یک بازه زمانی مشخص برای جلوگیری از غرق شدن سرور در درخواست‌ها.
۳. زیرساخت‌های توزیع شده (Anycast, CDN, Proxy)
استفاده از Reverse Proxy باعث پنهان ماندن IP واقعی سرور می‌شود. مسیریابی Anycast ترافیک حمله را بین چندین مرکز داده توزیع می‌کند تا فشار روی یک نقطه متمرکز نشود. همچنین CDNها با کش کردن محتوا، فشار را از روی سرور اصلی (Origin) برمی‌دارند.
مدل‌های استقرار سیستم‌های حفاظتی
- Cloud-Based: فیلتر کردن ترافیک در شبکه ارائه‌دهنده پیش از رسیدن به شبکه سازمان. مزیت اصلی آن ظرفیت بسیار بالا برای جذب حملات Volumetric است.
- On-Premise: استفاده از تجهیزات سخت‌افزاری در دیتاسنتر سازمان. کنترل کامل روی داده‌ها و تاخیر (Latency) کم را فراهم می‌کند اما محدود به پهنای باند ورودی سازمان است.
- Hybrid: ترکیبی از هر دو مدل؛ تجهیزات محلی برای حملات کوچک و سریع، و سرویس ابری برای حملات حجیم.
نقش WAF و Firewall
دیواره‌های آتش (Firewall) و WAFها به تنهایی نمی‌توانند جلوی حملات حجیم (Volumetric) را بگیرند زیرا ترافیک ابتدا باید به دستگاه برسد تا فیلتر شود. در یک معماری لایه‌ای، لایه DDoS Protection ابتدا حجم ترافیک را جذب می‌کند و سپس WAF و Firewall درخواست‌های باقی‌مانده را از نظر امنیتی بازرسی می‌کنند.
