تعرف على هجمات الحرمان من الخدمة

أكدت العديد من التقارير تزايد عدد الهجمات من خلال الشبكة (الإنترنت) وازدياد شدتها وتأثيرها التدميري عاماً بعد الآخر وتأثيرها على مبيعات المواقع والخدمات عبر الشبكة. ويرجع ذلك إلى عدة أسباب من أخطرها ما يعرف بـ"هجمات الحرمان من الخدمات" أو "هجمات حجب من الخدمة" (Denial of Service Attacks) مختصرة بعبارة DoS.

v     ماهي هجمات الحرمان من الخدمة؟

هجمات الحرمان من الخدمات كأسلوب ليست حديث، ولكن الشبكة جعلتها فتاكة. ومبدأ هذا الأسلوب بسيط ويتلخص في أن المهاجم يقوم بإغراق الأجهزة المزودة بسيل من الطلبات والأوامر التي تفوق قدرة الجهاز المزود على المعالجة. ومن الأمثلة  البسيطة على هذا الأسلوب هو مواصلة الضغط على زر الإدخال ENTER على مطراف (Terminal) لم تقم بعد بتسجيل الدخول إلى الشبكة Log In ولكنها مرتبطة بنوع معين من الأجهزة الإيوانية أو محطات العمل. والسبب في أن هذا الأسلوب يمكن أن يُصنف ضمن أساليب هجمات الحرمان من الخدمات هو أن زر الإدخال يقوم في معظم الأحيان ببدء روتين للتعرف على الأداة ضمن نظام التشغيل، وهو روتين ذو أولوية تنفيذ عالية عادة. وبمواصلة الضغط على هذا الزر يتولد طلب مرتفع على عملية المعالجة اللازمة للتعرف على الأداة (لوحة المفاتيح في هذه الحال)، مما يؤدي إلى استهلاك 100% من طاقة المعالج وجعله غير قادر على تلقي طلبات معالجة إضافية. ويؤدي ذلك إلى إحداث شلل في نظام التشغيل الذي لا يمتلك عادة الذكاء ليميز بين طلبات الدخول الشرعية، وطلبات الدخول المؤذية. وفي هذه الحالة لا توجد ميكانيكية يمكن بها الاستجابة لهذا الهجوم.

من الأساليب الأخرى لهذا النوع من الهجوم هو استهداف الموارد الثابتة الأخرى في البنية التحتية، ومن الأمثلة على ذلك هجمات الإغراق SYN. فضمن جلسات الشبكة (الإنترنت)الاعتيادية تتم عملية أشبه بالمصافحة بين النظم، حيث يقوم أحد النظم بإصدار طلب للارتباط بنظام آخر باستخدام حزمة SYN (المزامنة). ويقوم النظام المضيف في هذه الحالة بإصدار حزمة SYN-ACK، والتي يستجيب فيها للطلب الوارد من عنوان IP معين، ويقوم بتسجيل هذا العنوان في جدول معين، وتحديد فترة معينة لقطع الاتصال إذا لم تحدث الاستجابة لهذه الحزمة، والتي يجب أن تكون على شكل حزمة ACK يصدرها النظام الأول. وفي هجمات الإغراق، يقوم المهاجم بإرسال أكبر كمية ممكنة من حزم SYN باستخدام عناوين IP مزيفة، ويقوم النظام المضيف بتسجيل ردود حزم SYN-ACK في الجدول، والتي تبقى هناك لأن المهاجم لا يقوم بإرسال حزم ACK المطلوبة، مما يؤدي إلى امتلاء الجدول بالطلبات وعدم قدرته على تلقي أية طلبات اتصال جديدة. ورغم الأذى الذي قد يلحقه هذا النوع من الهجمات فإن العلاج يكمن في خطوتين؛ الأولى هي زيادة حجم الجدول الذي يتلقى طلبات الاتصال، والثانية-وهي خطوة ملازمة للأولى-التقليل من الوقت المطلوب للاستجابة لطلبات الاتصال وذلك لحذف المدخلات غير المستخدمة بشكل أسرع.

v     أنواع هجمات الحرمان من الخدمة :

هناك ثلاثة أنواع من هجمات حجب الخدمة (denial-of-service attack) :

·         الهجمات التي تستغل خطأ برمجي Bug في بناء TCP/IP

·         الهجمات التي تستغل تقصير في مواصفات TCP/IP

·         الهجمات التي تعيق المرور في شبكتك حتى لا تستطيع أي بيانات ان تصل إليها أو تغادرها.

و الهجمتان المميتتان المشهوران بينج الموت (Ping Of Death) والهجمه الدمعة Teardrop، يصنفان مع النوع الأول.فهجمه Ping Of Death تستخدم أي برنامج Ping لتخلق حزمه IP تتعدى الحد الأقصي (65536 بايت) من البانات المسموح بها لحزمة IP.و تلك الحزمة بإرسالها إلى اي نظام من الممكن لهذا النظام ان ينهار أو يتوقف عن العمل أو يعيد التشغيل من تلقاء نفسه. وتلك الهجمة ليست بجديده وكل منتجي أنظمة التشغيل قاموا بعلاجها.

أما عن الهجمه Teardrop فهي تستغل ضعف في إعادة تجميع اجزاء حزمة ال IP. خلال رحلتها في الشبكة (الأنترنت)،تقسم حزمة ال IP إلى اجزاء اصغر.و كل جزء يبدوا مثل الحزمه الأصلية ما عدا أنه يحتوي على حقل يقول -كمثال- "هذا الجزء يحمل البايتات من 600 إلى 800 من الحزمة الأصلية غير المجزئه". هجمة Teardrop تخلق حزمة IP مجزئة ولكنها متداخلة Overlapped في محتويات حقل تعريف هذا الجزء. وعندما يتم تجميع تلك الحزمه من جديد بعض الأنظمة قد تنهار وبعضها يتوقف عن العمل وبعضها قد يعيد تشغيلة من تلقاء نفسه.

هنالك نوع آخر من هجمات الحرمان من الخدمات، حيث يستخدم المهاجم برنامجا يقوم بتجربة الدخول إلى حسابات المستخدمين ضمن خدمة معينة من خلال تجربة كافة أسماء المستخدمين، واستعمال كلمات سر خاطئة، عمدا. وعند استخدام هذه البرمجيات فإن بعض المزودات، إذا لم يكن هنالك تأخير معين بين محاولات الدخول، تقوم بمنع المستخدمين الشرعيين من النفاذ إلى النظام. وهنالك أيضا أسلوب آخر من الهجمات يدعى "الحزم الدامعة Teardrop" حيث يرسل المهاجم حزما مشوهة بحيث يؤدي إلى انهيار عمليات معالجة عناوين IP على الجهاز المزود. وبالمثل، فهنالك أسلوب إغراق عملية المعالجة نفسها في نظام التشغيل من خلال إرسال أوامر معالجة أو إدخال طويلة (أكثر طولا مما يسمح به نظام التشغيل أو التطبيق) Buffer Overflow، لا تقوم عمليات معالجة المدخلات ضمن نظام التشغيل بصدّها (وهي الثغرة التي استغلها واضعو فيروس الشيفرة الحمراء Code Red في مخدمات مايكروسوفت ونظم تشغيلها) مما يؤدي إلى انهيار النظام.

v     حقائق حول هجمات الحرمان من الخدمة :

مع ان هجمات حجب الخدمة تبدو بسيطة وتافهه أحيانا بنظر المبتدئين ممن يديرون خواديمهم الخاصة ولكن يبقى هذا الهجوم من اخطر اعمال الهكرز، فالاختراق يوقف الموقع بتغيير الواجهة الرئيسية مثلا، ويوقف الخادوم بعمل فورمات أو حتى الجهاز الشخصي، وتتم اعادة نسخة احتياطية محفوظة وبسرعة، بينما هجوم حجب الخدمة قد يوقف عمل الخادوم (Servers) لفترات طويلة وقد تقطع مصالح واعمال وقد تعرضت مواقع كبيرة لشبح هذا الهجوم الفتاك وهذا الهجوم لا يقف عند حد معين أو يستهدف منفذا معينا أو خدمة معينة، لكن لك خدمة هجوم وحتى تكرار تصفح الموقع بعمل تحديث أو الدخول عليه أكثر من مرة من آلاف الأجهزة هجوم على المنفذ80 أو محاولة الاتصال بمئات المستخدمين على منفذ FTP.

كلما طال الهجوم وكثر الطلب على الخدمة زاد الخطر وقد تدمر عتاد الحاسوب بالضغط واستهلاك موارد النظام، والحماية الفعلية لا تكمن في الجدار الناري لأنه ربما يزيد في خطورة إذا كان مبرمج على طريقة عرض رسالة أو إرسال رسالة عند تلقي هجوم فيزيد من الضغط على موارد النظام الفعلية CPU، يجب على مسؤول الشبكة أو الخادوم مراقبة البيانات واغلاق الخدمة التي تتعرض للهجوم مؤقتا حتى تجد حلا لها ويكون بتغيير ايبي مؤقتا لكي لا ينقطع عملك، هذا جزء من الاجزامة لهذا الهجوم الجبار ،ولحسن الحظ القليل يعرف كيفية استثماره وللاسف جهل الكثيرين بطريقة الوقاية منه ووقوع الكثير من مدراء الخواديم تحت هجمات بسيطة ولكن لم يستطيعوا حلها وادت لمشاكل أكبر.

v     الحماية من هجمات الحرمان من الخدمات :

·         ما هو نظام (Dos.deny)

نظام الحماية Dos.deny هو نظام مخصص لاكتشاف هجمات الحرمان من الخدمة DOS والتصدي لها ومنعها من التأثير على أداء المخدمات أو المواقع التي تسعمل هذا النظام، ولمن لا يعرف ما هي عمليات الحرمان من الخدمة، فهي قيام شخص باستهداف موقع ما وذلك بإرسال قدر هائل من طلبات التصفح HTTP Request بغرض منع الموقع من العمل بشكل سليم أو إبطاء عمل الموقع، أو حتى الإطاحة بشكل كامل بخادوم الموقع بحيث يقف نظام الخادوم (Apache / IIS...) عن العمل نهائيا جراء الكم الهائل من أوامر التصفح.

• كيف يعمل نظام Dos.deny

عن طريق إضافة سطر واحد إلى ملفات موقعك، سيكون بإمكان النظام قراءة رقم IP لكل زائر، وعن طريق تخزين هذه الأرقام وتتبعها وفقاً لخوارزمية معينه سيكون بمقدور النظام اكتشاف عمليات الحرمان من الخدمة وذلك بضوابط يمكن لمدير الموقع التحكم بها من خلال لوحة التحكم, بمعنى أنه يمكنك تحديد عدد المحاولات والفترة التي تقع فيها هذه المحاولات، والتي على أساسها يمكن الحكم ان هذا الأي بيIP يقوم بهجمة للحرمان من الخدمة. عندها سيقوم النظام بالكتابة في ملفات من نوع .htaccess وذلك لمنع ذلك IP من الوصول إلى الموقع أو أجزاء منه.

v     هل يدعم هذا النظام هجمات الحرمان من الخدمة الموزعة (DDOS)

ليس بشكل كامل.. لن يستطيع هذا النظام الحماية من هجمات الحرمان من الخدمة الموزعه DDOS إذا كانت الهجمات تتم عن طريق عدد كبير جدا من أرقام الأي بي، اما إذا كانت الهجمه تتم عن طريق عدد محدود من أرقام الأي بي، فمن خلال ضبط الإعدادات بشكل أكثر صرامة سيكون بمقدورك إيقاف أو الحد من هذه العمليات بشكل كبير.

v     حلول لتفادي هجمات الحرمان من الخدمة :

توجد معلومات تقنية مهمة، للتصدي لهجمات حجب الخدمة إذا كنت تعمل مديراً لشبكة ويب، أو كنت مسؤولاً عن أحد مواقع ويب، فمن المؤكد أن تكون عمليات التشويه وحجب الخدمة الأخيرة، التي تمت خلال شهر فبراير، والتي طالت أكبرمواقع إنترنت في الدول العربية والعالم، سببت لك قلقاً كبيراً على وظيفتك، وربما بعضاً من الكوابيس ليلاً! وننصحك لذلك، بالاطلاع على الدراسات التقنية في المواقع التالية، التي تشرح بتوسع طرق عمل عمليات حجب الخدمة، مع عرض أفضل الوسائل التقنية للوقاية منها، وتحري مصادرها: خلاصة ورشة عمل، أجرتها منظمة CERT، للتعامل مع هجمات حجب الخدمة.

وثبت ايضا وجود برامج جديدة لشن هجمات حجب الخدمة الموزعة حيث استخدمت جميع هجمات حجب الخدمة التي تمت في الماضي، برامج من نوع حصان طروادة، لا تعمل إلا على أنظمة يونكس، ولينكس فقط، ما يعني أن مستخدمي أنظمة ويندوز كانوا في أمان نسبي، من أن ُتستخدم أجهزتهم، بدون علمهم، لشن هجمات على مواقع إنترنت معينة. لكن شركة TrendMicro، التي تعمل في مجال الحماية من الفيروسات، كشفت أواخر الشهر ذاته، عن انتشار برنامج TROJ-TRINOO الجديد من نوع حصان طروادة، تمت برمجته لشن هجمات حجب الخدمة هذه المرة، من أنظمة ويندوز. وهذا البرنامج هو عميل (حوسبة) لبرنامج Trinoo، الذي يعمل كمركز القيادة، لشن هذه الهجمات.. فإذا تمكن أحد المخترقين من دس هذه البرمجية في نظامك، فإنه سيتمكن من استخدام جهازك لشن الهجمات على أي مزود متصل بإنترنت. ولا يحتاج في هذه الحالة، إلا إلى معرفة عنوان IP لجهازك، خلال اتصالك بإنترنت.

v     الحماية من برنامج Trinooويمكنك التأكد من خلو نظامك من هذا البرنامج، كما يلي:

افصل اتصال جهازك بإنترنت، ثم شغّل برنامج محرر سجل النظام، واذهب إلى المفتاح :

 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run

وابحث عن الملف SERVICE.EXE ، الموجود أصلاً في أنظمة ويندوز 2000 واحذفه من النظام، إن وجد، ثم أعد تشغيل الجهاز. ويمكنك التأكد من أن الملف الذي تحذفه هو هذا البرنامج الخبيث، بالتأكد من حجمه، الذي يعادل 23145 بايت وجدير بالذكر أن معظم برامج الحماية من الفيروسات ستطرح تحديثات تحمي من هذا البرنامج، في أحدث إصداراتها.

4:51:00 م