ما هو هجوم حجب الخدمة (DoS)؟
فهم تاريخ هجمات حجب الخدمة وتطورها وخطورتها
مشاركة
هجوم حجب الخدمة (DoS) واحد من أقدم أشكال الهجمات السيبرانية وأكثرها استمرارًا. هدفه بسيط: حرمان مستخدمي خدمة مشروعة من الوصول إليها.
أشكال هجمات حجب الخدمة
تحدث هجمات DoS بشكل رئيسي عبر التقنيات التالية:
- الإغراق: هجوم منسّق يُغرق الخوادم المسؤولة عن تشغيل الخدمة بحركة بيانات تفوق قدرتها على التعامل معها
- استغلال ثغرة: رسائل محددة — تُسمى استغلالات — تجعل الخدمة غير متاحة عبر استنزاف مواردها الحاسوبية، إما بإحداث حلقة لا نهائية، أو إبطائها، أو تعطيلها، أو تجميدها، أو إعادة تشغيل التطبيق.
وهكذا، يستغل المهاجمون الثغرات أو يُثقلون الموارد مثل عرض النطاق الترددي للشبكة، والمعالج، والذاكرة حتى يعجز الهدف عن خدمة عملائه.
من أكثر أشكال هذا الهجوم فعالية شكله الموزّع — هجوم حجب الخدمة الموزّع (DDoS) — حيث يخترق المهاجم عدة أجهزة ويتحكم بها، ثم ينسّق هجومًا على الضحية. وعادةً ما تكون الهجمات التي تستخدم أسلوب الإغراق المذكور أعلاه من نوع DDoS.
نظرًا لصعوبة تتبّعها وتأثيرها العدواني، فإن هجمات DoS وDDoS قديمة قِدَم الإنترنت التجاري، وهي في تطور مستمر نحو أساليب أحدث وأكثر فاعلية لحجب الخدمة، مثل الإدخال الأخير للذكاء الاصطناعي وتقنية الحوسبة السحابية في تنسيق هذه الهجمات.
إذن كيف يبدأ هجوم DoS؟
كيف يُجنَّد الأجهزة، وتُخترق، وتُستغل
ربما سمعت عن الروبوتات الشبكية ومخاطر شبكات VPN المجانية. تنزيل برامج ضارة تختبئ خلف خدمات مشروعة هو أحد أكثر الطرق شيوعًا لاختراق الأجهزة، وهو ما يذكّرنا بالمقولة الفلسفية الشهيرة في منتديات Reddit: إذا كانت الخدمة مجانية، فأنت المنتج.
الفكرة الأساسية وراء هجوم DDoS — أي الشكل الموزّع من هجوم DoS، والذي يُعدّ حاليًا أكثر أشكاله شيوعًا — هي، في المقام الأول، تجنيد قوة حوسبة كافية لإثقال خدمة الضحية. يتحقق ذلك عبر اختراق أجهزة ضعيفة الحماية وتثبيت برمجيات خبيثة عليها، مما يتيح للعقل المدبّر للهجوم التحكم بذلك الجهاز عن بُعد.
تُسمى مجموعة الحواسيب والخوادم وأجهزة إنترنت الأشياء المخترَقة botnet، وهي الجيش الحاسوبي للمجرمين السيبرانيين. ثانيًا، يخدم اختراق أمة الحواسيب هذه هدف إخفاء مصدر الهجوم، مما يعني أن المسؤولين عن هجمات DDoS نادرًا ما يُحاسَبون على جرائمهم.
لذا، قبل تنزيل خدمة VPN أو خدمة ويب "مجانية"، ضع في اعتبارك أن جهازك قد يُختطف لينضم إلى بوت نت إجرامي، وأنه دون علمك، قد تُنسب إلى عنوان IP الخاص بك أنشطة غير قانونية متنوعة — لا سيما هجمات DDoS.
بنية هجوم DoS
فيما يلي مثال على بنية موزّعة يخترق فيها المهاجم أجهزة متعددة عبر وحدات تحكم، مع إبقاء هويته مجهولة وتوريط أصحاب الأجهزة المجنّدة في البوت نت.
الشكل 1.1 - بنية وحدات التحكم / العملاء.
الفكرة المركزية وراء وحدات التحكم، وهي خوادم وسيطة بين المهاجم والأجهزة المصابة، هي جعل تتبّع الهاكر أو المجموعة المسؤولة عن الهجوم أمرًا صعبًا. وهكذا، تستجيب أجهزة العملاء — الجنود في الخطوط الأمامية — مباشرة لخوادم وحدات التحكم، منفّذة هجوم DoS أو DDoS على الضحية، إما عبر استغلالات أو عبر الإغراق. وبطبيعة الحال، يتحكم المهاجم في وحدات التحكم.
ما القاسم المشترك بين العملاء ووحدات التحكم؟ عادةً، سياسات أمن سيبراني ضعيفة، مثل:
- كلمات مرور ضعيفة أو افتراضية
- جدران حماية سيئة التهيئة
- أنظمة قديمة بلا تحديثات أمنية.
كذلك، تُعدّ الهندسة الاجتماعية، حيث يزوّر المجرمون بانتظام اتصالات داخلية مزيّفة باسم الشركة، مما يدفع لتثبيت برمجيات خبيثة، أو التلاعب بالموظفين لمنحهم وصولًا مميزًا إلى نظام الشركة، أو ببساطة تبادل روابط ضارة عبر البريد الإلكتروني، من أكثر الطرق فعالية لاختراق الأجهزة والتحكم بها.
الحوسبة السحابية، AI، وثورة سوق هجمات DoS
المخاطر في السحابة
لا أحد يريد أن يتذكر سنوات جائحة كوفيد-19: الإغلاقات، والأزمة الاقتصادية، وازدحام خدمات الصحة العامة، والوفيات... كانت بالفعل سنوات عصيبة. لكن أحد الآثار الدائمة — والإيجابية ربما بالنسبة للبعض — كان تسريع انتشار العمل من المنزل.
غير أن العمل من المنزل يعني، في جميع السيناريوهات الممكنة تقريبًا، الوصول إلى نظام الشركة عن بُعد. وهذا بدوره يستلزم توفّر الخدمات على السحابة.
وبعبارة مبسّطة، يمكننا تلخيص السحابة بأنها أجهزة فائقة القوة موجودة في مراكز بيانات ضخمة حول العالم، تستضيف الخدمات التجارية وتقدّمها. بعبارة أخرى، بدلًا من أن تعمل الخدمة على جهازك أو خادم شركتك، فإنها تعمل على أجهزة مزوّدي الحوسبة السحابية مثل AWS وMicrosoft Azure وGoogle Cloud.
وغالبًا ما تستعين الشركة بمزوّدَين أو ثلاثة أو أكثر من مزوّدي الحوسبة السحابية لاستضافة خدماتها. ومع ذلك، لكل سحابة إعداداتها وصلاحياتها وسجلاتها الخاصة. وقد يخلق هذا التشتت تناقضات أمنية. والأهم من ذلك، أن التبنّي الواسع للخدمات السحابية يوسّع سطح الهجوم المحتمل.
وهكذا، نرى أن أساليب هجمات DoS تتطور تبعًا لأحدث ما توصلت إليه التقنية في تلك المرحلة من التاريخ.
الحواسيب المنزلية
في تسعينيات وأوائل الألفين، أدى انتشار الحواسيب المنزلية إلى ظهور ديدان ذاتية التكاثر وبرمجيات خبيثة أخرى مثل Phatbot، التي اخترقت أنظمة Windows واستُخدمت في بناء الروبوتات الشبكية.
إنترنت الأشياء
بين عامي 2010 و2015، ضاعفت ثورة أجهزة إنترنت الأشياء (IoT) عدد الأجهزة الضعيفة الحماية بشكل كبير، مما أنتج حالات بارزة مثل Mirai.
الخدمات السحابية
بعد عام 2020، جلب التبنّي الواسع للخدمات السحابية إمكانيات جديدة ومخاطر جديدة في آن معًا. فالآن يمكن توجيه هجمات حجمية ضد خدمات سحابية حيوية، مستغلّة مرونتها، محوّلة DDoS إلى هجوم اقتصادي: إذ تستوعب السحابة حركة البيانات، لكنها تفرض رسومًا على كل طلب.
تسريع الذكاء الاصطناعي للمخاطر
في الوقت نفسه، بات الذكاء الاصطناعي يلعب دورًا محوريًا في هذه الهجمات. فبعد أن كانت تعتمد سابقًا على تنسيق يدوي من قِبل الهاكرز أو المجموعات، أصبحت الهجمات الآن مؤتمتة بواسطة خوارزميات التعلم الآلي. تحلّل هذه الأنظمة الدفاعات في الوقت الفعلي وتعدّل الهجوم في ثوانٍ، مما يجعله أكثر مرونة وصمودًا. إضافة إلى ذلك، أدى انتشار نماذج مثل FraudGPT وWormGPT إلى وضع أدوات الهجوم في متناول حتى المبتدئين. فبات صغار الهاكرز يمارسون البرمجة الزوجية مع نماذج اللغة الكبيرة (LLMs)، مما يضاعف قدرتهم على إحداث تأثير، رغم ضعف تدريبهم التقني.
الذكاء الاصطناعي يُحدث ثورة في السوق
لذا، فإن الجمع بين السحابة والذكاء الاصطناعي أحدث ثورة في سوق هجمات DDoS: إذ وفّرت السحابة النطاق والتأثير الاقتصادي، بينما وفّر الذكاء الاصطناعي القدرة على التكيّف وسهولة الوصول.
وأخيرًا وليس آخرًا، نحن نتحدث عن سوق DDoS: فتمامًا كما يمكننا استئجار خدمات البث والتخزين السحابي شهريًا، تتوفر أيضًا أسواق إجرامية لهجمات DDoS عند الطلب عبر قنوات Telegram.
بالفعل، لم يكن الهجوم على منافسك في الجمعة السوداء، أو حتى إهداء أعدائك المفضلين ملايين طلبات HTTP في الثانية، أسهل من أي وقت مضى.
تاريخ هجمات DoS
التاريخ | Description | Tech Stack | Responsible(s) |
|---|---|---|---|
2003-2004 | Emergence of the Phatbot [1] worm, which exploited vulnerabilities in Windows systems to control millions of machines, used for spam, credential theft, and massive DDoS attacks. | Exploiting vulnerabilities in Windows + self-replicating worms | No clear central authorship |
2016 | The Mirai [2] botnet, made up of millions of insecure IoT devices (cameras, routers, DVRs), was used in an attack against DynDNS, which resulted in the shutdown of global services such as Netflix & Amazon. | Exploitation of default passwords on IoT devices, creation of a massive botnet, and distributed volumetric attack | In 2017, Paras Jha, Josiah White, and Dalton Norman pleaded guilty to crimes related to the Mirai botnet. [45] By assisting the government in other investigations, they were sentenced to probation and community service without |
2016 | Exploitation of the TR-069 protocol, used by modems for remote management. Malicious files sent caused a mass reboot of millions of devices in Europe | Exploitation of the TR-069 (CWMP) protocol, sending malicious SOAP payloads [2]. | Daniel Kaye (“SpiderMan”), British hacker hired to attack a Liberian telecom company. He ended up shutting down the entire internet in Liberia. |
2018 | GitHub suffered one of the largest DDoS attacks in history at the time, with peaks of 1.3 Tbps, exploiting open memcached servers on the internet. | Memcached amplification [3] (reflection and amplification via UDP) | Not attributed to a specific group; likely operators of rented botnets (DDoS-for-hire) |
2022 | During the Russia–Ukraine war, Telegram channels coordinated DDoS attacks against government websites, banks, and private companies in both countries | Distributed botnets + coordination via Telegram bots | Killnet (pro-Russia) and the IT Army of Ukraine (pro-Ukraine) |
2022 | During the Russia–Ukraine war, Telegram channels coordinated DDoS attacks against government websites, banks, and private companies in both countries | Distributed botnets + coordination via Telegram bots | Killnet (pro-Russia) and the IT Army of Ukraine (pro-Ukraine) |
2023 | Discovery and exploitation of the HTTP/2 Rapid Reset Attack [4], in which multiple connections are opened and quickly canceled, overloading modern web servers | HTTP/2 protocol, exploitation of the pipelining mechanism and stream reset | The attack was claimed by the pro-Russia hacker activist group NoName05617 |
2025 | The social network X (formerly Twitter) was the target of a massive DDoS attack, which sought to draw political attention and cause media chaos | Botnets distributed across cloud servers + coordination on Telegram, using modern L3/L4/L7 flooding [5] techniques | Dark Storm Team, a pro-Palestinian hacker activist group. |
ملاحظة: ادّعاءات المسؤولية عن الهجمات من قِبل مجموعات القرصنة الناشطة ليست كافية لإثبات مسؤوليتها الفعلية. من المهم أن نتذكر أن هناك سوقًا لتأجير هجمات DDoS، وأن مجموعات مختلفة — بدوافع سياسية أو بدونها — تتنافس على جذب الاهتمام الإعلامي والمناصرين والمال.
لماذا يصعب مكافحة هجمات DoS
تُعدّ مكافحة هجمات DoS وDDoS واحدة من أكبر التحديات في أمن المعلومات المعاصر. وتتراوح الأسباب بين قيود تقنية وعوامل اقتصادية واجتماعية. من أبرز الصعوبات:
قابلية الهجوم للتوسّع
يمكن لمزوّدي الحوسبة السحابية استيعاب ملايين الاتصالات المتزامنة دون أن تتعطل خدماتهم. لكن كل طلب إضافي يُعالَج يولّد تكاليف — وتُحمَّل هذه التكاليف على الشركة المستهدفة. وهكذا، لا يقتصر الهجوم الحجمي على تعطيل الخدمات فحسب، بل قد يفرض خسائر اقتصادية ضخمة، محوّلًا DDoS إلى سلاح مالي.
محدودية إمكانية التتبّع
من التقنيات الكلاسيكية المستخدمة في الهجمات انتحال عنوان IP. في هذه التقنية، يزوّر المهاجم عنوان IP المصدر في الحزم المرسلة، فيجعلها تبدو وكأنها قادمة من مكان آخر. ومقترنة باستخدام وحدات التحكم (الخوادم الوسيطة) والشبكات الموزّعة، يصعب هذا من تحديد الجهة الحقيقية المسؤولة عن الهجوم. والنتيجة أن التحقيق غالبًا ما ينتهي بتتبّع أجهزة العملاء فقط — تلك المخترَقة لتكوين البوت نت — دون المهاجم الذي يدير عملية DDoS.
التشابه بين حركة البيانات المشروعة وغير المشروعة
يُعدّ التمييز بين المستخدمين الحقيقيين والبوتات من أكثر جوانب الدفاع ضد DDoS تعقيدًا. فالمهاجمون لا يرسلون حزمًا "غريبة" أو يسهل تمييزها، بل يحاكون طلبات صحيحة تمامًا، مستخدمين البروتوكولات ذاتها (HTTP/HTTPS، DNS)، والمنافذ، وصيغ البيانات نفسها التي يستخدمها الوصول المشروع. وغالبًا ما تحمل الحزم رؤوسًا صحيحة، ورموزًا صالحة، بل وتتبع أنماط تصفّح بشرية نموذجية.
ففي هجمات الطبقة السابعة، على سبيل المثال، يكون طلب GET أو POST البسيط الذي يرسله بوت مطابقًا تمامًا لذلك الذي يرسله إنسان. إضافة إلى ذلك، تطبّق بعض المجموعات تقنيات التعلم الآلي التي تحلّل حركة البيانات الحقيقية وتولّد أنماطًا تحاكيها — مستنسخة وتيرة الوصول وأوقات الذروة وحتى تفاعلات واجهات البرمجة. لذا، في جوهر الأمر، غالبًا ما يستحيل التمييز بين حركة البيانات الإجرامية والمشروعة، لكونها تأتي من مصادر متنوعة، بأنماط مشابهة لأنماط المستخدمين الشرعيين، مع فارق واضح وحيد بينهما هو الحجم — أي عدد الطلبات في الثانية.
سطح الهجوم المتوسّع
في المشهد الحالي، يخلق الاعتماد على مزوّدين متعددين للحوسبة السحابية، وانتشار أجهزة إنترنت الأشياء دون تحديثات أمنية، وانفجار واجهات برمجة التطبيقات الخاصة بأطراف ثالثة، مزيدًا من الثغرات. وتُعدّ حالة واجهات برمجة التطبيقات حرجة بشكل خاص: فبما أن التواصل يتم بين الأجهزة مباشرة، يصبح التمييز بين حركة البيانات المشروعة والضارة صعبًا للغاية. يمكن للمهاجم محاكاة طلبات صحيحة، بمتغيرات ورموز صالحة، ثم استخدامها على نطاق واسع لاستنزاف موارد النظام.
التنافس بين الهاكرز
نادرًا ما تكون هوية الجهة المسؤولة عن هجمات DDoS واضحة. فقد تدّعي مجموعات مسؤوليتها عن هجمات لم تنفّذها فعليًا، سعيًا لاكتساب الشهرة فقط. وبما أن الهجمات تُنسَّق بشكل مجهول، غالبًا عبر قنوات مثل Telegram، فإن "الادّعاء بالمسؤولية" لا يعني "الحقيقة". علاوة على ذلك، وبما أن البوت نت يُوَرِّط أصحاب أجهزة العملاء، يصبح تحديد الهاكر أو المجموعة المسؤولة فعليًا عن الهجوم أمرًا أكثر غموضًا.
خاتمة
تطورت هجمات DoS وDDoS جنبًا إلى جنب مع الإنترنت نفسه. فبعد أن بدأت كهجمات بدائية لإغراق حركة البيانات، أصبحت اليوم تجمع بين النطاق العالمي والأتمتة والذكاء الاصطناعي، لتغدو أكثر تعقيدًا وصمودًا.
إن انتشار الجريمة السيبرانية على نطاق واسع، التي تُسوَّق علنًا اليوم عبر قنوات Telegram، بخطط DDoS كخدمة، ومدفوعات بالعملات الرقمية، بل وحتى LLMs مدرَّبة للمساعدة في إنشاء البرمجيات الخبيثة مثل FraudGPT وWormGPT، تُخفّض حاجز الدخول أمام تنفيذ هجمات DDoS.
وكما يُظهر تقرير Radware للتهديدات [7]، ارتفعت هجمات DDoS على الويب بنسبة 550% من عام 2023 إلى 2024، بينما ارتفعت هجمات DDoS على الشبكة بنسبة 120%. كما نشهد توسّعًا في سطح الهجوم مع توسّع سوق الحوسبة السحابية، ويبقى المشهد المستقبلي كما كان قبل 30 عامًا: مع ظهور ميزات جديدة، تنشأ ثغرات جديدة، ستُستغل، ثم تُعالج، ثم تُستغل مجددًا، في لعبة القط والفأر الأبدية التي تحرّك أمن المعلومات الرقمي.
وفي النهاية، لا تُعدّ هجمات DDoS مجرد مشكلة تقنية — بل هي مرآة للإنترنت ذاته: مفتوح، وقوي، وهشّ في آن معًا، تذكّرنا بأن المرونة يجب أن تتطور بالسرعة نفسها التي تتطور بها التهديدات.
المراجع
-
Phatbot - Science Direct
-
ما هو شبكة Mirai botnet؟ - Malwarebytes
-
آلية عمل TR-069 - Made4it
-
أبرز 7 ثغرات أمنية في SOAP - Brightsec
-
هجمات Memcached DDoS - Cloudflare
-
هجمات Rapid Reset DDoS - Cloudfare
-
ما هي الطبقات 3 و4 و7؟ - Prophaze
DDoS: الأسئلة الشائعة
يُغرق هجوم DoS الخادم أو الشبكة بحركة بيانات مفرطة لإرهاق مواردها. والهدف هو تعطيل موقع إلكتروني أو خدمة أو تطبيق مؤقتًا عن المستخدمين الحقيقيين، عبر استنزاف عرض النطاق الترددي أو قدرة النظام.
يأتي هجوم DoS من مصدر واحد، بينما يستخدم هجوم DDoS (حجب الخدمة الموزّع) مئات أو آلاف الأجهزة المصابة حول العالم. يصعب تتبّع هجمات DDoS والدفاع عنها لأنها تظهر كحركة بيانات مشروعة قادمة من نقاط نهاية متعددة.
تُخفي شبكة VPN عنوان IP الحقيقي الخاص بك، مما يصعّب على المهاجمين استهداف جهازك مباشرة. تضيف شبكات VPN اللامركزية مثل NymVPN حماية أقوى عبر توجيه البيانات من خلال الشبكات المختلطة، بحيث لا يستطيع المهاجمون حتى تحديد أو تتبّع مصدر اتصالك.
افصل الاتصال فورًا، وأعد تشغيل الراوتر، وتواصل مع مزوّد خدمة الإنترنت أو مزوّد الاستضافة الخاص بك. قد يساعد تبديل الشبكات أو استخدام VPN في إخفاء عنوان IP الجديد الخاص بك. بالنسبة للمؤسسات، يمكن أن يساعد نشر أدوات مكافحة DDoS والتوجيه اللامركزي في التخفيف من الهجمات المستقبلية.
حول المؤلفين
بيدرو سايدنستريكر
كاتب المجتمعكيسي فورد. دكتوراه
مراجع تقني