התקפות DDoS
התקפת מניעת שירות מבוזרת מנסה להפוך שירות ללא גישה על ידי הצפתו בתנועה ממקורות רבים בו-זמנית. הכלכלה היא אסימטרית עמוקה - כמה אלפי דולרים ששכרו משירות סטרס להשכרה יכולים להפיל אתר שעולה מיליונים לתפעול. הגנה מפניהם היא אחד התחומים הפעילים ביותר של הנדסת רשתות.
גוף המאמר המלא מסופק באנגלית להלן.
A Distributed Denial-of-Service (DDoS) התקפת מציפה יעד עם יותר תעבורה ממה שהיא יכולה להתמודד, וממצה את רוחב הפס, המעבד או קיבולת היישום. מכיוון שהתעבורה מגיעה ממקורות רבים (לעיתים קרובות עשרות אלפי מכשירים שנפרצו פועלים כ-botnet, או הגברה דרך שרתים שגויים), הסינון ביעד לא עובד - ההתקפה חייבת להיקלט או לקרצף במעלה הזרם. שכבות:
- Volumetric (Layer 3/4) attacks - מציפים את הרשת בחבילות גולמיות כדי להרוות את רוחב הפס. הצפות UDP, שיטפונות ICMP, הצפות SYN. לעתים קרובות מבוסס הגברה: בקשה קטנה לשרת שתצורה שגויה מייצרת תשובה גדולה למקור IP המזויף (הקורבן).
- התקפות פרוטוקול - נצל חולשות בפרוטוקולים עצמם. Slowloris שומרת על אלפי חיבורי TCP פתוחים מבלי להשלים אותם; התקפות של משא ומתן מחודש SSL מאלצות פעולות קריפטו יקרות.
- Application-Layer (Layer 7) התקפות - נראות כמו תעבורת משתמשים לגיטימית אך נועדו למצות את משאבי האפליקציה. הצפות HTTP, שאילתות חיפוש יקרות, בקשות חוזרות ונשנות לנקודות קצה דינמיות שמפספסות את המטמון.
התקפות נפח עושות את החדשות הכי רועשות (Tbps-class) אבל התקפות שכבת יישומים מזיקות לעתים קרובות יותר מכיוון שקשה יותר לסנן אותן מבלי להשפיע על משתמשים אמיתיים.
Amplification:Amplification huge
התקפות ה-DDoS הגדולות מסתמכות על amplification: התוקף שולח בקשת UDP קטנה עם מקור IP מזויף (כתובת הקורבן) לשרת שמחזיר תגובה הרבה יותר גדולה. הקורבן מקבל את תגובת הענק ואין לו מושג מאיפה הגיעה הבקשה המקורית. גורמי הגברה:
- DNS — הגברה של 50–100× עם תגובות EDNS0 ו-DNSSEC
- NTP monlist — עד 500× שרתים קודמים, אבל עדיין מאריכים exist)
- memcached - היסטורית עד 50,000× בשנת 2018; רובו מתוקנים כעת
- CLDAP — בסביבות 50×
- SSDP/UPnP — בסביבות 30×
הטווח הגדול ביותר שנחשף ב-DDoS עם התקפות הבוטים שילבו בפומבי את כל ההתקפות בפומבי שיא מעל 3 כפות לשנייה. הגדול ביותר ב-2025 שבר 5 Tbps.
Botnets: שם התעבורה מגיעה מ
מאחורי רוב ההתקפות הגדולות: רשת בוט של מכשירים שנפגעו. מכשירי IoT (מצלמות אבטחה, נתבים, טלוויזיות חכמות, DVR) הם יעדים קלים מכיוון שהם נשלחים עם אישורי ברירת מחדל ולעיתים רחוקות מקבלים עדכוני אבטחה. הבוטנט Mirai (2016) פגע במאות אלפי מכשירי IoT ושימשה בהתקפות המפורסמות של קרבס ו-OVH. קוד המקור של מיראי דלף לציבור, ועשרות נגזרות עדיין פועלות.
בוטנטים מודרניים כוללים גם שרתי ענן שנפגעו, מכונות וירטואליות שהושגו באמצעות כרטיסי אשראי גנובים, ושרת proxy למגורים (שירותי IP ניידים המושכרים למעשה רשתות בוטניות). בחודש, כל אחד יכול לשכור קיבולת תקיפה משירותי "בוטר" או "סטרסטר". השיווק טוען שהם מיועדים לבדיקות לחץ לגיטימיות; בפועל רוב הלקוחות תוקפים אתרים של אחרים. מספר גורמי לחץ גדולים הוסרו על ידי רשויות אכיפת החוק הבינלאומיות, אך חדשים מחליפים אותם תוך חודשים. ההיצע זול מדי והביקוש יציב מכדי להיעלם.
איך עובדת הגנת DDoS
הגנת אתר בודד מפני התקפות ריבוי Tbps היא בלתי אפשרית - לאף אתר רגיל אין כל כך הרבה רוחב פס. ההגנה היא לשים הגנה מול האתר אצל ספק בעל קיבולת גדולה בהרבה:
- BGP ניתוב מחדש / blackholing - נסיגה של מסלולים ל-IP המיועד, והורדת כל התעבורה. שימושי כמוצא אחרון אך מנתק את הקורבן לחלוטין.
- מרכזי קרצוף — Cloudflare, Akamai, AWS Shield, Imperva ואחרים מתחזקים מתקנים גדולים שבהם התעבורה הנכנסת מסוננת. תעבורה לגיטימית מועברת למקור; תעבורת ההתקפה יורדת.
- מגבלת שיעור - בקצה ה-CDN, הגבילו את שיעורי הבקשות לכל IP כדי למנוע הצפות בשכבת יישומים.
- JavaScript אתגרי - מציגים אתגר חישוב קצר שרוב הדפדפנים האמיתיים משלימים באופן בלתי נראה לעין. לא יכול.
- CAPTCHA fallback — עבור תעבורה חשודה, בקש אימות אנושי.
ספקי CDN/WAF הגדולים יכולים לספוג התקפות בכל גודל שנראו בטבע - Tbsps עולה על קיבולת הרשת של Cloudflare כ-300 2026.
מה אתה יכול לעשות כמפעיל אתר קטן
- שב מאחורי CDN עם הגנת DDoS — השכבה החינמית של Cloudflare מכסה הגנה בסיסית עבור אתרים קטנים; שכבות בתשלום וספקים אחרים (Akamai, Fastly) מטפלים ביותר.
- הסתר המקור שלך IP - אפשר תעבורה רק מטווחי ה-IP של ה-CDN; סרב לחיבורים ישירים.
- השתמש במדיניות הגבלת תעריפים סבירה — שכבות CDN חינמיות רבות מציעות הגבלת תעריפים בסיסית.
- היה סבלני במהלך התקפה - ההגנות מתחילות, לתוקפים נגמר הכסף או משתעממים במירוץ. ממשיך
2024–2026 ראו קטגוריות התקפה חדשות: התקפות HTTP/2 "איפוס מהיר" תוך ניצול חולשות פרוטוקול, התקפות שכבה-7 שנוצרו על ידי AI כדי לחקות התנהגות אנושית, והתקפות היפר-נפחיות של שכבה-3 המועברות באמצעות מחשבי VM ענן שנחטפו. המגינים הגיבו עם סינון התנהגותי חכם יותר, הפחתת חומרה מואצת ושיתוף פעולה הדוק יותר בין ספקים. המגמה נטו: התקפות קטנות זולות מתמיד, אך גם אתרים מוגנים היטב מתאוששים מהר מתמיד.
שאלות נפוצות
- האם VPN יכול להגן עליי מפני DDoS?
- VPNs אישיים מגינים על <em>you</em> מלהיות DDoSed אם ה-IP האמיתי שלך לא נחשף. הם לא מגנים על שירות שאתה מפעיל. להגנה על שירות אתה צריך CDN או שירות קרצוף. עבור גיימרים שמודאגים מהתקפות בסגנון "הסתערות", הסתתרות מאחורי ה-IP של ספק VPN היא הדפוס הנכון.
- כמה זמן נמשכות בדרך כלל התקפות DDoS?
- דקות עד ימים. המתקפה החציונית ב-2025 היא פחות מ-10 דקות - ארוכה מספיק כדי לשבש אבל קצרה מספיק כדי להיות זולה לשיגור. התקפות מתמשכות (שעות עד ימים) פירושן בדרך כלל תוקפים בעלי מוטיבציה עם כיסים עמוקים יותר - מסעות סחיטה, פעולות גיאופוליטיות או יריבויות מתמשכות בצורה יוצאת דופן.
- מה ההבדל בין DoS ל-DDoS?
- DoS (מניעת שירות) הוא ממקור אחד; DDoS הוא מרבים. התקפות ממקור יחיד ניתנות לחסימה טריוויאלית על ידי מסנן IP; התקפות מבוזרות זקוקות להגנה על קליטת רוחב פס. כמעט כל מתקפת מניעת שירות מודרנית היא DDoS; מונח DoS מדור קודם הוא בעיקר היסטורי.
- האם התקפות DDoS לא חוקיות?
- כן כמעט בכל תחום שיפוט. חוק הונאה והתעללות במחשבים בארה"ב, חוק השימוש לרעה במחשבים בבריטניה וחוקים דומים באיחוד האירופי הופכים שיבוש שירות לא מורשה לעבירה פלילית. שיתוף פעולה בינלאומי נגד שירותי לחץ הוביל למעצרים במדינות רבות. למרות זאת, הייחוס קשה ותוקפים רבים פועלים מתחומי שיפוט שאינם רודפים.
- מדוע ספקי האינטרנט אינם מסננים תעבורה מזויפת במקור?
- הם יכולים, על ידי פריסת BCP38 / סינון כניסה, ורובם עושים זאת עבור רשתות חדשות. רשתות מדור קודם וכמה ספקי אינטרנט קטנים יותר עדיין מאפשרים לכתובות מקור מזויפות לעזוב את הרשת שלהם, מה שמאפשר התקפות הגברה. יוזמת הנורמות להסכמה הדדית לאבטחת ניתוב (MANRS) דוחפת את האימוץ, אך זנב ארוך של רשתות מתירניות נמשך.