اگر سایت یا سرور شما ناگهان از دسترس خارج شود و ترافیک ورودی به‌طور غیرعادی بالا برود، ممکن است هدف یک حمله DDoS قرار گرفته باشید. در این مقاله توضیح می‌دهیم DDoS چیست، چطور کار می‌کند، چه انواعی دارد، چطور آن را تشخیص دهیم و هشت راه مقابله با آن در سطح شبکه، سرور و اپلیکیشن را مرور می‌کنیم.
فهرست مطالب
DDoS چیست؟
DDoS مخفف Distributed Denial of Service به معنای «حمله منع سرویس توزیع‌شده» است. در این حمله، تعداد زیادی دستگاه به‌طور همزمان ترافیک یا درخواست به یک هدف می‌فرستند تا منابع آن، مثل پهنای باند، پردازنده، حافظه یا ظرفیت اتصال، تمام شود و کاربران واقعی نتوانند از سرویس استفاده کنند. هدف DDoS معمولاً سرقت داده نیست، بلکه از کار انداختن سرویس است.
تفاوت DoS و DDoS
- DoS: حمله از یک منبع. با مسدود کردن همان IP معمولاً مهار می‌شود.
- DDoS: حمله از هزاران یا میلیون‌ها منبع پراکنده. مسدود کردن تک‌تک IPها عملی نیست و ترافیک حمله با ترافیک واقعی مخلوط است.
حمله DDoS چطور کار می‌کند؟
- مهاجم شبکه‌ای از دستگاه‌های آلوده به نام بات‌نت در اختیار دارد؛ معمولاً روترها، دوربین‌ها و دستگاه‌های اینترنت اشیا با رمز ضعیف یا سرورهای هک‌شده. سرویس‌های «اجاره حمله» این امکان را با هزینه کم در اختیار هر کسی می‌گذارند.
- مهاجم به بات‌نت دستور حمله به یک IP یا دامنه را می‌دهد.
- دستگاه‌ها همزمان ترافیک یا درخواست ارسال می‌کنند.
- یکی از منابع هدف یا مسیر شبکه آن اشباع و سرویس برای کاربران واقعی قطع می‌شود.
در حملات تقویتی (Amplification)، مهاجم با جعل IP قربانی، درخواست‌های کوچکی به سرورهای عمومی مثل DNS یا NTP می‌فرستد که پاسخ‌های بسیار بزرگ‌تری به سمت قربانی برمی‌گردانند.
انواع حملات DDoS
| نوع | هدف | نمونه |
|---|---|---|
| حجمی (Volumetric) | اشباع پهنای باند | UDP Flood، حملات تقویتی DNS و NTP |
| پروتکلی | اشباع جدول اتصال سرور یا فایروال | SYN Flood، ACK Flood |
| لایه اپلیکیشن (لایه ۷) | اشباع پردازنده و دیتابیس با درخواست‌های به‌ظاهر عادی | HTTP Flood روی صفحه جستجو یا ورود |
حملات لایه ۷ با حجم کم هم می‌توانند یک سایت را از کار بیندازند، چون هر درخواست پردازش سنگینی ایجاد می‌کند و تشخیصشان از کاربر واقعی دشوار است. روندهای جدید این حملات را در حملات DDoS در سال ۲۰۲۶ بررسی کرده‌ایم.
نشانه‌های حمله
- کندی شدید یا قطعی ناگهانی بدون تغییر در سایت.
- افزایش غیرعادی ترافیک ورودی یا تعداد اتصال‌ها در نمودار پایش.
- خطاهای ۵۰۲، ۵۰۳ یا Timeout.
- تعداد زیادی درخواست به یک آدرس خاص در لاگ وب‌سرور، از IPها یا کشورهای غیرمعمول.
- مصرف کامل CPU توسط وب‌سرور یا PHP بدون افزایش متناظر در فروش یا بازدید واقعی.
همه افزایش‌های ناگهانی ترافیک حمله نیستند؛ یک کمپین تبلیغاتی موفق یا لینک از یک سایت پربازدید هم همین اثر را دارد. الگوی درخواست‌ها را بررسی کنید.
۸ راه مقابله با DDoS
۱. حفاظت در شبکه ارائه‌دهنده
مهم‌ترین لایه. حملات حجمی باید قبل از رسیدن به سرور، در شبکه ارائه‌دهنده یا یک سرویس تخصصی پاک‌سازی ترافیک مهار شوند؛ هیچ تنظیمی روی خود سرور نمی‌تواند پهنای باندی را که از بیرون پر شده آزاد کند.
۲. CDN
شبکه توزیع محتوا ترافیک را بین نقاط حضور متعدد پخش می‌کند، بخش بزرگی از درخواست‌ها را از کش پاسخ می‌دهد و IP واقعی سرور را پنهان می‌کند.
۳. پنهان نگه داشتن IP واقعی سرور
اگر از CDN استفاده می‌کنید، دسترسی مستقیم به سرور را فقط برای IPهای CDN باز بگذارید و مطمئن شوید رکوردهایی مثل زیردامنه mail یا رکوردهای قدیمی، IP واقعی را فاش نمی‌کنند.
۴. WAF و محدودیت نرخ
فایروال اپلیکیشن وب (WAF) درخواست‌های مخرب لایه ۷ را شناسایی می‌کند. محدودیت نرخ، تعداد درخواست هر کاربر یا IP را به مسیرهای حساس مثل ورود و جستجو محدود می‌کند.
۵. کش و بهینه‌سازی اپلیکیشن
سایتی که صفحاتش از کش پاسخ داده می‌شود، در برابر حملات لایه ۷ بسیار مقاوم‌تر است. راهکارهای وردپرس در افزایش سرعت وردپرس.
۶. تنظیمات سرور
فعال بودن SYN Cookies، محدودیت اتصال همزمان در وب‌سرور، بستن پورت‌های غیرضروری و فایروال مناسب. مقایسه ابزارها در UFW یا iptables یا nftables.
۷. پایش و هشدار
نمودار ترافیک، تعداد اتصال و زمان پاسخ را پیوسته پایش کنید تا حمله را در دقیقه‌های اول تشخیص دهید، نه وقتی مشتریان تماس می‌گیرند.
۸. برنامه واکنش
از قبل مشخص کنید در زمان حمله با چه کسی تماس بگیرید، چطور سطح حفاظت CDN یا WAF را بالا ببرید و چطور به کاربران اطلاع‌رسانی کنید.
در زمان حمله چه کنیم؟
- با ارائه‌دهنده سرور یا CDN تماس بگیرید و جزئیات (زمان شروع، IP یا دامنه هدف) را اطلاع دهید.
- در CDN یا WAF حالت حفاظت شدید یا چالش برای بازدیدکنندگان را فعال کنید.
- لاگ‌ها را بررسی و الگوی حمله (مسیر، User-Agent، کشور) را شناسایی و مسدود کنید.
- مسیرهای سنگین غیرضروری را موقتاً غیرفعال کنید.
- پس از پایان حمله، علت و نقاط ضعف را بررسی و برنامه دفاعی را به‌روز کنید.
سوالات متداول
آیا DDoS باعث سرقت اطلاعات می‌شود؟
معمولاً نه؛ هدف DDoS از کار انداختن سرویس است. اما گاهی از آن برای منحرف کردن توجه تیم امنیتی در زمان یک نفوذ دیگر استفاده می‌شود.
آیا فایروال سرور جلوی DDoS را می‌گیرد؟
فقط در برابر حملات کوچک. حملات حجمی پهنای باند را قبل از رسیدن به فایروال سرور اشباع می‌کنند و باید در شبکه ارائه‌دهنده مهار شوند.
از کجا بفهمم سرورم تحت حمله DDoS است؟
افزایش ناگهانی ترافیک یا اتصال‌ها، کندی یا قطعی بدون دلیل، خطاهای ۵۰۳ و حجم غیرعادی درخواست به یک مسیر در لاگ وب‌سرور از نشانه‌های رایج هستند.
آیا سایت‌های کوچک هم هدف DDoS قرار می‌گیرند؟
بله؛ به دلیل رقابت، اخاذی یا حتی به‌طور اتفاقی. سایت‌های کوچک چون حفاظت کمتری دارند، با حملات کوچک‌تر هم از کار می‌افتند.
حفاظت لایه‌ای برای سرویس‌های شما
با خدمات امنیت شبکه و WAF تراست هاست و پایش ۲۴ ساعته، حملات را سریع تشخیص دهید و مهار کنید. راهنمای CISA درباره حملات منع سرویس هم منبع خوبی برای مطالعه بیشتر است.
