به بیستوپنجمین نسخه از گزارش تهدیدات DDoS کلادفلر خوش آمدید. این نخستین گزارش ششماهه این مجموعه است و بهجای انتشار گزارشهای جداگانه برای فصل اول و دوم ۲۰۲۶، دادههای مربوط به هر دو فصل را در یک گزارش جامع از ژانویه تا ژوئن ۲۰۲۶ ارائه میکند. این تحلیل توسط Cloudforce One، واحد اطلاعات تهدید کلادفلر، و بر اساس دادههای شبکه این شرکت تهیه شده و تصویری جامع از روند تحول تهدیدات حملات Distributed Denial of Service یا DDoS ارائه میدهد.
نکات کلیدی
- باشگاه حملات یک ترابیتبرثانیهای بزرگتر شده است. کلادفلر در نیمه نخست ۲۰۲۶ مجموعاً ۹۳۵ حمله DDoS در لایه شبکه را که حجم آنها از یک ترابیتبرثانیه بیشتر بود، شناسایی و خنثی کرد. تعداد این حملات بین فصل اول و دوم با رشد ۵۱۹ درصدی همراه شد.
- مرکز ثقل حملات از سیلابهای باتنتی به سمت Reflection و Amplification تغییر کرد. حملات مبتنی بر DNS در نیمه نخست سال ۳۴.۳ درصد از کل فعالیتهای DDoS در لایه شبکه را تشکیل دادند. سهم DNS Flood نیز بهتنهایی از ۲۵.۷ درصد در فصل اول به ۴۰ درصد در فصل دوم رسید. همچنین حملات CLDAP Flood با رشد ۵۸۰ درصدی نسبت به فصل قبل، در سه رتبه نخست روشهای حمله فصل دوم قرار گرفتند.
- تحولات ژئوپلیتیکی و رویدادهای جهانی بر چشمانداز حملات تأثیر گذاشتند. صنعت رسانه، تولید و نشر در هر دو فصل عنوان هدفمندترین صنعت را در اختیار داشت و ۱۴.۲ درصد از تمام درخواستهای HTTP DDoS خنثیشده را به خود اختصاص داد؛ موضوعی که با توجه به پوشش اخبار ایران، اوکراین و جام جهانی، قابل توجه است. ترکیه نیز همزمان با برگزاری اجلاس ناتو در آنکارا به سومین کشور هدف حملات تبدیل شد. بخش دولتی نیز در جریان عملیات Epic Fury از رتبه ۲۹ به رتبه ۹ رسید که بزرگترین جابهجایی یک بخش در سال ۲۰۲۶ تاکنون محسوب میشود.
نیمه نخست سال در یک نگاه: ۵۳۰۰ حمله DDoS در هر ساعت
کلادفلر تا میانه سال ۲۰۲۶، تاکنون ۲۳.۲ میلیون حمله DDoS در لایه شبکه و ۲۹.۶۴ تریلیون درخواست HTTP DDoS را خنثی کرده است. این ارقام بهطور میانگین معادل حدود ۵۳۴۳ حمله DDoS در لایه شبکه در هر ساعت یا حدود ۱۲۸ هزار حمله در روز است.
اوج حملات در آوریل و عملیاتهای مقابلهای
آوریل ۲۰۲۶ یکی از نقاط اوج فعالیت و حجم حملات DDoS بود و تعداد درخواستها و حجم ترافیک حملات در این ماه بهترتیب به ۶.۴۶ تریلیون درخواست و ۱۶۵ پتابایت رسید. برای درک ابعاد این ترافیک، این حجم معادل پخش مداوم ویدئوی 4K برای سالها یا تقریباً برابر با حجم دادهای است که پلتفرمهای بزرگ ویدئویی در یک روز پردازش میکنند.
پس از این اوج، تعداد درخواستها و حجم ترافیک کاهش یافت؛ موضوعی که ممکن است با عملیات PowerOFF مرتبط باشد. این عملیات با مشارکت ۲۱ کشور انجام شد و بیش از ۷۵ هزار کاربر سرویسهای اجارهای DDoS را هدف قرار داد، ۵۳ دامنه را از دسترس خارج کرد، ۲۵ حکم بازرسی صادر شد و در نهایت چهار نفر بازداشت شدند.
جهش بیش از ۶ برابری حملات فوقحجمی
حملات DDoS فوقحجمی یا Hyper-volumetric به حملاتی گفته میشود که از یک ترابیتبرثانیه (Tbps)، یک میلیارد بسته در ثانیه (Bpps) یا یک میلیون درخواست در ثانیه (Mrps) عبور میکنند. این نوع حملات در گزارشهای Radar کلادفلر همواره یکی از دستههای رو به رشد بودهاند و سال ۲۰۲۶ نیز از این روند مستثنی نیست.
کلادفلر در فصل دوم، ۸۰۵ حمله در لایه شبکه را که حجم آنها از یک ترابیتبرثانیه فراتر رفته بود، خنثی کرد؛ رقمی که نسبت به فصل قبل بیش از شش برابر افزایش یافته است.
ویژگی حملات: کوتاه و کمحجم
با وجود رشد حملات فوقحجمی، حمله DDoS معمولی که کلادفلر در نیمه نخست ۲۰۲۶ خنثی کرد، همچنان کوتاهمدت و کمحجم بود. ۹۶.۶۲ درصد از حملات در لایه شبکه کمتر از ۵۰۰ مگابیتبرثانیه حجم داشتند و ۹۰.۶۰ درصد نیز در کمتر از ۱۰ دقیقه به پایان رسیدند.
البته «کمحجم» اصطلاحی نسبی است و بیشتر زیرساختهای اینترنتی حتی در برابر چنین حملاتی نیز توان مقاومت ندارند. در عمل:
- یک حمله ۱۰۰ مگابیتبرثانیهای میتواند یک سرور یا وبسایت را از کار بیندازد.
- یک حمله ۱۰۰ گیگابیتبرثانیهای میتواند بیشتر دیتاسنترهای محافظتنشده را از دسترس خارج کند.
- حملهای با حجم بیش از یک ترابیتبرثانیه در میان بزرگترین حملات ثبتشده قرار میگیرد و حتی زیرساختهای بزرگ اینترنتی را تحت فشار قرار میدهد.
مهاجمان گاهی چند لایه را بهطور همزمان هدف قرار میدهند؛ برای مثال، نرخ بالای ارسال بستهها (Mpps/Gpps) را با پهنای باند نسبتاً پایین (Gbps) ترکیب میکنند یا برعکس. هدف از این کار، بهرهبرداری از نقاط ضعف متفاوت تجهیزات شبکه و ظرفیت پهنای باند است.
علاوه بر این، بیشتر حملات DDoS برخلاف تصور، عمر بسیار کوتاهی دارند. حتی بزرگترین حملات فوقحجمی نیز ممکن است بهجای چند دقیقه تنها چند ثانیه طول بکشند. کلادفلر حملات رکوردشکنی را مشاهده کرده که از ابتدا تا انتها تنها ۳۵ ثانیه ادامه داشتهاند.
چه حمله نیم دقیقه طول بکشد و چه ۱۰ دقیقه، عملاً فرصتی برای مداخله انسانی وجود ندارد؛ زیرا زمانی که هشدار به دست تحلیلگر امنیتی برسد، حمله احتمالاً تمام شده است. راهکارهای دستی و سرویسهای مقابلهای درخواستی برای چنین شرایطی بیش از حد کند هستند.
بااینحال، اگرچه خود حمله ممکن است کوتاه باشد، پیامدهای آن چنین نیستند. حتی یک موج کوتاه میتواند باعث بیثباتی مسیریابی، ارسال مجدد بستههای TCP، Timeoutهای نرمافزاری و افت کیفیت سرویسهای وابسته شود؛ مشکلاتی که رفع کامل آنها ممکن است ساعتها یا حتی روزها طول بکشد و در این مدت سرویسها همچنان از دسترس خارج یا دچار اختلال باشند.
در چنین چشماندازی، حفاظت خودکار و دائمی دیگر یک قابلیت جانبی نیست؛ بلکه یک ضرورت است.
صنایع هدف حملات
عملیات Epic Fury و جهش حملات علیه بخش دولتی
در ۲۸ فوریه ۲۰۲۶، اسرائیل و ایالات متحده عملیات Epic Fury را در قالب مجموعهای از حملات علیه زیرساختهای ایران آغاز کردند. تنها طی ۷۲ ساعت، چشمانداز حملات DDoS نیز واکنش نشان داد و پژوهشگران امنیتی ۱۴۹ ادعای حمله DDoS از سوی هکتیویستها را علیه ۱۱۰ سازمان در ۱۶ کشور ثبت کردند. نزدیک به ۴۷.۸ درصد از تمام سازمانهای هدف در سراسر جهان به بخش دولتی تعلق داشتند.
همزمان با انتشار گزارشهای گسترده درباره هدف قرار گرفتن سازمانهای دولتی، سهم این بخش از درخواستهای HTTP DDoS خنثیشده بهشدت افزایش یافت و جایگاه آن از رتبه ۲۹ در فصل اول به رتبه ۹ در فصل دوم رسید. این تغییر یکی از بزرگترین جابهجاییهای رتبهای میان صنایع در سال جاری بود.
رسانهها زیر حمله؛ هدفمندترین صنعت
در بحبوحه جنگ در ایران و اوکراین و توجه جهانی به جام جهانی فوتبال، صنعت «رسانه، تولید و نشر» در هر دو فصل هدفمندترین صنعت بود و ۱۴.۲ درصد از تمام درخواستهای HTTP DDoS خنثیشده را به خود اختصاص داد؛ رقمی که تقریباً چهار برابر سهم صنعت رتبه دوم بود.
مناطق هدف حملات
چشمانداز حملات DDoS در نیمه نخست ۲۰۲۶ ترکیبی از نامهای آشنا و جابهجایی در میان هدفمندترین مناطق جهان بود.
چین در پایان نیمه نخست سال در جایگاه نخست قرار گرفت و در فصل دوم، ۲۲.۴ درصد از تمام درخواستهای HTTP DDoS جهان را به خود اختصاص داد. ایالات متحده نیز با سهم ۱۸.۸ درصدی جایگاه دوم خود را حفظ کرد که نشاندهنده جذابیت پایدار این کشور برای مهاجمان است.
ترکیه شاهد رشد سریع حملات بود و سهم آن از ترافیک حملات جهانی بیش از دو برابر شد تا در فصل دوم به سومین منطقه هدف حملات تبدیل شود. این افزایش همزمان با آمادهسازی برای اجلاس ناتو ۲۰۲۶ در آنکارا در ژوئن و اوایل ژوئیه رخ داد؛ دورهای که نیروهای امنیتی ترکیه در آستانه برگزاری اجلاس، عملیات گستردهای را در آنکارا انجام دادند و دستکم ۲۰۹ نفر را بازداشت کردند.
کشورهای مبدأ اصلی حملات
برزیل در نیمه نخست ۲۰۲۶ با کنار زدن ایالات متحده، به اصلیترین کشور مبدأ حملات DDoS تبدیل شد. سهم برزیل ۱۴.۹ درصد و سهم ایالات متحده ۱۳.۴ درصد بود.
این تغییر عمدتاً ناشی از جهش چشمگیر حملات در فصل دوم بود؛ زمانی که برزیل مبدأ ۲۱.۴ درصد از تمام ترافیک درخواستهای DDoS خنثیشده بود. اندونزی نیز در هر دو فصل جایگاه سوم خود را حفظ کرد و همچنان یکی از سه کشور اصلی جهان از نظر مبدأ حملات DDoS باقی ماند.
روشهای حملات
DNS Floodها در صدر قرار گرفتند
حملات مبتنی بر DNS شامل DNS Flood و DNS Amplification در نیمه نخست ۲۰۲۶، مجموعاً ۳۴.۳ درصد از حملات لایه شبکه را تشکیل دادند.
این دو روش به یکدیگر مرتبط هستند اما تفاوتهایی دارند. در حمله DNS Flood، مهاجم حجم عظیمی از درخواستهای خام یک باتنت را مستقیماً به سمت سرورهای DNS معتبر قربانی ارسال میکند تا ظرفیت پاسخگویی آنها را مصرف کند. در چنین شرایطی، «دفترچه تلفن» مربوط به دامنه از دسترس خارج میشود و تمام سرویسهایی که به آن وابسته هستند نیز دچار اختلال خواهند شد.
در DNS Amplification، مهاجم بهجای ارسال مستقیم حجم زیادی از درخواستها، درخواستهای کوچک و جعلی را به Resolverهای باز DNS ارسال میکند. این سرورها در پاسخ، رکوردهایی بسیار بزرگتر را ــ که در بسیاری از موارد با درخواست ANY فعال میشوند ــ به آدرس IP جعلی قربانی ارسال میکنند.
انفجار حملات CLDAP؛ رشد ۵۸۰ درصدی در حملات Amplification
حملات CLDAP Flood که از یک روش Reflection و Amplification برای سوءاستفاده از نقاط پایانی در معرض اینترنت Active Directory LDAP-over-UDP استفاده میکنند، در فصل دوم نسبت به فصل قبل ۵۸۰ درصد رشد کردند و تنها در همین فصل به سومین روش اصلی حمله تبدیل شدند.
CLDAP یا Connectionless Lightweight Directory Access Protocol نسخهای از LDAP یا Lightweight Directory Access Protocol است که برای جستوجو و تغییر سرویسهای دایرکتوری روی شبکههای مبتنی بر IP استفاده میشود.
CLDAP یک پروتکل بدون اتصال است و بهجای TCP از UDP استفاده میکند؛ بنابراین سریعتر است اما قابلیت اطمینان کمتری دارد. از آنجا که UDP به برقراری Handshake نیاز ندارد، مهاجمان میتوانند آدرس IP مبدأ را جعل کنند و از CLDAP بهعنوان یک روش Reflection استفاده کنند.
حملات CLDAP با ارسال درخواستهای کوچک و جعلی به Domain Controllerهایی که از طریق اینترنت قابل دسترسی هستند و روی پورت UDP شماره ۳۸۹ فعالیت میکنند، انجام میشوند. این سرورها در پاسخ، دادههایی را به آدرس مبدأ جعلی (یعنی قربانی) ارسال میکنند که اندازه آنها میتواند دهها تا صدها برابر درخواست اولیه باشد و در نهایت سیستم قربانی را از پا درآورد.
تقویت دفاع جهانی و کمک به حفاظت از اینترنت
شبکه کلادفلر برای جذب و مقابله با چنین رشدی در تهدیدات DDoS طراحی شده است. تمامی سرویسهای این شبکه از حفاظت رایگان و بدون محدودیت حجمی در برابر DDoS بهره میبرند؛ حفاظتی که در بیش از ۳۳۰ شهر جهان فعال است و به ظرفیت شبکهای ۵۰۰ ترابیتبرثانیه متکی است.
هدف اصلی، خودکارسازی فرایند دفاع است. سامانههای کلادفلر حملات را بدون نیاز به مداخله انسانی شناسایی و خنثی میکنند و با توجه به اینکه مهاجمان اکنون بهطور معمول حملاتی با حجم بیش از یک ترابیتبرثانیه را در مقیاس صدها حمله در هر فصل اجرا میکنند، چنین رویکردی ضروری است.
کلادفلر همچنین برای کمک به شرکتهای ارائهدهنده خدمات میزبانی، پلتفرمهای رایانش ابری و ارائهدهندگان خدمات اینترنتی، از دیدگاه منحصربهفرد خود نسبت به حملات DDoS استفاده میکند تا یک فهرست تهدید رایگان از باتنتهای DDoS یا DDoS Botnet Threat Feed در اختیار ارائهدهندگان خدمات قرار دهد. این فهرست به آنها کمک میکند آدرسهای IP و حسابهای کاربری مخربی را که برای اجرای این حملات استفاده میشوند شناسایی و از کار بیندازند.
بیش از ۸۰۰ شبکه در سراسر جهان تاکنون به این فهرست پیوستهاند و کلادفلر میگوید همکاری گستردهای میان اعضای این جامعه برای از کار انداختن گرههای باتنتها شکل گرفته است.