فهم حماية Anti-DDoS في الاستضافة

بقلم · نُشر في · تاريخ التحديث

كل ما تحتاج معرفته عن هجمات DDoS وحماية Anti-DDoS لدى مزود الاستضافة. شرح مبسط للمستويات L3 وL4 وL7.

اطلع على عروض VPS اطلب عرض سعر

يتمثل هجوم DDoS (الحرمان الموزع من الخدمة) في إغراق خادمك بالطلبات لجعله غير متاح. ووفقا لـ Cloudflare، تعرض أكثر من 30% من المواقع لهجوم DDoS واحد على الأقل خلال العام.

تقوم حماية Anti-DDoS لدى مزود الاستضافة بتصفية هذه الهجمات قبل وصولها إلى خادمك. تتضمن By-Hoster حماية Anti-DDoS من المستويات L3/L4/L7 في جميع العروض.

في عام 2026، أصبحت هجمات DDoS أمرا شائعا: حزم «DDoS-as-a-Service» متاحة مقابل بضعة يوروهات في المنتديات، وشبكات botnet ضخمة من أجهزة إنترنت الأشياء (Mirai ومتغيراتها)، وقدرات هجوم تتجاوز التيرابت في الثانية. يمكن استهداف أي موقع أو خادم متصل بالإنترنت، صدفة أو عمدا. يشرح هذا الدليل كيفية عمل هجوم DDoS فعليا، وأنواعه الشائعة، وأساليب التخفيف منه، وكيفية التحقق من جدية الحماية التي يعلن عنها مزود الاستضافة.

المستويات الثلاثة لهجمات DDoS

  • L3 (طبقة الشبكة): هجمات على الشبكة (ICMP flood، IP fragmentation). حجم هائل (قد يبلغ Tbps)
  • L4 (طبقة النقل): هجمات TCP/UDP (SYN flood، UDP flood). تؤدي إلى تشبع جدول الاتصالات
  • L7 (طبقة التطبيقات): هجمات HTTP/HTTPS (slowloris، HTTP flood). تحاكي حركة مرور مشروعة، وتصفيتها أصعب

أنواع هجمات DDoS الشائعة في 2026

بعيدا عن طبقات OSI، تصنف هجمات DDoS حسب التقنية المستخدمة. ومعرفة أهمها تساعد على فهم ما يجب أن تتمكن حماية Anti-DDoS جادة من تصفيته.

  • SYN flood: يرسل المهاجم كميات هائلة من حزم TCP SYN دون إكمال المصافحة الثلاثية (3-way handshake) أبدا، مما يشبع جدول اتصالات الخادم. التخفيف: SYN cookies، وتحديد المعدل لكل IP.
  • UDP flood: إرسال كميات هائلة من حزم UDP إلى منافذ عشوائية. يحاول الخادم الرد بـ «port unreachable»، مما يشبع عرض النطاق. التخفيف: تحديد معدل UDP، وتوجيه المنافذ غير المستخدمة إلى blackhole.
  • التضخيم عبر DNS / NTP / Memcached: يستعلم المهاجم خادم DNS/NTP/Memcached بعنوان IP مصدر مزيف (عنوانك)، فيرد الخادم بحمولة أكبر بـ 50 إلى 50000 مرة. أعلى قدرة مسجلة: 2,5 Tbps عبر Memcached.
  • HTTP flood (L7): آلاف البوتات ترسل طلبات GET/POST تبدو مشروعة لكن إلى عناوين URL مكلفة (البحث، السلة، تسجيل الدخول). التخفيف: تحدي JavaScript، وCAPTCHA، وبصمة البوتات.
  • Slowloris: فتح آلاف اتصالات HTTP شبه الفارغة وإبقاؤها ببطء شديد. يؤدي إلى تشبع عمليات Apache/Nginx دون عرض نطاق كبير. التخفيف: مهلات انتهاء صارمة، وmod_qos.
  • DDoS الفدية (RDoS): ابتزاز من نوع «ادفع X بيتكوين وإلا شننا هجوما بقوة Y Gbps». في 2026، أعادت عدة مجموعات (REvil، Lapsus$) إحياء هذه الممارسة.

كيف تعمل حماية Anti-DDoS لدى By-Hoster

تحلل بنيتنا للتصفية المسبقة (بقدرة عدة Tbps) حركة المرور في الوقت الفعلي وتحظر الحزم الضارة قبل وصولها إلى خادمك. تصفية تلقائية على L3/L4 وقواعد تطبيقية L7 قابلة للتخصيص.

  • التصفية المسبقة (BGP scrubbing): تمر حركة المرور الموجهة إلى نطاقات IP الخاصة بنا عبر مراكز تصفية قبل وصولها إلى بنيتنا DC-FR_NA(01) في Nouvelle-Aquitaine. ويتم التخلص من الحزم الضارة من المصدر.
  • الكشف التلقائي: خوارزميات خط الأساس (تعلم حركة المرور العادية) + بصمات معروفة (حزم DDoS) + أساليب استدلالية (معدل الحزم في الثانية لكل IP مصدر). تفعيل التخفيف خلال ثوان.
  • تصفية L3/L4: تدار تلقائيا ودون أي تأثير ملحوظ على العميل. تحظر SYN floods وUDP floods وهجمات التضخيم بالانعكاس (DNS، NTP، Memcached، SSDP) والتجزئة المسيئة.
  • تخفيف L7: قواعد تطبيقية قابلة للضبط (تحديد المعدل لكل URL، تحدي JS، حظر user-agent، الحظر الجغرافي). يمكن للعميل تعديلها عبر لوحة التحكم أو الدعم الفني.
  • لا انقطاع في الخدمة: لا يلاحظ المستخدمون الشرعيون أي شيء (ربما زيادة 5-20 ms في زمن الاستجابة أثناء التخفيف النشط). يبقى موقعك متاحا.

ماذا تفعل أثناء هجوم DDoS جار؟

حتى مع وجود حماية Anti-DDoS جادة مسبقا، هناك إجراءات من جانبك تعزز الصمود. إليك قائمة التحقق الواجب اتباعها عند اكتشاف هجوم (زمن استجابة غير طبيعي، أخطاء 503، تنبيهات المراقبة):

  • تأكيد الهجوم: tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20 يعرض عناوين IP الأكثر إرسالا للطلبات. إذا رأيت أكثر من 50 عنوان IP أجنبيا يرسل كل منها مئات الطلبات في الثانية، فالأرجح أنه هجوم.
  • التواصل فورا مع دعم مزود الاستضافة: يفعّل الدعم الجاد تخفيفا معززا خلال دقائق. زوّدهم بعنوان IP المستهدف والسجلات ووقت بدء الهجوم.
  • تفعيل وضع «under attack»: توفر Cloudflare وضع JS Challenge الذي يلزم جميع الزوار باجتياز تحد في المتصفح. يحظر 99 % من البوتات، مع تأثير طفيف على تجربة المستخدمين البشر.
  • تحديد المعدل على مستوى التطبيق: في Nginx، أضف limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; ثم limit_req zone=one burst=20; داخل كتلة location.
  • حظر جغرافي مؤقت: إذا كان الهجوم يأتي غالبا من بلد لا تتلقى منه أي حركة مرور مشروعة، فاحظر هذا البلد باستخدام iptables + GeoIP أو عبر Cloudflare ببضع نقرات.
  • التوثيق لما بعد الهجوم: احتفظ بالسجلات وعناوين IP والأنماط. غالبا ما يتبع هجوم DDoS محاولات أخرى، وتتيح سجلاتك تحسين قواعد التخفيف.

خرافات ومفاهيم خاطئة حول Anti-DDoS

  • «موقعي أصغر من أن يتعرض للهجوم»: خطأ. تستهدف الهجمات الانتهازية نطاقات IP كاملة، ويكفي أن يُستهدف عنوان IP مجاور لك حتى تتأثر بشكل جانبي. كما تستهدف هجمات RDoS الشركات الصغيرة والمتوسطة عشوائيا للحصول على فدية «معتدلة».
  • «Cloudflare المجاني يكفي لكل شيء»: يحمي Cloudflare فقط حركة HTTP/HTTPS التي تمر عبر شبكته. إذا عرف أحدهم عنوان IP الأصلي لخادمك (عبر تسريب DNS قديم، أو شهادة SSL، أو ترويسة بريد إلكتروني)، فإنه يتجاوز Cloudflare ويهاجم مباشرة. لذا تبقى الحماية على مستوى مزود الاستضافة ضرورية.
  • «الحماية من DDoS تبطئ موقعي»: في الظروف العادية (دون هجوم)، تضيف حماية Anti-DDoS المصممة جيدا أقل من 1 ms من زمن الاستجابة. وأثناء التخفيف النشط، قد يصل ذلك إلى 5-20 ms. وهذا غير ملحوظ مقارنة بهجوم غير مخفف يجعل الموقع غير متاح.
  • «أحتاج إلى جدار حماية على VPS الخاص بي لصد هجمات DDoS»: هذا خطأ بالنسبة إلى الهجمات الحجمية (L3/L4). إذا كان اتصالك بسرعة 1 Gbps مشبعا بهجوم حجمه 100 Gbps، فلا فائدة من جدار الحماية: الحركة وصلت بالفعل إلى واجهتك. يجب أن تتم التصفية في المنبع. ويبقى جدار الحماية مفيدا ضد هجمات L7 الموجهة.
  • «إذا فعّلت Anti-DDoS فلن أحتاج بعد الآن إلى fail2ban»: خطأ. Anti-DDoS = هجمات حجمية موزعة. fail2ban = هجمات القوة الغاشمة والفحص الموجه. الاثنان متكاملان، لا يغني أحدهما عن الآخر.

كيف تتحقق من جدية الحماية التي يعلن عنها مزود الاستضافة؟

يعلن كثير من مزودي الاستضافة عن «Anti-DDoS مضمنة» دون تفاصيل. إليك المعايير التي تميز الحماية الحقيقية عن التسويق الفارغ:

  • سعة التصفية المعلنة: تعلن حماية Anti-DDoS الجادة عن سعتها (Gbps أو Tbps). إذا بقيت الوثائق غامضة، فاسأل الدعم الفني عن سعة التخفيف لكل IP والسعة الإجمالية.
  • المستويات L3/L4/L7: تصفي حماية Anti-DDoS الاحترافية المستويات الثلاثة. إذا لم يذكر العرض سوى «تصفية الشبكة» دون L7، فأنت معرض لهجمات HTTP flood.
  • نشطة دائما أم عند التفعيل: وضع «always-on» أفضل (تخفيف فوري). أما «عند التفعيل» فيعني بضع ثوان أو دقائق من عدم التوفر قبل أن تعمل الحماية.
  • مضمنة أم خيار مدفوع: حماية Anti-DDoS التي تُفوتر برسوم إضافية مؤشر سلبي. يضمنها مزودو الاستضافة الجادون (فتكلفتها هامشية مقارنة ببنية التصفية).
  • التواصل بعد الهجوم: اطلب الاطلاع على تقرير نموذجي لما بعد الحادث. يقدم مزود الاستضافة الجاد بعد أي هجوم: التاريخ، والمدة، والحجم، ونوع الهجوم، وعناوين IP المصدر الرئيسية.

الأسئلة الشائعة

نعم، يمكن لأي موقع أن يقع ضحية، غالبا بالصدفة (لكونه ضمن نطاق IP مستهدف) أو بشكل متعمد (منافس، أو مستخدم سابق غير راض). لهذا يجب أن تكون حماية Anti-DDoS مضمنة، لا خيارا مدفوعا.

سعة التصفية لدينا تبلغ عدة Tbps، وهي أعلى بكثير من الهجمات المعتادة (1-50 Gbps). وتبقى الهجمات القياسية عالميا (3 Tbps) ضمن قدراتنا على التخفيف.

القليل جدا. خدمات «DDoS-as-a-Service» (booter وstresser) متاحة مقابل 5 إلى 50 €/شهريا في المنتديات السرية، وتوفر هجمات بقوة 10-100 Gbps عند الطلب. ولهذا تحديدا أصبحت الهجمات شائعة: نسبة التكلفة إلى الضرر في صالح المهاجم بشكل كبير.

يعد Cloudflare ممتازا على مستوى L7 ولحركة HTTP/HTTPS، لكنه يتطلب ألا يُكشف عنوان IP الأصلي أبدا. عمليا، كثيرا ما يتسرب هذا العنوان (سجلات DNS قديمة، شهادات SSL سابقة، ترويسات البريد الإلكتروني). لذا تبقى حماية Anti-DDoS على مستوى مزود الاستضافة مكملة وضرورية لصد الهجمات التي تتجاوز Cloudflare وتستهدف عنوان IP مباشرة.

يأتي هجوم DoS (Denial of Service) من مصدر واحد (مهاجم واحد، عنوان IP واحد)، ويسهل صده (جدار حماية). أما هجوم DDoS (Distributed DoS) فيأتي من آلاف المصادر الموزعة (شبكة botnet من أجهزة مصابة)، ويستحيل صده من جهة الخادم، إذ يتطلب تصفية في المنبع لدى مزود الاستضافة أو خدمة متخصصة.

نعم، إذا تعرض للاختراق. يمكن ضم خادم ضعيف التأمين (كلمات مرور ضعيفة، خدمات مكشوفة، حزم غير محدثة) إلى شبكة botnet ليشارك في الهجمات. العواقب: إدراج عنوان IP الخاص بك في القوائم السوداء، وقد يعلق مزود الاستضافة حسابك. الإجراءات: SSH بالمفاتيح، وfail2ban، وUFW، والتحديثات التلقائية، ومراقبة عرض النطاق الصادر.

الثقب الأسود (blackhole) هو الإجراء الأخير: يعلن مزود الاستضافة عن عنوان IP الخاص بك على أنه «غير قابل للتوجيه» عبر BGP، فتُرمى كل الحركة الموجهة إليه. يصبح موقعك غير متاح، لكن البنية التحتية لمزود الاستضافة تبقى محمية. يستمر الثقب الأسود عادة 1-4 ساعات، ريثما يهدأ الهجوم. ولا يُلجأ إلى هذا الإجراء إلا كملاذ أخير في مواجهة هجمات ضخمة لا يمكن لأي وسيلة تخفيف استيعابها.

اكتشف أيضًا