حملات DDoS در سال ۲۰۲۶ چگونه تغییر کرده‌اند؟

حملات DDoS دیگر فقط ارسال حجم زیادی ترافیک بی‌هدف نیستند. در سال‌های اخیر حجم حملات بارها رکورد زده، بات‌نت‌ها از دستگاه‌های قدرتمندتری ساخته شده‌اند و حملات لایه اپلیکیشن به‌قدری شبیه کاربر واقعی شده‌اند که تشخیصشان دشوار است. در این مقاله روندهای اصلی حملات DDoS در سال ۲۰۲۶ را بر اساس گزارش‌های عمومی شرکت‌های امنیتی مرور می‌کنیم و می‌گوییم این تغییرات برای صاحبان سایت و سرور چه معنایی دارد.

چرا DDoS هنوز یکی از بزرگ‌ترین تهدیدهاست؟

در حمله DDoS، مهاجم با استفاده از هزاران یا میلیون‌ها دستگاه آلوده، ترافیک یا درخواست کافی برای از کار انداختن سرویس شما ارسال می‌کند. اگر با مفاهیم پایه آشنا نیستید، ابتدا مقاله حمله DDoS چیست را بخوانید. چیزی که DDoS را خطرناک نگه داشته، هزینه بسیار پایین اجرای آن برای مهاجم در مقابل هزینه بالای دفاع و خسارت قطعی برای قربانی است. سرویس‌های «اجاره حمله» (Booter) با هزینه اندک در دسترس‌اند و انگیزه‌ها از رقابت تجاری و اخاذی تا انگیزه‌های سیاسی متغیرند.

روند ۱: حملات حجمی بزرگ‌تر و کوتاه‌تر

گزارش‌های فصلی شرکت‌هایی مثل Cloudflare و Akamai در سال‌های ۲۰۲۴ و ۲۰۲۵ چندین بار از رکوردشکنی حملات حجمی خبر دادند؛ حملاتی در مقیاس چند ترابیت و حتی بیش از ده ترابیت بر ثانیه. نکته مهم‌تر از رکورد، این است که:

• بیشتر حملات کوتاه هستند: بخش بزرگی از حملات در کمتر از چند دقیقه تمام می‌شوند. این زمان برای واکنش دستی کافی نیست و فقط سامانه‌های خودکار می‌توانند به‌موقع واکنش نشان دهند.
• حمله‌های کوچک هم کافی‌اند: برای از کار انداختن یک سرور با پورت ۱ گیگابیت، به حمله رکوردشکن نیاز نیست. حتی حملات چند گیگابیتی که برای مهاجم تقریباً هزینه‌ای ندارند، پهنای باند یک سرور تنها را اشباع می‌کنند.

روند ۲: بات‌نت‌های قدرتمندتر از دستگاه‌های IoT

بات‌نت‌های قدیمی بیشتر از دوربین‌ها و روترهای ضعیف ساخته می‌شدند. بات‌نت‌های جدید علاوه بر آن‌ها از روترهای خانگی پرسرعت، دستگاه‌های پخش ویدیو و سرورهای ابری آلوده استفاده می‌کنند. افزایش سرعت اینترنت خانگی و فیبر نوری یعنی هر دستگاه آلوده، ترافیک بیشتری می‌تواند تولید کند. نتیجه، بات‌نت‌هایی است که با تعداد دستگاه کمتر، حملات بسیار بزرگ‌تری ایجاد می‌کنند.

روند ۳: حملات لایه ۷ شبیه کاربر واقعی

حملات لایه اپلیکیشن (HTTP) به‌جای اشباع پهنای باند، منابع پردازشی سرور را هدف می‌گیرند: صفحات جستجو، سبد خرید، صفحه ورود یا APIهایی که هر درخواست آن‌ها کوئری سنگین دیتابیس اجرا می‌کند. روندهای قابل توجه:

• استفاده از مرورگرهای واقعی یا شبیه‌سازی‌شده که JavaScript اجرا می‌کنند و از چالش‌های ساده عبور می‌کنند.
• توزیع درخواست‌ها بین تعداد بسیار زیادی IP، از جمله IPهای پروکسی مسکونی، به‌طوری که محدودیت نرخ بر اساس IP بی‌اثر می‌شود.
• تقلید از الگوی رفتار کاربر واقعی، مثل مرور چند صفحه و تأخیرهای تصادفی.

این حملات با حجم ترافیک کم هم می‌توانند یک سایت وردپرسی یا فروشگاهی بدون کش را از کار بیندازند.

روند ۴: سوءاستفاده از ضعف پروتکل‌ها

در سال ۲۰۲۳ آسیب‌پذیری HTTP/2 Rapid Reset نشان داد که یک ضعف در طراحی پروتکل می‌تواند حملاتی با تعداد درخواست بی‌سابقه ایجاد کند، حتی با بات‌نت نسبتاً کوچک. از آن زمان، پژوهشگران و مهاجمان مرتباً به دنبال روش‌های مشابه در HTTP/۲، HTTP/۳ و QUIC بوده‌اند. درس اصلی این است که به‌روزرسانی وب‌سرور و Reverse Proxy بخشی از دفاع در برابر DDoS است، نه فقط یک کار نگهداری.

حملات بازتابی و تقویتی (Amplification) هم ادامه دارند: مهاجم با جعل IP قربانی، از سرویس‌های عمومی مثل DNS، NTP یا Memcached که پاسخ‌های بزرگ‌تر از درخواست می‌دهند، برای چند برابر کردن ترافیک استفاده می‌کند.

روند ۵: حملات چندبرداری و هدفمند

مهاجمان حرفه‌ای همزمان یا پشت سر هم از چند روش استفاده می‌کنند: حمله حجمی UDP برای اشباع شبکه، حمله SYN برای پر کردن جدول اتصال‌ها و حمله HTTP برای فرسوده کردن اپلیکیشن. وقتی تیم دفاع یکی را مهار می‌کند، روش بعدی آغاز می‌شود. این حملات معمولاً هدفمند هستند و پیش از آن، زیرساخت هدف شناسایی شده است؛ مثلاً IP واقعی سرور پشت CDN.

نقش هوش مصنوعی در حمله و دفاع

هوش مصنوعی در هر دو سمت به کار گرفته می‌شود، اما باید واقع‌بین بود:

• در حمله: ابزارهای خودکار به مهاجمان کمک می‌کنند الگوی ترافیک را برای عبور از فیلترها تنظیم کنند و نقاط سنگین اپلیکیشن را سریع‌تر پیدا کنند. اما بخش اصلی قدرت حملات همچنان از اندازه بات‌نت می‌آید.
• در دفاع: سامانه‌های تشخیص مبتنی بر یادگیری ماشین، رفتار عادی ترافیک یک سایت را یاد می‌گیرند و ناهنجاری‌ها را در چند ثانیه تشخیص می‌دهند. این همان سرعتی است که حملات کوتاه‌مدت امروزی لازم دارند.

این روندها برای شما چه معنایی دارد؟

1. حفاظت حجمی باید در شبکه ارائه‌دهنده باشد. هیچ فایروالی روی سرور نمی‌تواند حمله‌ای را مهار کند که پیش از رسیدن به سرور، پهنای باند را پر کرده است. از ارائه‌دهنده بپرسید حفاظت DDoS در لایه شبکه دارد یا نه.
2. IP واقعی سرور را پنهان نگه دارید. اگر از CDN استفاده می‌کنید، دسترسی مستقیم به سرور را فقط برای IPهای CDN باز بگذارید و مطمئن شوید رکوردهای قدیمی DNS یا زیردامنه‌هایی مثل mail، IP واقعی سرور را فاش نمی‌کنند.
3. اپلیکیشن را سبک کنید. کش صفحه، کش دیتابیس و محدود کردن مسیرهای سنگین، اثر حملات لایه ۷ را به‌شدت کاهش می‌دهد. راهکارهای وردپرس را در افزایش سرعت وردپرس ببینید.
4. WAF و محدودیت نرخ هوشمند: محدودیت نرخ بر اساس مسیر، نشست و رفتار، نه فقط IP.
5. به‌روز نگه داشتن وب‌سرور و پروکسی.
6. برنامه واکنش داشته باشید: چه کسی را خبر کنید، چطور ترافیک را به حالت حفاظت شدید ببرید و چطور با کاربران ارتباط بگیرید.

تنظیمات پایه فایروال سرور را هم در مقایسه فایروال‌های لینوکس مرور کنید.

سوالات متداول