هجوم السنافر

هجوم سمرف هو هجوم حجب خدمة موزع، حيث يتم بث أعداد كبيرة من حزم بروتوكول رسائل التحكم في الإنترنت (ICMP) تحمل عنوان IP مصدر مزيفًا للضحية المستهدفة إلى شبكة حاسوب باستخدام عنوان بث IP . ^{[ 1 ]} تستجيب معظم الأجهزة على الشبكة، افتراضيًا، لهذا الهجوم بإرسال رد إلى عنوان IP المصدر. إذا كان عدد الأجهزة على الشبكة التي تستقبل هذه الحزم وتستجيب لها كبيرًا جدًا، فسيتعرض حاسوب الضحية لضغط هائل من البيانات. قد يؤدي ذلك إلى إبطاء حاسوب الضحية لدرجة تجعل العمل عليه مستحيلاً.

تمت كتابة الأداة الأصلية لإنشاء هجوم Smurf بواسطة دان موشوك (المعروف أيضًا باسم TFreak) في عام 1997. ^{[ 2 ] [ 3 ]}

في أواخر التسعينيات، كانت العديد من شبكات بروتوكول الإنترنت (IP) تشارك في هجمات سمرف عند حثها على ذلك (أي أنها كانت تستجيب لطلبات بروتوكول رسائل التحكم في الإنترنت (ICMP) المرسلة إلى عناوين البث). ويستمد هذا الاسم من فكرة مهاجمين صغار العدد، ولكنهم كثيرون، يتغلبون على خصم أكبر بكثير (انظر: السنافر ). واليوم، يستطيع مديرو الشبكات جعل الشبكة محصنة ضد هذا النوع من الهجمات؛ ولذلك، فإن عددًا قليلًا جدًا من الشبكات لا يزال عرضة لهجمات سمرف. ^{[ 4 ]}

مُضخِّم سمرف هو شبكة حاسوبية مُصممة خصيصًا لشن هجوم سمرف. يعمل مُضخِّم سمرف على تفاقم خطورة هجوم سمرف لأنه مُهيأ بطريقة تُولِّد عددًا كبيرًا من ردود بروتوكول ICMP إلى الضحية على عنوان IP المصدر المُزوَّر.

في هجمات الحرمان من الخدمة الموزعة (DDoS)، يُقصد بالتضخيم درجة زيادة عرض النطاق الترددي التي يخضع لها تدفق البيانات الهجومي الأصلي (بمساعدة مُضخِّمات Smurf) أثناء إرساله إلى جهاز الضحية. فعلى سبيل المثال، يعني عامل تضخيم يبلغ 100 أن المهاجم قادر على توليد 100  ميجابت/ثانية من البيانات باستخدام 1  ميجابت/ثانية فقط من عرض النطاق الترددي الخاص به. ^{[ 5 ]}

بافتراض عدم اتخاذ أي تدابير مضادة للحد من تأثير هجوم سمرف، إليك ما يحدث في الشبكة المستهدفة التي تضم n من الأجهزة النشطة (التي تستجيب لطلبات صدى ICMP). تحتوي حزم طلبات صدى ICMP على عنوان مصدر مزيف (هدف سمرف) وعنوان وجهة (الهدف الظاهري للهجوم). يمكن أن يتخذ كلا العنوانين شكلين: أحادي البث وبث عام .

يُشابه شكل الإرسال الأحادي المزدوج عملية اختبار الاتصال العادية (ping): حيث يُرسل طلب صدى ICMP إلى جهاز مُستهدف (مضيف واحد)، والذي بدوره يُرسل رد صدى ICMP واحدًا (Smurf) إلى الهدف (المضيف الوحيد في عنوان المصدر). يتميز هذا النوع من الهجمات بمعامل تضخيم يساوي 1، أي: رد Smurf واحد فقط لكل طلب ping.

عندما يكون الهدف عنوانًا أحادي البث، والوجهة هي عنوان البث لشبكة الهدف، فإن جميع الأجهزة المضيفة في الشبكة ستتلقى طلب صدى. في المقابل، سيرد كل جهاز على الهدف، مما يؤدي إلى إغراق الهدف بعدد n من أجهزة Smurf. عامل التضخيم = n . إذا كان n صغيرًا، فقد يتأثر الجهاز المضيف سلبًا، لكن لن يتعطل تمامًا. أما إذا كان n كبيرًا، فقد يتوقف الجهاز المضيف عن العمل.

إذا كان الهدف هو عنوان البث والضحية عنوانًا أحادي البث، فسيتلقى كل مضيف في الشبكة رسالة Smurf واحدة لكل طلب ping، أي بمعامل تضخيم 1 لكل مضيف، ولكن بمعامل n للشبكة ككل. عمومًا، تستطيع الشبكة التعامل مع هذا النوع من الهجوم، إذا لم يكن معامل n كبيرًا جدًا.

عندما يُضبط كل من عنوان المصدر والوجهة في الحزمة الأصلية على عنوان البث الخاص بالشبكة المستهدفة، تبدأ الأمور بالتفاقم بسرعة. تتلقى جميع الأجهزة طلب صدى، ولكن تُعاد بث جميع الردود عليه إلى جميع الأجهزة. سيتلقى كل جهاز طلب اختبار اتصال أولي، ثم يبث الرد، ويتلقى ردًا من جميع الأجهزة (n-1) ^. عامل تضخيم n لجهاز واحد، ولكن عامل تضخيم n² للشبكة.

تُرسل طلبات صدى بروتوكول ICMP عادةً مرة واحدة في الثانية. يجب أن يحتوي الرد على محتوى الطلب، وهو عادةً بضعة بايتات. يؤدي إرسال طلب ping واحد (بث مزدوج) إلى شبكة تضم 100 جهاز إلى معالجة الشبكة لـ 10000 حزمة بيانات. إذا زاد حجم حمولة طلب ping إلى 15000 بايت (أو 10 حزم بيانات كاملة في شبكة إيثرنت )، فسيؤدي ذلك إلى معالجة الشبكة لـ 100000 حزمة بيانات كبيرة في الثانية. إرسال المزيد من الحزم في الثانية سيؤدي إلى انهيار أي شبكة تحت وطأة هذا الحمل. سيؤدي ذلك إلى جعل أي جهاز في الشبكة غير قابل للوصول طوال مدة الهجوم.

يمكن لهجوم Smurf أن يُغرق الخوادم والشبكات. وقد يُستنفد عرض النطاق الترددي لشبكة الاتصالات، مما يؤدي إلى شلّها. ^{[ 6 ]}

الحل ذو شقين:

1. قم بتهيئة الأجهزة المضيفة والموجهات لتجاهل الحزم التي يكون عنوان وجهتها عنوان بث؛ و
2. قم بضبط أجهزة التوجيه بحيث لا تعيد توجيه الحزم الموجهة إلى عناوين البث. حتى عام 1999، كانت المعايير تتطلب من أجهزة التوجيه إعادة توجيه هذه الحزم افتراضيًا. ومنذ ذلك الحين، تم تغيير المعيار الافتراضي بحيث لا يعيد توجيه هذه الحزم. ^{[ 7 ]}

من المهم أيضاً لمزودي خدمة الإنترنت تطبيق تصفية الدخول ، والتي ترفض الحزم المهاجمة بناءً على عنوان المصدر المزيف. ^{[ 8 ]}

هجوم فراغل (نسبةً إلى المخلوقات في مسلسل الدمى التلفزيوني فراغل روك ) هو نوع من هجوم سمرف، حيث يرسل المهاجم كمية كبيرة من بيانات UDP إلى المنفذين 7 ( صدى ) و19 ( شحن ). ويعمل هذا الهجوم بطريقة مشابهة لهجوم سمرف، إذ تستجيب العديد من أجهزة الكمبيوتر على الشبكة لهذه البيانات بإرسال بيانات إلى عنوان IP المصدر المُزوّر للضحية، مما يُغرقها بالبيانات. ^{[ 10 ]}

Fraggle.cكما قام TFreak بنشر الكود المصدري للهجوم. ^{[ 11 ]}

• هجوم حجب الخدمة
• فيضان بينغ
• سجل مكبرات الصوت سمرف

• أحدث ما توصلت إليه هجمات حجب الخدمة: "Smurfing" ، كريج أ. هيوجن، 1997.