لقد تغير حجم هجمات DDoS الحجمية. لم تعد الأحداث التي تتجاوز 1 تيرابت في الثانية استثناءً إحصائيًا، بل مكونًا متكررًا في مشهد التهديدات. تتطلب مواجهتها إعادة التفكير في البنية الدفاعية، التي يجب أن تعمل بطريقة موزعة ومؤتمتة ومتكاملة مع الشبكة.
قدرة تنقية تتجاوز 1 تيرابت في الثانية
المتطلب الأول هو الحجم. يجب أن يكون مركز التنقية قادرًا على امتصاص حركة المرور الحجمية دون أن يصبح هو نفسه نقطة اختناق. تدير Nexim قدرات تخفيف تتجاوز 1 تيرابت في الثانية، موزعة على عدة نقاط تواجد، لتنظيف حركة المرور أقرب ما يمكن إلى مصدر الهجوم وإعادة حركة المرور المشروعة فقط إلى العميل، مع زمن انتقال منخفض.
معلومات تهديدات متكاملة
القدرة وحدها لا تكفي: يجب التعرف بسرعة على ما يجب تصفيته. يتم تغذية المنصة بتغذيات معلومات التهديدات المحدثة، والتي تشمل:
- قوائم العاكسات والمضخمات المعروفة (DNS، NTP، Memcached، CLDAP)؛
- مؤشرات الاختراق المرتبطة بالشبكات الروبوتية النشطة؛
- توقيعات سلوكية لهجمات الطبقة السابعة (HTTP flood، slow attack، إساءة استخدام واجهة برمجة التطبيقات)؛
- أنماط حركة المرور النموذجية لأدوات الهجوم التجارية (booter/stresser).
يسمح هذا بالانتقال من القواعد التفاعلية إلى السياسات التنبؤية، مما يقلل من وقت الكشف والضوضاء الناتجة عن الإيجابيات الخاطئة.
BGP Flowspec للتخفيف في المنبع
العنصر الثالث هو نشر الإجراءات المضادة. يسمح BGP Flowspec (RFC 8955) بتوزيع قواعد تصفية دقيقة، بناءً على مجموعات من بادئة المصدر/الوجهة، البروتوكول، المنفذ، طول الحزمة، وعلامات TCP، مباشرة إلى أجهزة التوجيه العلوية والأقران.
عمليًا، يعني هذا احتواء الهجوم قبل أن يصل إلى محيط العميل، وتحميل حجمه على شبكة مزودي الخدمة في المنبع بدلاً من امتصاصه في المصب. تُقاس أوقات التفعيل بالثواني، ويمكن إلغاء القواعد بنفس السرعة بمجرد انتهاء الحدث.
وضع دفاعي، وليس منتجًا
لا يمكن ارتجال الحماية الفعالة من DDoS أثناء الحادث. تتطلب تصميمًا وقائيًا: تحديد حجم القدرة، والاتفاقيات مع مزودي الخدمة في المنبع، والتكامل مع أنظمة مراقبة العميل، وإجراءات التشغيل المختبرة. إنه عمل شبكي قبل أن يكون أمانًا للتطبيقات.