ما هو هجوم Dos وDdos؟

ما هو هجوم DoS؟ إنه تدخّل مستهدف في عمل خدمة عبر الإنترنت بهدف التسبب في تعطلها وعدم قدرتها على استقبال حركة البيانات الواردة بشكل صحيح في تلك اللحظة. عمليًا، يبدو الأمر كالتالي: يتم استفزاز زيادة في حركة البيانات نحو موقع أو تطبيق أو بوابة إلكترونية، مما يؤدي إلى توقف كامل أو حجب جزئي للهدف المُهاجَم.

كيف يحدث هذا عمليًا؟ المواقع على الإنترنت محدودة بعدد الزيارات، لنقل مثلًا 1000-2000 زائر في اللحظة الواحدة. يقوم القراصنة الذين يستخدمون هجمات DoS بتوليد حركة بيانات واردة متزايدة، فيرفعون عدد الزيارات عشرات أو مئات المرات. ويعاني الهدف المُهاجَم من ذلك: إما أن يتوقف عن العمل أو يقدّم معالجة غير مكتملة للطلبات المستهدفة الواردة، مما يؤثر على جودة المبيعات وكميتها.

أهداف هجمات DoS وDDoS

عادةً، يكون لدى المحتالين هدف واحد أو أكثر من هجوم DoS:

قد تكون أسباب هذه الهجمات المنافسة غير النزيهة، أو الرغبة في إخراج مشروع واعد من المنافسة مؤقتًا، أو هجوم قراصنة، أو دوافع سياسية أو أيديولوجية، أو الاعتراض على المعلومات المُبثّة على الخدمة، أو التمويه على اختراق أكبر لحلقة الأمن، أو صرف انتباه قوى أمن المعلومات عن المشكلة الرئيسية.

غالبًا ما تكون ضحايا هجمات DDoS خوادم ويب لمؤسسات معروفة مثل الشركات المصرفية والتجارية والإعلامية، والمنظمات الحكومية والتجارية، والمواقع الرسمية لشخصيات إعلامية وخبراء مشهورين وغيرهم.

التاريخ والإحصاءات

من المثير للدهشة أن أول هجوم DDoS سُجّل في عام 1974 على يد فتى في الثالثة عشرة من عمره في الولايات المتحدة. اكتشف ديفيد دينيس حقيقة مثيرة للاهتمام، وهي إمكانية تجميد حواسيب جامعة إلينوي عند إدخال أمر معين. جرّب اكتشافه على 31 حاسوبًا في الجامعة، وتوقفت في النهاية عن العمل لفترة من الوقت.

حقيقة أخرى مثيرة للاهتمام: يمكن لهجوم حجب الخدمة أن يستمر لفترة طويلة. بالطبع، يتطلب الحمل المستمر وضمان النشر دون انقطاع الكثير من الموارد، لكن إذا كان إخراج منافس من المنافسة ليوم أو أكثر يستحق العناء – فقد تُقدم عليه الشركات المتنافسة. لذا فليس من المستغرب أن أطول هجمات DoS تجاوزت 329 ساعة و509 ساعات على التوالي، أي أكثر من 13 يومًا وأكثر من 21 يومًا. وهذا قدر لا بأس به.

بالمناسبة، يمكنك متابعة تدفق هجمات DDoS في العالم وتوزيعها الجغرافي في الوقت الفعلي. وكما ترى، تقع معظم المصادر في مراكز مكتظة بالسكان ومتقدمة. ويصل عدد الهجمات المُرسلة في لحظة واحدة إلى 4,785,000 هجمة.

ما الفرق بين هجوم DoS وDDoS؟

هجوم DDoS أي "Distributed Denial of Service attack" هو فئة فرعية من الفئة الأعم DoS أي "Denial of Service attack". في هجوم DoS، يستخدم القرصان اتصالًا واحدًا بالشبكة لإرسال مدخلات مزعجة. أما هجمات DDoS فتغيّر الحجم وتستخدم آلاف (بل ملايين) الأجهزة المتصلة، غالبًا مترابطة ضمن شبكات (بوتنت).

فعالية هجمات DoS منخفضة جدًا حاليًا. يعمل هذا النوع من النشر وفق مبدأ خطي بسيط 1:1 – مصدر تهديد واحد وضحية واحدة. إضافة إلى ذلك، يكون الهجوم الفردي ملحوظًا بسهولة من خلال محتوى ملف السجل وعنوان IP، ويمكن حجبه بسهولة عبر جدار الحماية. لهذا أصبحت هجمات DDoS الجماعية باستخدام شبكات البوتنت أكثر شيوعًا مؤخرًا. كيف تعمل؟

شبكات البوتنت

شبكات البوتنت هي الوسيلة الأساسية لتنفيذ هجمات DDoS الموزعة. يُنشئ المهاجم شبكة نظير إلى نظير خاضعة لسيطرته من الأجهزة التي تنفّذ هجمات DDoS الخبيثة على الضحية. يمكن أن يتراوح عدد هذه الأجهزة من بضع عشرات إلى مئات الآلاف، ويعتمد ذلك على حجم الحملة. تُزرع شيفرة خبيثة أو برمجية خبيثة تُسمى "بوت" في الحاسوب المخترَق. وتشكّل الحواسيب المصابة معًا شبكة تُسمى بوتنت. ثم يوجّه المهاجم الشبكة لتنفيذ عمليات تسجيل دخول متزامنة إلى جهاز الضحية أو خادمها. يعني هذا إرسال عدد كبير من طلبات الاتصال في وقت واحد، يفوق بكثير العدد الذي يمكن معالجته. الأمر أشبه بهجوم كل النحل دفعة واحدة (انظر المخطط أدناه).

أشهر شبكات البوتنت اليوم هي: Storm وZeus وMariposa وBredolab وSality وFast Flux وغيرها. على هذا الموقع، يمكنك رؤية توزيع مصادر البوتنت العالمية في الوقت الفعلي.

تكلفة هجمات DDoS في عام 2025

خدمة البوتنت متاحة للشراء بأسعار معقولة ليس فقط على الشبكة المظلمة بل أيضًا على الشبكة العادية. اعتمادًا على مقدار القوة المشتراة، يمكن أن تبدأ تكلفة الخدمة من 50 دولارًا وتصل إلى عشرات الآلاف. لذا ليس من الصعب استخدام هذه الأداة كمصدر للمنافسة غير النزيهة. وفي الوقت نفسه، خلال هجوم DDoS، تسبب كل دقيقة توقف للشركات الصغيرة والمتوسطة خسائر قد تصل إلى عشرات آلاف الدولارات (حسب الحجم)، وقد تكلّف استعادة الخدمات والعمليات بعد الهجوم في المتوسط ما بين 70,000 و120,000 دولار.

في عام 2025، تسببت هجمات DDoS على مستوى التطبيقات بأضرار أكبر للقطاعات الرقمية من أي نوع آخر من الهجمات: بزيادة 131% عن الربع السابق (و300% مقارنة بالعام السابق).

أعراض الهجوم وكيفية التعرف عليه

لا تملك هجمات DDoS أعراضًا واضحة يمكننا معها القول بوضوح: "انظر، لدينا هجوم DDoS". عادة ما تنخفض سرعة تحميل الخدمة، ويعرض الموقع خطأ 502 أو503 أو504، أو يتعذر عرضه، مع زيادة في الرسائل المزعجة، ومحتوى غير معتاد، وزيادة في عدد المستخدمين المتزامنين على نفس موارد الموقع، ومشاكل في الاتصال بالإنترنت، وزوّار غير مستهدفين وتواصل حول مواضيع مشتتة، وما إلى ذلك. يمكن أيضًا مراقبة حجم حركة البيانات على منافذ الاتصال والتغير في اتجاه الحمل على الذاكرة العشوائية والمعالج، اللذين يزدادان بشكل كبير.

الأعراض غامضة ولا تتوافق دائمًا بنسبة 100% مع وجود هجوم على موقعك أو شبكتك أو تطبيقك. مع ذلك، إذا ظهرت، يجدر بك التفكير في الأمن.

كيف تتعامل مع هجمات DoS وDDoS؟

بالطبع، تتطلب مواجهة مثل هذا التهديد دفاعًا. وضد هجمات DoS وDDoS توجد عدة خيارات لضمان أمن المعلومات:

استخدام أنظمة مراقبة حركة الشبكة

ستوفر مراقبة مصادر حركة البيانات ورصد الارتفاعات غير الطبيعية في الشبكة.

جدران الحماية

جدار الحماية هو خادم وكيل عكسي يُثبَّت فعليًا بين الإنترنت وخوادم الشركة. بعد تثبيته، يطبّق جدار الحماية على كل حركة البيانات الواردة مجموعة القواعد التي حددها المسؤول مسبقًا. وبالتالي، يُرفض تلقائيًا كل حدث لا يستوفي هذه المتطلبات المحددة.

تدقيق أنظمة الأمن وربما الاستعانة بقرصنة DDoS أخلاقية

ينبغي على المؤسسات إجراء تقييمات مخاطر وعمليات تدقيق دورية لأجهزتها وخوادمها وشبكتها. أجرِ اختبارات دورية لزمن استجابة الموقع لفهم ما هو طبيعي بالنسبة لك وما هو متجاوَز بالفعل ويمكن أن يكون مؤشرًا على هجوم. من المفيد أيضًا الاستعانة بقرصان أخلاقي يشنّ هجومًا في أقل الأوقات توقعًا على الموقع ويسلّط الضوء على نقاط ضعف الدفاعات الأمنية.

استخدام الذكاء الاصطناعي وبرمجيات متخصصة

أدوات الذكاء الاصطناعي أكثر تكيفًا بكثير من البرمجيات التقليدية، إذ تمتلك القدرة على التعلم الذاتي والعمل وفق أحدث البيانات. تُستخدم الشبكات العصبية أيضًا في مكافحة هجمات DDoS، فجرّب النماذج المتاحة. كذلك، لا تتجاهل البرمجيات وخدمات الدعم المتخصصة في الدفاع ضد هذا النوع من التعرض. ولعل أشهرها هنا هو Cloudflare.

التوجيه إلى الثقب الأسود

شكل آخر من أشكال الحماية هو التوجيه إلى الثقب الأسود، حيث يُنشئ مسؤول الشبكة (أو مزوّد خدمة الإنترنت للمؤسسة) مسارًا عبر ثقب أسود ويوجّه حركة البيانات إليه. باستخدام هذه الاستراتيجية، تُوجَّه كل حركة البيانات، الجيدة والسيئة على حد سواء، إلى المسار صفر وتُزال فعليًا من الشبكة. قد يكون هذا حلًا متطرفًا لأن حركة البيانات المشروعة تتوقف أيضًا، وقد يؤدي إلى خسارة في الأعمال.