هجمات الحرمان من الخدمات (Denial of Service Attacks) هي وسيلة لمهاجمة مزودات إنترنت من خلال إغراقها برسائل تفوق كميتها قدرة المزود على معالجتها بشكل سريع مما يسبب بطء الخدمات التي يقدمها المزود وعدم إمكانية الوصول إلى هذا المزود أواستخدامه. وهي الأسلوب المفضل لدى الهاكرز والقراصنة والعابثين الإلكترونيين لمهاجمة المواقع، خصوصا وأنه يبدو، وباعتراف الكثير من خبراء الأمن على إنترنت، وكأنه لا يوجد علاج في الوقت الحالي لهذا الأسلوب في الهجوم على مواقع إنترنت، وعلى هذا الأساس فإن هذا النوع من الهجمات يُدعى في بعض الأوساط بإيدز الإنترنت.

ما هي هجمات الحرمان من الخدمات؟

هجمات الحرمان من الخدمات كأسلوب ليست حديثة، ولكن إنترنت جعلتها فتاكة. ومبدأ هذا الأسلوب سهل ويتلخص في حتى المهاجم يقوم بإغراق الأجهزة المزودة بسيل من الطلبات والأوامر التي تفوق قدرة الجهاز المزود على المعالجة. ومن الأمثلة الظريفة والبسيطة على هذا الأسلوب هومواصلة الضغط على زر الإدخال ENTER على محطة طرفية لم تقم بعد بتسجيل الدخول إلى الشبكة Log In ولكنها مرتبطة بنوع معين من الأجهزة الإيوانية أومحطات العمل. والسبب في حتى هذا الأسلوب يمكن حتى يُصنف ضمن أساليب هجمات الحرمان من الخدمات هوحتى زر الإدخال يقوم في معظم الأحيان ببدء روتين للتعهد على الأداة ضمن نظام التشغيل، وهوروتين ذا أولوية تطبيق عالية عادة. وبمواصلة الضغط على هذا الزر يتولد طلب مرتفع على عملية المعالجة اللازمة للتعهد على الأداة (لوحة المفاتيح في هذه الحال)، مما يؤدي إلى استهلاك 100% من طاقة المعالج وجعله غير قادر على تلقي طلبات معالجة إضافية. ويؤدي ذلك إلى إحداث شلل في نظام التشغيل والذي لا يمتلك عادة الذكاء ليميز بين طلبات الدخول الشرعية، وطلبات الدخول المؤذية. وفي هذه الحالة لا توجد ميكانيكية يمكن بها الاستجابة لهذا الهجوم. ومن الأساليب الأخرى لهذا النوع من الهجوم هواستهداف الموارد الثابتة الأخرى في البنية التحتية، ومن الأمثلة على ذلك هجمات الإغراق SYN . فضمن جلسات إنترنت الاعتيادية تتم عملية أشبه بالمصافحة بين النظم، حيث يقوم أحد النظم بإصدار طلب للارتباط بنظام آخر باستخدام حزمة SYN (المزامنة). ويقوم النظام المضيف في هذه الحالة بإصدار حزمة SYN-ACK، والتي يستجيب فيها للطلب الوارد من عنوان IP معين، ويقوم بتسجيل هذا العنوان في جدول معين، وتحديد فترة معينة لبتر الاتصال إذا لم تحدث الاستجابة لهذه الحزمة، والتي يجب حتى تكون على شكل حزمة ACK يصدرها النظام الأول. وفي هجمات الإغراق، يقوم المهاجم بإرسال أكبر كمية ممكنة من حزم SYN باستخدام عناوين IP مزيفة، ويقوم النظام المضيف بتسجيل ردود حزم SYN-ACK في الجدول، والتي تظل هناك لأن المهاجم لا يقوم بإرسال حزم ACK المطلوبة، مما يؤدي إلى امتلاء الجدول بالطلبات وعدم قدرته على تلقي أية طلبات اتصال جديدة. ورغم الأذى الذي قد يلحقه هذا النوع من الهجمات فإن العلاج يكمن في خطوتين؛ الأولى هي زيادة حجم الجدول الذي يتلقى طلبات الاتصال، والثانية-وهي خطوة ملازمة للأولى-التقليل من الوقت المطلوب للاستجابة لطلبات الاتصال وذلك لحذف المدخلات غير المستخدمة بشكل أسرع. وهنالك نوع آخر من هجمات الحرمان من الخدمات، حيث يستخدم المهاجم برنامجا يقوم بتجربة الدخول إلى حسابات المستخدمين ضمن خدمة معينة من خلال تجربة كافة أسماء المستخدمين، واستعمال حدثات سر خاطئة، عمدا. وعند استخدام هذه البرمجيات فإن بعض المزودات، إذا لم يكن هنالك تأخير معين بين محاولات الدخول، تقوم بمنع المستخدمين الشرعيين من النفاذ إلى النظام. وهنالك أيضا أسلوب آخر من الهجمات يدعى "الحزم الدامعة Teardrop" حيث يرسل المهاجم حزما مشوهة بحيث يؤدي إلى انهيار عمليات معالجة عناوين IP على الجهاز المزود. وبالمثل، فهنالك أسلوب إغراق عملية المعالجة نفسها في نظام التشغيل من خلال إرسال أوامر معالجة أوإدخال طويلة (أكثر طولا مما يسمح به نظام التشغيل أوالتطبيق) Buffer Overflow، لا تقوم عمليات معالجة المدخلات ضمن نظام التشغيل بصدّها (وهي الثغرة التي استغلها واضعوفيروس الشيفرة الحمراء Code Red في مزودات مايكروسوفت ونظم تشغيلها) مما يؤدي إلى انهيار النظام.

حقائق حول هجمات حجب الخدمة

ومع ان هجمات حجب الخدمة تبدوبسيطة وتافهه احيانا بنظر المبتدئين ممن يديرون سيرفراتهم الخاصة ولكن يبقى هذا الهجوم من اخطر اعمال الهكرز ، فالاختراق يوقف المسقط بتغيير القابلة الرئيسية مثلا ، ويوقف السيرفر بعمل فورمات اوحتى الجهاز الشخصي ، وتتم اعادة نسخة احتياطية محفوظة وبسرعة ، بينما هجوم حجب الخدمة قد يوقف عمل سيرفر ويب لفترات طويلة وقدWoRlD تبتر مصالح واعمال وقد تعرضت مواقع كبيرة لشبح هذا الهجوم الفتاك وهذا الهجوم لا يقف عند حد معين اويستهدف منفذ معين WoRldاوخدمة معينة ، لكن لك خدمة هجوم وحتى تكرار تصفح المسقطTrAde بعمل تحديث اوالدخول عليه اكثر من مرة من الاف الاجهزة هجون على المنفذ 80 اومحاولة الاتصال بمئات المستخدمين على منفذ ftp وحدثا طال الهجوم وكثر الطلب على الخدمة زاد الخطر وقد تدمر عتاد الكمبيوتر بالضغط واستهلاك موارد النظام ، والحماية العملية لا تكمن في الجدار الناري لان الجدار الناري من الممكن يزيد في خطورة اذا كان مبرمج على طريقة عرض رسالة TrAdÊاوارسال رسالة عند تلقي هجوم فيزيد من الضغط على موارد النظام العملية CPU ، يجب على مدير الشبكة اوالسيرفر مراقبة البيانات واغلاق الخدمة التي تتعرض للهجوم مؤقتا حتى تجد حلا لها ويكون CeNtErبتغيير ايبي مؤقتا لكي لا ينبتر عملك ، هذا جزء من الاجزاcEnTeRمة لهذا الهجوم الجبار ، ولحسن الحظ القليل يعهد كيفية استثماره وللاسف جهل الكثيرين بطريقة الوقاية منه ووقوع الكثير من مدراء السيرفرات تحت هجمات بسيطة ولكن لم يستطيعوا حلها وادت لمشاكل اكبر .

الهجمات الموزعة

ومع ظهور الإنترنت، أصبحت هجمات الحرمان من الخدمات أكثر إثارة بالنسبة للهكرة، حيث أصبح بالإمكان استغلال أكثر من جهاز على الشبكة (بشكل شرعي أوغير شرعي) للهجوم على مسقط معين أومزوّد معين، باستخدام ما أصبح يدعى بهجوم السنافر Smurf Attack (نسبة للمسلسل الكرتوني الشهير). وفي هذا النوع من الهجمات، يقوم المعتدون باستغلال ميزة خطيرة في الشبكات التي تعتمد بروتوكول IP-وهي عنوان البث broadcast address؛ ففي الأحوال الاعتيادية يتم إرسال طلب إلى الشبكة (مثلا باستخدام أمر ping) من خلال عنوان البث، مما يؤدي إلى إعادة إنتاج وإرسال هذا الطلب إلى جميع عنوان IP على تلك الشبكة، وعندئذ يمكن لجميع النظم الموجودة على الشبكة حتى تقوم بإرسال المعلومات المناسبة إلى مصدر أمر ping . وفي حالة هجمات السنافر يحدث الحرمان من الخدمات باستخدام عناوين رأسية IP مزيفة وجعلها تقوم بإرسال أمر ping إلى عنوان البث لشبكة كبيرة، ومن ثم إعادة توجيه الإجابات إلى نظام ثالث، وهونظام الضحية. وفي هذه الحالة يتعرض الضحية بسهولة إلى الإغراق من قبل بيانات مزيفة تعترض سبيل بياناته الحقيقية. وفي عالم إنترنت اليوم تحدث هجمات الحرمان من الخدمات باستخدام أدوات وأساليب أكثر قدرة على التدمير من الأساليب القديمة، حيث يقوم الهكرة باستخدام أدوات تقوم بفحص النظم غير المحمية، ومن ثم تثبيت برامج (تُدعى بالزومبي-أوالأموات الأحياء، إشارة إلى جهل المستخدم بأنه قد تم اختراق نظامه)، وهذه الزومبي تقوم بالإنصات إلى أوامر معينة ومُشفرة من برامج رئيسة MASTER يسيطر عليها الهكرة الذين يخططون لبدء الهجوم. وفي فترة معينة يقوم البرنامج الرئيس بإرسال الأوامر إلى الزومبي، والتي تتكون من عنوان IP الذي سيتم الهجوم عليه، وتحديد أسلوب الهجوم الذي يجب حتى يتم استخدامه. وبما حتى البرنامج الرئيس يمكنه حتى يسيطر بسهولة على مئات أوألوف الزومبي، فإن النظام المستهدف لا يجدا مخرجا من الركوع في النهاية، حيث حتى مثل هذه الهجمات يمكن لها بسهولة حتى تستنزف كافة المصادر المتاحة للأجهزة المزودة التي تتعرض للهجمات. ومن أدوات هجمات الحرمان المستخدمة اليوم هناك trin00، وtfn ، وبرنامج Stacheldart، وTFN2K، وShaft، وTrinity ، والكثير غيرها. ولفهم المزيد عن هذه البرمجيات يمكن الرجوع إلى مصدر ممتاز على إنترنت موجود على العنوان (http://staff.washington.edu/dittrich/misc/ddos/).

ويتفق الخبراء اليوم على أنه لا سبيل لعلاج الهجمات الموزعة أوتفاديها. ورغم حتى البعض يقترحون استخدام أساليب التحقق من الهوية والتشفير لمعالجة حزم المعلومات المتناقلة، فإنهم يتفقون أيضا على حتى هذه الطرق غير عملية لمعالجة المشكلة على إنترنت. وهنالك اقتراحات أخرى بتضمين المعالجات إرشادات يمكنها تمييز هجمات الحرمان من الخدمات وفلترتها قبل حتى تؤثر على نظام التشغيل، وهوحل تعمل على تطويره الكثير من الشركات المنتجة لبرمجيات مكافحة هجمات الحرمان من الخدمات اليوم.

الشيفرة الحمراء

عندما ظهرت الشيفرة الحمراء في عام 2001 قدّر بعض الخبراء الخسائر الناجمة عن هذا الفيروس بنحو2 مليار دولار والاسم التقني لهذا الفيروس يشير إلى الثغرة التي يستغلها هذا الفيروس وهوBuffer overflow ، وهي ثغرة موجودة في مزودات مايكروسوفت IIS في الإصدارات أربعة وخمسة التي تعمل ضمن ويندوز 2000 أوالإصدارات التجريبية من ويندوز أكس بي. تخيل مسقطا بحاجة للدخول إليه إلى اسم مستخدم وحدثة سر، ثم تخيل أنك قمت باستعمال اسم مستخدم يتكون من مليون حرف!! ما يحصل في بعض النظم، والتي لم يتم بها تحديد الحد الأقصى لحجم المتغيرات، هوأنها إما تنهار أوتسمح للمستخدم بالدخول. أما في حالة الثغرة الموجودة في برمجيات مايكروسوفت المذكورة أعلاه فهوحتى النظام يسمح للهاكر بالدخول، ومن ثم تطبيق أية مجموعة يريدها من الأوامر. ويستغل فيروس، أودودة، الشيفرة الحمراء هذه الثغرة لينفذ إلى المزودات، ومن ثم الانتشار إلى مزودات أخرى، ليتحول إلى هجمة حرمان من الخدمات، حيث يقوم باستهلاك نطاقات الموجة للبحث عن ومسح مجموعات من عناوين IP المولّدة شبه عشوائيا. وقد كان الفيروس فعالا في الانتشار إلى حد أنه تمكن من الوصول إلى 250 ألف نظام في الساعات التسعة الأولى من ظهوره. وخلال هذه الساعات قام الفيروس بوضع العبارة " Welcome to www.worm.com Hacked by Chinese!" كاستجابة لأية طلبات لوصلات HTTP . وتبدأ هذه الفترة في اليوم الأول من الشهر وتستمر حتى اليوم التاسع عشر منه (من أي شهر). وفي فترة الإغراق، وهي الفترة الثانية، والتي تتواصل في الفترة ما بين 20 و27 من أي شهر، فإن الفيروس قام باستهداف عناوين IP الخاصة بالبيت الأبيض الأمريكي، والذي تمكن من مكافحة الهجوم بتغيير عنوان IP ضمن نظام أسماء النطاقات المركزي. ومع ذلك، فإن مشتقات هذه الدودة، والتي ظهرت لاحقا، تقوم باستخدام أساليب أخرى للاستهداف. فبالإضافة إلى استخدام العناوين المكتوبة بالحروف، وليس بأرقام IP فقط، فإن المشتقات الجديدة يمكنها استهداف مواقع في بلدان معينة، أوأنطقيم معينة. وفي الفترة الثالثة فإن الدودة تخلد إلى النوم، حتى بداية الدورة في الشهر التالي.

مشتقات الشيفرة الحمراء

وبالنسبة لمشتقات دودة الشيفرة الحمراء الأصلية، فقد كانت أكثر ذكاء وقدرة على الانتشار، حيث أنها لم تقم بالبحث عن نفس القائمة من عناوين IP ، كما أنها لم تستخدم الرسالة الإنجليزية الأصلية، مما أطال من فترة الاكتشاف والانتشار. وبدلا من أسلوب التخريب الأول فإن المشتقات الجديدة تقوم بوضع فيروسات طروادية، تقوم بفتح مسالك للنفاذ إلى الأجهزة المصابة بالفيروس، والتي لم يتم معالجة الثغرة بها، مما يسمح للهكرة مستقبلا باستخدام هذه الأجهزة لشن هجمات جديدة للحرمان من الخدمات. كما حتى المشتقات الجديدة كما ذكرنا تقوم بتوليد عناوين IP عشوائية للعثور على أجهزة جديدة لاختراقها.

الشيفرة الحمراء ليس حكرا على مايكروسوفت فقط

ربما تكون قد سمعت في الأنباء، أوقرأت على المواقع التقنية، بأن دودة "الشيفرة الحمراء" يؤثر فقط على المواقع التي تستخدم مزودات مايكروسوفت. وإذا اعتقدت أنك بأمان لأنك لا تستخدم منتجات مايكروسوفت، فإنك مخطئ. فالشيفرة الحمراء كما أوضحنا، وأثناء بحثها عن عناوين جديدة لاختراقها، ترسل رسائلها إلى جميع المزودات دون استثناء، حيث تقوم بإرسال أمر GET بحثا عن الملف default.ida يتبع ذلك أمر طويل ليس له معنى. ويعني ذلك أنه يصبح لزاما على المزود حتى يقوم بمعالجة مجموعة كبيرة من حزم get، مما قد يؤدي إلى إحداث بعض الضغوط على الأداء. وبالإضافة إلى ذلك، إذا كان لديك مزود وسيط يقوم بتسريع أداء مزود ويب، فإنه يقوم بإرسال هذه الأوامر إلى مزود الويب، والذي رغم أنه قد لا يتعرض للعدوى بالفيروس، فإنه حتما سيعاني من تراجع في الأداء نتيجة للكم الضخم من الحزم التي سيكون عليه معالجتها. لذلك احرص على زيارة مسقط إنترنت الخاص بالشركة المنتجة لمزود الويب الذي تستخدمه، وابحث عن الرقع البرمجية الخاصة بدودة الشيفرة الحمراء.

مراجع لمكافحة هجمات الحرمان من الخدمات

من أفضل الأدلة على إنترنت، هوالوثيقة التي نشرها معهد إدارة النظم وأمن الشبكات SANS على العنوان (http://www.sans.org/dosstep/index.php). ويستعرض هذا الدليل المراحل اللازم اتخاذها لإنشاء دفاعات قوية ضد هجمات حزم البيانات المستخدمة في هجمات الحرمان. ومن الأدلة المفيدة الأخرى، هنالك الوثيقة الموجودة على العنوان (http://www.cisco.com/warp/public/707/newsflash.html) والتي تبين لمدراء الشبكات التي تعتمد نظم سيسكوكيفية صد هجمات الحرمان الموجهة ضد موزعات الشركة. ولاكتشاف برمجيات الزومبي وتدميرها على الأجهزة المُستغفلة تقدر استخدام برنامج "بيست باترول Pestpatrol من شركة سيفرسايت، وهي على العنوان (http://www.pestpatrol.com)، وهوبرنامج يقوم بمكافحة برامج الزومبي اللافيروسية. ولاستكشاف قوة البرنامج، وما يمكنه مكافحته تقدر التوجه إلى العنوان (http://www.pestpatrol.com/PestPatrol/PestPatrolCategories.asp). وباختصار فإن هذا البرنامج يقوم باكتشاف وتدمير 138 أداة من برمجيات الحرمان من الخدمات، و24 أداة لهجمات الحرمان الموزعة. ويحتوي المسقط على قاعدة بيانات تدعم ميزة البحث، وهي على العنوان (http://www.pestpatrol.com/PestPatrol/pestdatabase.asp). كما يمكننا التوجه إلى شركة Sophos العملاقة والزعيم العالمي لحماية الأعمال للنظر في برنامجها ZombieAlert وهي خدمة تستطيع التعهد على الحواسب المصابة بشكل في الشبكة وتعطي تنبيها للجهاز المصاب . وهذا ما يسمى بجهاز Zombie وهي الحواسب يتم التحكم الغير نظامي بها من قبل مستخدمين على الشبكة وتتيح لهم أرسال رسائل مزعجة Spam من هذا الحاسب أوالقيام بعمليات هجوم على مواقع الأنترنيت باستخدام DoS Deinal of Service وقد أشارت مخابر Sophpos قسم تحليل الرسائل المزعجة على الشبكة - إلى أكثر من 50% من الرسائل المزعجة تأتي من حواسب مخترقة Zombie والحواسب المصابة تصبح وكأنها المصدر الأساسي للرسائل المزعجة مما يضر بسمعة المنظمات والشركات بل قد يتسبب في جعل الأخرين يمنعون من استقبال الرسائل من هذه الشركات www.sophos.com Zombie Alert ينبه إلى وجود حاسب مصاب على الشبكة من خلال متابعة الرسائل المزعجة على الشبكة ومباشرةً يعطي تنبيها طالما غدا هذا الحاسب مسجلا في القائمة السوداء لمرسلي الرسائل المزعجة وبذلك يتمكن المستخدم من تحديد الحاسب المصاب والتخلص من الأصابة وتأمين الحماية للنظام من هجمات مستقبلية. وبعيداً عن المستخدمين فأن المنظمات الحكومية والتعليمة هي أكثر عرضة للأصابة لأحتووائها على أنظمة الدخول من بعيد وتقدم مخابر Sophos يومياً على مدار الساعة أخر أخبار التهديدات وهذه الأخبار تتيح الفرصة للشركات لأزالة الأصابة من حواسبها . ويمكنك التعهد على هذه الخدمة من المسقط http://www.sophos.com/products/es/zombiealert/

وصلات خارجية

• أخبار فيروسات الحاسوب