چطور حملات DDoS را در سطح سرور مدیریت کنیم؟

در این مقاله از بلاگ مایا هاست، خیلی ساده و کاربردی میخوایم بررسی کنیم که چطور حملات DDoS را در سطح سرور مدیریت کنیم و برای جلوگیری از حملات DDoS چه کارهایی میتونیم انجام بدیم.

وقتی یک سایت یا سرویس آنلاین ناگهان از دسترس خارج میشه، همیشه مشکل از کدنویسی، هاست یا خرابی سرور نیست.

گاهی حجم زیادی از درخواست‌ها در مدت کوتاهی به سمت سرور ارسال می‌شود و منابع آن را تحت فشار قرار میدن.

این نوع حمله که به DDoS معروف هست، میتونه باعث کند شدن سایت، افزایش مصرف منابع و حتی قطعی کامل سرویس بشه.

قرار نیست وارد مباحث پیچیده امنیتی بشیم؛ هدف اینه که ببینیم در سطح سرور چه اتفاقی می‌افته و چه راهکارهایی میتونه فشار حمله را کمتر کنه.

با ما تا انتهای این مقاله همراه باشید.

 

اگر کسب‌وکار شما به پایداری بیشتری نیاز دارد، سرورهای اختصاصی مایا هاست می‌توانند انتخاب مناسبی برای اجرای سرویس‌های شما باشند.

 

حمله DDoS چیست؟

DDoS مخفف Distributed Denial of Service هست. در این حمله، مهاجم تلاش میکنه با ارسال تعداد بسیار زیادی درخواست همزمان، منابع یک سرور یا سرویس رو مصرف کند.

تصور کنید یک فروشگاه فقط یک در ورودی داره و ناگهان هزاران نفر به‌صورت هم‌زمان جلوی در جمع بشن؛

حتی اگر بیشتر این افراد قصد خرید نداشته باشن، شلوغی ایجادشده میتونه باعث بشه مشتری واقعی نتونه وارد فروشگاه بشه.

در حمله DDoS هم تقریبا چنین اتفاقی برای سرور رخ میده. درخواست‌های زیادی به سمت سرور میان و منابعی مثل CPU، RAM، پهنای باند یا ظرفیت اتصال شبکه را درگیر می‌کنن.

نکته مهم اینجاست که DDoS فقط یک شکل نداره.

بعضی حملات بیشتر روی پهنای باند تمرکز دارن، بعضی تعداد زیادی اتصال ایجاد میکنن و بعضی دیگه با ارسال درخواست‌های سنگین به وب‌سرور یا برنامه، منابع سرور رو درگیر می‌کنن.

 

تفاوت DoS و DDoS

در حمله DoS معمولا منبع حمله محدودتره و ممکنه درخواست‌ها از یک سیستم یا تعداد کمی منبع ارسال بشن.

اما در DDoS، مهاجم از تعداد زیادی سیستم یا IP مختلف استفاده میکنه.

همین موضوع باعث میشه شناسایی و مسدود کردن حمله DDoS سخت‌تر باشه. اگر فقط یک IP رو مسدود کنید، ممکنه هزاران IP دیگر همچنان به سرور درخواست ارسال کنن.

به همین دلیل، جلوگیری از حملات DDoS معمولا با یک ابزار یا یک دستور ساده انجام نمیشه و باید چند لایه مختلف رو در نظر بگیرید.

 

اهمیت مدیریت DDoS در سطح سرور

وقتی حمله شروع میشه، اولین چیزی که تحت فشار قرار میگیره منابع سروره.

اگر تعداد درخواست‌ها بیشتر از ظرفیت سرور باشد، ممکنه CPU به‌شدت درگیر بشه، RAM افزایش پیدا کنه یا تعداد Connectionها بالا بره.

در چنین شرایطی حتی سایت‌هایی که مشکلی ندارند هم ممکنه کند بشه؛ چون سرور باید درخواست‌های مخرب را در کنار درخواست کاربران واقعی پردازش کنه.

برای همین، بهتره مدیریت حمله فقط بعد از قطعی شدن سایت شروع نشه.

مانیتورینگ منابع، تنظیم درست فایروال، محدود کردن درخواست‌های مشکوک و استفاده از لایه‌های حفاظتی بالاتر میتونه کمک کنه قبل از شرایط بحرانی، حمله کنترل بشه.

 

 

آیا واقعاً با DDoS روبه‌رو هستید؟

هر افزایش ناگهانی مصرف CPU یا RAM حتما به معنی DDoS نیست. ممکنه سایتی به‌خاطر انتشار محتوای پربازدید، اجرای یک CronJob، مشکل افزونه یا یک Query سنگین دیتابیس، منابع زیادی مصرف کنه.

بنابراین قبل از هر کاری باید رفتار سرور رو بررسی کنید.

اگر هم‌زمان با افزایش مصرف منابع، تعداد Connectionها، درخواست‌های HTTP یا ترافیک ورودی هم به شکل غیرعادی بالا رفته باشه، احتمال حمله بیشتر میشه.

برای مثال فرض کنید یک سرور معمولا روزانه حدود 50 هزار درخواست دریافت میکنه، اما ناگهان در چند دقیقه تعداد درخواست‌ها به چند میلیون میرسه و بخش زیادی از اونها از IPهای مختلف میان.

این وضعیت می‌تونه یک نشانه جدی از حمله باشه. در لینوکس می‌تونید با ابزارهایی مثل top ،htop ،ss و netstat وضعیت منابع و Connectionهای فعال رو بررسی کنید.

 

فایروال

فایروال یکی از اولین ابزارهایی است که در سطح سرور می‌تواند برای کنترل ترافیک استفاده شود. در سیستم‌های لینوکسی ابزارهایی مثل UFW، iptables و nftables برای مدیریت قوانین شبکه کاربرد دارند.

با فایروال می‌توانید مشخص کنید چه ترافیکی اجازه ورود یا خروج داشته باشد. همچنین در بعضی شرایط می‌توان IPهای مشخص یا الگوهای خاصی از ترافیک را محدود کرد.

اما یک نکته مهم وجود دارد: فایروال سرور برای مقابله با همه انواع DDoS کافی نیست.

اگر مهاجم حجم بسیار زیادی ترافیک به سمت IP سرور ارسال کند، ممکن است پهنای باند سرور یا حتی تجهیزات شبکه دیتاسنتر قبل از اینکه فایروال فرصت پردازش درخواست‌ها را داشته باشد، تحت فشار قرار بگیرند.

یعنی اگر حمله بزرگ باشد، اینکه فقط روی خود سرور فایروال تنظیم کنید همیشه جواب نمی‌دهد.

 

Rate Limiting

یکی از روش‌های کاربردی برای جلوگیری از فشار بیش‌ازحد روی سرویس، Rate Limiting یا محدود کردن نرخ درخواست‌هاست.

در این روش مشخص میکنید یک IP یا یک کاربر در بازه زمانی مشخص، تعداد محدودی درخواست ارسال کنه. اگه تعداد درخواست‌ها از حد مشخصی بیشتر بشن، درخواست‌های اضافی محدود یا رد میشن.

فرض کنید یک API دارید که هر کاربر معمولا بیشتر از 20 درخواست در ثانیه نیاز نداره. اگر یک IP در همین مدت هزاران درخواست ارسال کنه، احتمال اینکه رفتارش طبیعی باشه پایینه.

با Rate Limiting می‌تونیم چنین رفتارهایی رو کنترل و اجازه ندیم یک منبع، تمام ظرفیت سرویس رو مصرف کنه.

این روش مخصوصا برای APIها، صفحات ورود، فرم‌ها و سرویس‌هایی که درخواست‌های زیاد دریافت میکنن مفیده.

 

Nginx برای کنترل ترافیک

اگر وب‌سرور شما Nginx باشه، امکانات مختلفی برای کنترل درخواست‌ها در اختیار دارید. یکی از کاربردهای مهم اون، محدود کردن تعداد درخواست‌هاییه که یک IP در یک بازه زمانی میتونه ارسال کنه.

برای مثال، میتونید برای یک مسیر خاص مثل login/ محدودیت جداگانه‌ای در نظر بگیرید تا یک مهاجم نتونه با ارسال تعداد زیادی درخواست، سرویس ورود را تحت فشار قرار بده.

Nginx همچنین میتونه به‌عنوان Reverse Proxy جلوی برنامه قرار بگیره. در این حالت بخشی از کنترل درخواست‌ها قبل از رسیدن ترافیک به برنامه اصلی انجام میشه.

این موضوع برای سرورهایی که برنامه‌های وب سنگین دارند اهمیت زیادی دارد؛ چون بهتره تا جای ممکن درخواست‌های غیرضروری قبل از رسیدن به لایه Application متوقف بشن.

 

Fail2Ban

Fail2Ban بیشتر برای مقابله با تلاش‌های تکراری و مشکوک استفاده میشه.

این ابزار لاگ سرویس‌هایی مثل SSH، Nginx یا Apache رو بررسی و اگر الگویی غیرعادی مشاهده کنه، می‌تونه IP مربوطه رو برای مدتی مسدود کنه.

برای مثال اگر یک IP مرتبا تلاش کنه با رمزهای مختلف وارد SSH بشه، Fail2Ban میتونه اون IP رو شناسایی و مسدود کنه.

البته باید دقت کنید که Fail2Ban راهکار اصلی مقابله با DDoSهای حجیم نیست. این ابزار برای حملاتی که از تعداد زیادی IP و با حجم بسیار بالا انجام میشن، به‌تنهایی کافی نیست.

در واقع Fail2Ban بیشتر برای کاهش رفتارهای مخرب مشخص و حملات تکراری در سطح سرویس کاربرد داره.

 

فعال کردن CDN و سرویس‌های محافظ DDoS

وقتی حمله بزرگ باشه، بهتره ترافیک قبل از رسیدن به سرور اصلی فیلتر بشه. اینجا سرویس‌های CDN و محافظ DDoS اهمیت زیادی پیدا میکنن.

سرویس‌هایی مثل Cloudflare میتونن به‌عنوان یک لایه بین کاربر و سرور قرار بگیرن. در این حالت درخواست‌ها ابتدا به شبکه محافظ میرسن و ترافیک مشکوک میتونه قبل از رسیدن به سرور اصلی فیلتر بشه.

این مدل معماری یک مزیت مهم داره: حمله مستقیما به IP اصلی سرور برخورد نمیکنه و بخشی از فشار در لایه بالاتری مدیریت میشه.

برای حملات بزرگ، این روش معمولا بسیار مؤثرتر از اینه که فقط روی فایروال داخل سرور حساب کنید.

 

بستن پورت‌های غیرضروری

هر پورتی که روی سرور باز باشه، یک سرویس در حال گوش دادن پشتش وجود داره یا حداقل سطح حمله بیشتری ایجاد میکنه.

به همین دلیل بهتره فقط پورت‌هایی رو باز بگذارید که واقعا بهشون نیاز دارید.

برای مثال اگر سرور شما فقط یک وب‌سایت رو میزبانی میکنه، معمولا پورت‌های HTTP و HTTPS مورد نیاز هستن و اگر مدیریت SSH انجام میدید، پورت SSH نیز باید در دسترس باشه.

بقیه پورت‌ها در صورت عدم نیاز بهتره بسته یا دسترسی اونها محدود بشه.

البته این کار به معنی جلوگیری کامل از DDoS نیست، اما باعث میشه سرویس‌های غیرضروری در معرض ترافیک و حملات قرار نگیرن.

مانیتورینگ

یکی از بهترین کارها برای مدیریت حملات اینه که بدونید سرور شما در حالت عادی چه وضعیتی داره.

مصرف CPU، RAM، پهنای باند، Disk I/O، Load Average، تعداد Connectionها و تعداد درخواست‌های وب، اطلاعات مهمی درباره وضعیت سرور به شما میدن.

اگر شما بدانید مصرف عادی سرور چقدر هست، تشخیص رفتار غیرعادی خیلی ساده‌تر میشه.

برای مثال اگر Load Average سرور همیشه حدود 1 تا 2 باشه ولی ناگهان به 20 برسد و هم‌زمان تعداد Connectionهای فعال نیز چند برابر بشه، این تغییر ارزش بررسی داره.

مانیتورینگ همچنین کمک میکنه متوجه بشید حمله در چه زمانی شروع و چه زمانی شدت گرفته. این اطلاعات هنگام بررسی لاگ‌ها و گزارش مشکل به دیتاسنتر یا ارائه‌دهنده سرویس هم بسیار مفید هستن.

 

بررسی لاگ ها

وقتی سرور رفتار غیرعادی داره، لاگ‌ها میتونن سرنخ‌های خوبی در اختیار شما قرار بدن.

در وب‌سرورهایی مثل Apache و Nginx میتونید Access Log و Error Log رو بررسی و ببینید چه درخواست‌هایی در حال ارسال هستن.

مثلا ممکنه مشاهده کنید یک مسیر خاص در چند دقیقه هزاران بار درخواست شده یا تعداد زیادی IP مختلف به یک URL مشخص درخواست میفرستن.

در این شرایط میتونید بررسی کنید که آیا درخواست‌ها واقعی هستند یا الگوی اونها بیشتر شبیه رفتار خودکار و مخرب هستن.

لاگ‌ها به شما کمک می‌کنن تصمیم بگیرید که آیا باید یک IP یا رنج مشخص رو محدود کنید، Rate Limit رو تغییر بدید یا مشکل از خود برنامه اس.

 

 

فرض کنید یک سایت وردپرسی روی سرور لینوکس شما قرار داره.

سایت در حالت عادی بدون مشکل کار میکنه، اما ناگهان CPU به 100 درصد میرسه و کاربران از کندی شدید سایت خبر میدن.

در بررسی اولیه متوجه میشید تعداد درخواست‌های HTTP چندین برابر حالت عادی شده. بررسی لاگ Nginx هم نشون میده تعداد زیادی IP مختلف به صفحات مشخصی درخواست میفرستن.

در چنین شرایطی اولین کار این نیست که سریع تمام IPها رو یکی‌یکی Block کنید؛ چون در حمله DDoS ممکنه تعداد IPها بسیار زیاد باشه.

بهتره ابتدا ترافیک رو بررسی و Rate Limiting رو فعال کنید، درخواست‌های غیرعادی رو کنترل کنید و در صورت نیاز ترافیک سایت رو از یک CDN و سرویس محافظ DDoS عبور بدید.

اگر حجم حمله اونقدر زیاد باشه که پهنای باند سرور رو اشباع کنه، موضوع باید با دیتاسنتر یا شرکت ارائه‌دهنده سرور هم مطرح بشه؛ چون در این حالت فایروال داخل سرور دیگه نمیتونه مشکل اصلی رو حل کنه.

 

اگر با IPهای مشکوک روبه‌رو شدید، می‌توانید آن‌ها را با AbuseIPDB بررسی و ببینید آیا قبلاً به‌عنوان IP مخرب گزارش شده‌اند یا خیر.

تاثیر افزایش منابع بر جلوگیری از DDoS

افزایش CPU، RAM یا پهنای باند ممکن است تحمل سرور را بیشتر کند، اما به‌تنهایی راهکار جلوگیری از حمله DDoS نیست.

فرض کنید سرور شما میتونه در حالت عادی 10 هزار درخواست در ثانیه رو پردازش کنه.

اگر مهاجم به‌جای اون 500 هزار درخواست در ثانیه ارسال کنه، ارتقای سخت‌افزار شاید فقط زمان بیشتری برای سرور ایجاد کنه.

در واقع اگر حمله در لایه شبکه اتفاق بیفته و ظرفیت اینترنت یا لینک سرور رو پر کنه، حتی یک سرور بسیار قدرتمند هم نمیتونه ترافیکی رو که اصلا به اون نمیرسه مدیریت کنه.

به همین دلیل برای حملات بزرگ، استفاده از لایه‌های حفاظتی خارج از سرور اهمیت بیشتری داره.

 

بستن IP مهاجم برای جلوگیری از حمله کافیه؟

در حملات ساده ممکنه Block کردن IP مؤثر باشه، اما در DDoS معمولا شرایط پیچیده‌تره.

مهاجم میتونه از تعداد بسیار زیادی IP استفاده کنه و حتی IPهای حمله در طول زمان تغییر کنه.

در چنین شرایطی Block کردن تک‌تک IPها نه‌تنها زمانبره، بلکه ممکنه باعث بشه IPهای کاربران واقعی هم اشتباهی مسدود بشن.

بهتره به‌جای تمرکز صرف روی IP، الگوی ترافیک رو بررسی و از روش‌هایی مثل Rate Limiting، فایروال، CDN و سرویس‌های تخصصی محافظت در برابر DDoS استفاده کنید.

 

ترکیبی برای جلوگیری از حملات DDoS

واقعیت اینه که یک ابزار جادویی برای جلوگیری از حملات DDoS وجود نداره. بهترین نتیجه زمانی به دست میاد که چند لایه امنیتی کنار هم قرار بگیرن.

در سطح سرور میتونید فایروال رو به‌درستی تنظیم کنید، پورت‌های غیرضروری رو ببندید، سرویس‌ها رو به‌روز نگه دارید، Rate Limiting داشته باشید و رفتارهای مشکوک رو با ابزارهایی مثل Fail2Ban کنترل کنید.

در لایه وب نیز استفاده از Reverse Proxy و CDN میتونه کمک زیادی کنه.

اگر احتمال حملات سنگین وجود داره، استفاده از سرویس تخصصی DDoS Protection و هماهنگی با دیتاسنتر یا ارائه‌دهنده سرور اهمیت بیشتری پیدا میکنه.

مهم‌تر از همه اینه که مانیتورینگ و لاگ‌ها رو جدی بگیرید تا وقتی حمله شروع شد، فقط بعد از قطع شدن سایت متوجه مشکل نشید.

 

نتیجه‌گیری

جلوگیری از حملات DDoS فقط به معنی نصب یک فایروال روی سرور نیست. حمله DDoS می‌تونه در لایه‌های مختلف اتفاق بیفته و بسته به حجم و نوع حمله، روش مقابله با اون هم متفاوته.

برای حملات سبک‌تر میتونیم از فایروال، Rate Limiting، Fail2Ban و تنظیمات درست Nginx یا Apache کمک گرفت.

اما وقتی حجم حمله زیاد باشه، ممکنه منابع سرور یا پهنای باند قبل از رسیدن ترافیک به نرم‌افزارهای داخل سرور اشباع بشن.

در این شرایط CDN و سرویس‌های تخصصی DDoS Protection نقش مهم‌تری پیدا می‌کنن.

پس اگر سروری رو مدیریت می‌کنید، بهتره از همون ابتدا یک ساختار چندلایه برای امنیت داشته باشید و فقط زمانی که سایت Down شد، به فکر مقابله با DDoS نیفتید.

 

اگر این مطلب برایتان مفید بود، پیشنهاد میکنیم به مقاله Hardening سرور چیست و چرا مهم است؟ نیز در بلاگ ما سر بزنید.

 

---

سوالات متداول

 آیا فایروال می‌تواند جلوی حملات DDoS را بگیرد؟
فایروال می‌تواند بخشی از ترافیک مخرب را فیلتر یا محدود کند، اما برای حملات بسیار حجیم کافی نیست.
اگر پهنای باند سرور قبل از رسیدن ترافیک به فایروال اشباع شود، فایروال عملاً نمی‌تواند مشکل اصلی را حل کند.

بهترین روش جلوگیری از حملات DDoS چیست؟
بهترین روش به نوع و حجم حمله بستگی دارد، اما معمولا ترکیبی از فایروال، Rate Limiting، مانیتورینگ، تنظیم درست وب‌سرور و استفاده از CDN یا سرویس تخصصی DDoS Protection نتیجه بهتری دارد.

آیا Fail2Ban برای مقابله با DDoS مناسب است؟
Fail2Ban برای شناسایی و مسدود کردن برخی رفتارهای مشکوک و تلاش‌های تکراری بسیار کاربردی است، اما برای DDoSهای بزرگ به‌تنهایی کافی نیست.

آیا تغییر پورت SSH باعث جلوگیری از DDoS می‌شود؟
تغییر پورت SSH می‌تواند تعداد زیادی از اسکن‌ها و تلاش‌های خودکار را کاهش دهد، اما راهکار جلوگیری از DDoS نیست. DDoS می‌تواند سرویس‌های مختلف و حتی کل IP سرور را هدف قرار دهد.

اگر حمله DDoS خیلی شدید باشد چه کاری باید انجام دهیم؟
اگر حمله باعث اشباع پهنای باند یا منابع شبکه شود، بهتر است علاوه بر بررسی تنظیمات سرور، سریعاً با دیتاسنتر یا ارائه‌دهنده سرور تماس بگیرید و در صورت نیاز از سرویس‌های تخصصی DDoS Protection استفاده کنید.