تزييف عنوان IP هو تزوير حقل عنوان IP المصدر في رأس حزمة IP لتقليد نظام آخر أو إخفاء هوية المرسل. ليس من النادر. أظهرت القياسات على نطاق واسع أن حوالي 24.6% من الأنظمة المستقلة كانت قابلة للتزييف بالكامل في تحليل طولي لاحق، ووجدت الأعمال السابقة أن حوالي 24.2% من الكتل الشبكية الملاحظة و 25.7% من الأنظمة المستقلة الملاحظة سمحت بالتزييف، وهذا هو السبب في أن المشكلة استمرت كضعف على مستوى الإنترنت بدلاً من أن تكون خدعة لمرة واحدة.
هذا مهم لأي شخص يدير حملات أو أتمتة أو خدمات شبكية، لأن التزييف يحدث في طبقة الحزم، بينما تعتمد العديد من ضوابط الأعمال على الهوية المعتمدة على IP في طبقة التطبيق. إذا لم تفصل بين هاتين الطبقتين في ذهنك، فمن السهل الخلط بين تزوير الحزم الضار وإخفاء الهوية المعتمد على البروكسي الشرعي.
فهم أساسيات تزييف عنوان IP
يبدأ تزييف IP بفكرة بسيطة. يرسل المهاجم حزمة بعنوان عنوان IP مصدر زائف، بحيث يبدو أن الحركة تأتي من مكان آخر، على الرغم من أن الحزمة لا تزال تتبع الهيكل الشبكي العادي. لهذا السبب يمكن استخدام التزييف لإخفاء المرسل وتقليد نظام موثوق. نظرة عامة Imperva على تزييف IP تصفها كهجوم على مستوى الحزمة مبني حول ذلك الحقل المزيف.
المشكلة الأعمق هي أن التزييف يعمل فقط عندما يقبل الشبكة الحزم دون التحقق من مصدرها. أظهرت قياسات الإنترنت أن حوالي ربع الأنظمة المستقلة سمحت تاريخياً بالتزييف، ووجدت الأعمال الطولية اللاحقة أن 390 من 1,586 نظام مستقل، أو 24.6%، قابلة للتزييف بالكامل بينما 220 نظام مستقل، أو 13.9%، كانت غير متسقة في سلوك التصفية الخاص بها. تظهر هذه الأرقام ضعفاً في البنية التحتية، وليس مشكلة تم حلها، وتساعد في تفسير لماذا لا يزال التحقق من عنوان المصدر يمثل مصدر قلق أمني عملي بدلاً من كونه عنصر قائمة تحقق قديم. تحليل الإنترنت الاجتماعي الطولي يوثق تلك الاستمرارية.
لماذا تستمر الضعف
نموذج ذهني مفيد هو ثقة الحافة. إذا لم تتحقق حافة الشبكة مما إذا كان عنوان مصدر الحزمة ينتمي إلى المكان الذي يدعي أنه ينتمي إليه، يمكن أن تتحرك الحركة المزيفة بعيداً في الشبكة قبل أن يلاحظ أي شخص. لهذا السبب يعتبر التزييف فشلاً في السياسة بقدر ما هو خدعة حزمة.
قاعدة عملية: كلما سافرت حزمة مزيفة بعيداً، أصبح من الأصعب إثبات من أين بدأت.
هذا هو السبب أيضاً في أن الهجوم مهم للمسوقين التقنيين، وفرق النمو، والمحللين الذين يعتمدون على سمعة IP، أو الاستهداف الإقليمي، أو ثقة الجلسة. قد تبدو الحزمة شرعية أثناء النقل، لكن إشارة الثقة التي تحملها قد تكون زائفة. بمجرد قبول تلك الإشارة، قد تتخذ الأنظمة السفلية القرار الخاطئ.
كيف يقوم المهاجمون بتزوير رؤوس حزم IP
على مستوى الحزمة، لا يتعلق التزييف بتغيير الهوية الحقيقية لجهاز ما على الإنترنت. يتعلق الأمر بتغيير بيانات الرأس الوصفية على الحزم الصادرة بحيث يشير حقل المصدر إلى مضيف آخر. تساعد هنا تشبيه البريد. تظل محتويات الرسالة كما هي، لكن عنوان العودة على الظرف يتم تزويره قبل إرساله.
يمكن أن تظل الحزمة صالحة من الناحية الهيكلية. هذا ما يجعل هذا الهجوم محيراً للفرق غير الشبكية. قد ترى جدار ناري أو تطبيق حزمة تبدو طبيعية، لكن حقل عنوان IP المصدر داخل رأس IP قد تم تزويره بحيث يبدو أن الحركة تنشأ من مضيف مختلف. وصف Imperva لتزييف IP واضح في هذه النقطة.
الثقة وحالة البروتوكول غالباً ما تكون جزءاً من اللعبة
يصبح التزييف أكثر فعالية عندما يختار المهاجم مضيفاً يثق بالفعل بعنوان المصدر المزيف. في السيناريوهات المعتمدة على TCP، قد يعني ذلك أكثر من مجرد إرسال رأس مزيف. قد يحتاج المهاجم أيضاً إلى أخذ عينات من أرقام التسلسل والعمل مع حالة الاتصال لإكمال التقليد. تصف ورقة GIAC حول تزييف IP هذا الزاوية المعتمدة على الثقة والحالة.
تلك التفرقة مهمة لأنها تظهر أن التزييف ليس مجرد "تغيير IP". غالباً ما يكون سلسلة من القرارات، واختيار المصدر، وتزوير الرأس، والتلاعب بالبروتوكول. إذا كانت النظام المستهدف يستخدم فحوصات الثقة المعتمدة على المصدر، يمكن أن تنزلق الحزمة المزيفة إلى سير العمل التي لم تكن مصممة أبداً للتحقق من المرسل بشكل أكثر دقة.
حقل المصدر المزيف هو فقط الخطوة الافتتاحية. يبدأ الخطر الحقيقي عندما تتعامل الأنظمة السفلية مع ذلك الحقل كدليل.
بالنسبة للفرق التي تدير الأتمتة أو تدير حسابات متعددة، غالباً ما يختلط الأمر هنا. يمكن أن يغير البروكسي كيف يبدو الطلب لتطبيق، لكن التزييف على مستوى الحزمة يغير البيانات الوصفية المصدرية داخل الحزمة نفسها. تلك مرتبطة فقط بالمعنى العام أن كلاهما يؤثر على إشارات الهوية. من الناحية التشغيلية، هما مختلفتان جداً.
متجهات الهجوم في العالم الحقيقي وأنماط الاستغلال
يظهر التزييف بشكل أكثر وضوحاً في انعكاس DDoS وغيرها من هجمات استغلال الثقة. يمكن أن يعيد عنوان المصدر المزيف توجيه حركة الاستجابة نحو ضحية بدلاً من المهاجم، مما يحول الأنظمة غير المرتبطة إلى مكبرات صوت. لهذا السبب يبقى التزييف مركزياً في إساءة الاستخدام المعتمدة على الانعكاس بدلاً من أن يكون مجرد فضول شبكي متخصص.
مشكلة النطاق غير متساوية. في دراسة قياس واحدة من CAIDA، 31% من العملاء المختبرين يمكنهم تزييف عنوان مصدر قابل للتوجيه بشكل تعسفي، و77% من العملاء الذين لم يتمكنوا من التزييف بشكل تعسفي لا يزال بإمكانهم تزوير عنوان ضمن /24 subnet الخاص بهم. وجدت نفس الدراسة أنه في الأشهر الثلاثة الأخيرة من البيانات، 31% من العملاء يمكنهم إرسال حركة باستخدام أحد العناوين الثلاثة الرئيسية إلى متلقي اختبار واحد على الأقل. تظهر ورقة قياس CAIDA لعام 2009 أن هذه القدرة لا تزال كبيرة في الشبكات الحية.
لماذا يمكن أن تكون عدد قليل من المصادر مهمة جداً
وجدت نفس دراسة CAIDA أيضاً أن خمسة أنظمة مستقلة ساهمت بأكثر من 80% من جميع حركة التزييف التي تم ملاحظتها في دراسة واحدة. هذا تذكير بأن سطح الهجوم لا يحتاج إلى أن يكون واسع الانتشار ليكون خطيراً. يمكن لمجموعة صغيرة نسبياً من الشبكات المسيئة أن تولد ضرراً كبيراً عندما يكون التضخيم قيد اللعب. إذا كنت تدير تسليم المحتوى، أو فحص الحركة، أو مراقبة العلامة التجارية، يجب أن يجعلك هذا التركيز تفكر في أصل الشبكة كإشارة أمان، وليس مجرد تفصيل توجيه.
يتجاوز استغلال الثقة الانعكاس أيضاً. يبحث المهاجمون عن الأنظمة التي تثق بالفعل بعنوان المصدر المزيف، ثم يستخدمون تلك الثقة لتجاوز الفحوصات البسيطة المعتمدة على المصدر. في الممارسة العملية، هذا هو السبب في أن التزييف غالباً ما يظهر جنباً إلى جنب مع إساءة استخدام الجلسات، والارتباك في الحالة، وأشكال أخرى من التقليد. الحزمة مفيدة فقط إذا كان الهدف يصدقها.
للسياق التشغيلي، انظر المناقشة حول استقرار الشبكة في ملاحظة استقرار الشبكة من Evoproxy.
التزييف مقابل دوران البروكسي الشرعي
يحل التزييف الضار ودوران البروكسي الشرعي مشاكل مختلفة جداً. يقوم التزييف بتزوير حقل عنوان IP المصدر داخل رأس حزمة. يغير دوران البروكسي الهوية الظاهرة عند الخروج التي تراها موقع ويب أو API، بينما لا يزال الاتصال الأساسي م routed عبر نقطة نهاية البروكسي. تلك الفرق مهمة قانونياً، وتقنياً، وأخلاقياً.
في بيئات السحابة والتطبيقات، تعتمد العديد من الضوابط على إشارات قائمة على عنوان IP لتحديد المعدلات واكتشاف السفر المستحيل، وغالبًا ما تحتاج تلك الأنظمة إلى تطهير أو استبدال رؤوس الوكيل مثل X-Forwarded-For. إرشادات Datadog السحابية حول تزوير IP تشير إلى أن هذه قضية أكثر تعقيدًا من تزوير مستوى الحزمة وحده. يمكن أن تكون هوية طبقة التطبيق فوضوية حتى عندما تكون طبقة الحزمة صادقة.
لماذا يتم التعامل مع IPs المحمولة بشكل مختلف
لا تتصرف الوكلاء المحمولة والسكنية ومراكز البيانات بنفس الطريقة. IP المحمول 4G/5G غالبًا ما يكون من الصعب اكتشافه وحظره لأنه يقع خلف بنية تحتية لمزود الخدمة، بما في ذلك NAT من مستوى مزود الخدمة، ويمكن أن تشارك برك العناوين عبر العديد من المشتركين. هذا يجعلها تبدو أكثر مثل حركة المرور الاستهلاكية العادية من عنوان IP لخادم ثابت.
تغيير دوران الوكيل الشرعي كيفية ظهور الطلب. التزوير يغير ما تدعي الحزمة أنها.
بالنسبة لعمليات العمل المتوافقة، فإن هذا الاختلاف هو كل شيء. إدارة وسائل التواصل الاجتماعي متعددة الحسابات، والتحقق من الإعلانات، ومراقبة الأسعار وSEO، وحماية العلامة التجارية، واختبار الجودة، والبحث الذي يركز على الخصوصية كلها تحتاج إلى تنوع IP دون التظاهر بأنك مضيف آخر على مستوى الحزمة. يمكن أن تلبي خدمة الوكيل المحمول مثل نهج Evoproxy لتخفي IP تلك الحاجة لأنها توجه حركة المرور عبر بنية تحتية لشبكة المحمول بدلاً من تزوير رؤوس الحزم.
طرق الكشف واستراتيجيات الوقاية
تجلس أكثر دفاعات التزوير فعالية بالقرب من المصدر. يمكن لأجهزة التوجيه الأقرب إلى الأصل إسقاط الحزم التي لا ينتمي عنوان مصدرها إلى الشبكات الداخلية المعروفة، وهو تحكم يسمى تصفية الخروج. بمجرد أن تعبر الحزم عدة قفزات، يصبح استعادة الأصل الحقيقي أكثر صعوبة. إرشادات الأمان حول تتبع IP المزور تجعل تلك المنطق القائم على المصدر واضحًا.
مجموعة دفاع عملية
تصفية الخروج. إسقاط الحزم الصادرة التي لا تتطابق عناوين مصدرها مع النطاقات الصالحة للشبكة. هذا هو أنظف مكان لإيقاف حركة المرور المزورة.
تصفية الدخول. رفض حركة المرور المشبوهة عند الحدود حتى لا تتعمق الحزم المزورة في البيئة.
التحقق من المصدر. فرض فحوصات عنوان المصدر عند نقاط الوصول وأجهزة التوجيه الطرفية حتى لا يتمكن المضيف من الادعاء بهوية لا يمتلكها.
فحص واعٍ بالاتصال. استخدام سلوك البروتوكول، خاصة مصافحات TCP، لتقليل قيمة الحقول المصدر الموثوق بها بشكل أعمى.
تعمل هذه الضوابط بشكل أفضل معًا. يمكن أن تساعد ضوابط قائمة على المضيف الواحد، لكنها لن تحل مشكلة تزوير المصدر على مستوى الشبكة إذا تم قبول حركة المرور العلوية بالفعل. لهذا السبب تستمر إرشادات المؤسسات في العودة إلى نفس الموضوع، تحقق مبكرًا، تحقق بالقرب من الحافة، ولا تعتمد على الضحية وحدها.
ما الذي يجب مراقبته في العمليات اليومية
بالنسبة للفرق التي تدير الأتمتة على الويب، والتحقق من الإعلانات، أو عمليات العمل متعددة الحسابات، فإن القلق التشغيلي عادةً لا يكون تزوير الحزم نفسه. إنه ما إذا كانت إعدادات الشبكة الخاصة بك تخلق إيجابيات زائفة، أو تسرب رؤوس الوكيل، أو تقبل إشارات حركة المرور التي لم تكن تنوي الوثوق بها. ملاحظة Evoproxy حول منع تسرب WebRTC ذات صلة هنا لأن تسرب الهوية يحدث غالبًا من خلال سلوك المتصفح والتطبيق، وليس فقط حزم طبقة النقل.
استخدم هذا المعيار البسيط. إذا كانت السيطرة تعتمد على كون المصدر المدعى صحيحًا، تحقق منه في أقرب قفزة ممكنة. إذا كانت السيطرة فقط من أجل التحليلات أو الراحة في التوجيه، اعتبرها إشارة، وليس دليلاً.
الآثار القانونية والأخلاقية لتلاعب IP
ليس كل شكل من أشكال تلاعب IP ضارًا. تستخدم الشركات الشرعية تنوع IP من أجل إدارة وسائل التواصل الاجتماعي متعددة الحسابات، وبحوث السوق، والتحقق من الإعلانات، ومراقبة الأسعار، واختبار الجودة، والأتمتة التي تحافظ على الخصوصية. الخط الفاصل الأخلاقي هو ما إذا كنت تحاكي الوصول الطبيعي لعملية عمل قانونية أو تحاول خداع نظام ما لمنح وصول غير مصرح به.
هذا الخط مهم لأن الضوابط القائمة على IP أصبحت الآن جزءًا من العديد من أنظمة الأعمال. إذا كانت فريق يدور IPs المحمولة الشرعية لاختبار تجربة المستخدم الإقليمية، أو التحقق من وضع الإعلانات، أو التحقق مما إذا كانت العلامة التجارية تظهر بشكل صحيح في نتيجة البحث، فإنها تستخدم تنوع الشبكة كأداة تشغيلية. إذا استخدم نفس الفريق رؤوس حزم مزورة لتقمص مضيف آخر، فإن ذلك يتجاوز التزوير.
المسؤولية تقع على كلا جانبي الشبكة
يتحمل المشغلون واجب تقليل سطح الهجوم القابل للتزوير من خلال فرض التحقق من عنوان المصدر. يتحمل المستخدمون واجب البقاء ضمن شروط المنصة والقانون المحلي عندما يقومون بأتمتة حركة المرور أو جمع البيانات. هذان الواجبان ليسا متعارضين. إنهما يعززان بعضهما البعض.
نموذج العمل الأكثر أمانًا بسيط. استخدم مسارات الشبكة الشرعية للاختبار والبحث القانوني. حافظ على سلوك التطبيق صادقًا. لا تخلط بين تزوير مستوى الحزمة واستخدام الوكيل، لأن الأول هو تقنية هجوم والثاني هو خيار توجيه.
الأسئلة الشائعة حول تزوير IP
هل يمكن تتبع تزوير IP إلى المهاجم؟ أحيانًا، لكن الأمر يصبح أكثر صعوبة كلما ابتعدت الحزم عن المصدر. لهذا السبب تعتبر تصفية الحافة مهمة جدًا، ولماذا يفضل المحققون عادةً إيقاف حركة المرور المزورة قبل أن تنتشر.
هل الوكيل المحمول هو نفس الشيء مثل التزوير؟ لا. يغير الوكيل المحمول المصدر الظاهر لطلب ما من خلال مسار شبكة حقيقي، بينما يقوم التزوير بتزوير رأس الحزمة نفسه. أحدهما خيار توجيه، والآخر تزوير حزم.
لماذا يصعب حظر IPs المحمولة؟ غالبًا ما تكون خلف بنية تحتية لمزود الخدمة وبرك عناوين مشتركة، لذا تبدو أكثر مثل حركة المرور الاستهلاكية العادية من مضيف مركز بيانات ثابت.
ماذا يجب أن تفعل فريق غير الشبكة؟ اعتبر IP إشارة واحدة، وليس الهوية الكاملة. راقب تسرب الرؤوس، وسوء تكوين الوكيل، وسلوك الجلسات غير المتسق، ثم اعمل مع مالكي الشبكة عندما يحتاج الثقة إلى التشديد.
إذا كنت بحاجة إلى تنوع IP شرعي لأتمتة متوافقة، أو اختبار، أو بحث، فإن الوكلاء المحمولين 4G هم المكان المناسب للبدء.
توفر Evoproxy وصولاً إلى الوكيل المحمول مبنيًا على اتصالات 4G وLTE و3G، مما يمنح الفرق وسيلة متوافقة لتوجيه حركة المرور عبر مسارات الشبكة المحمولة الحقيقية بدلاً من تزوير رؤوس الحزم. إذا كانت أعمالك تتضمن إدارة وسائل التواصل الاجتماعي، أو التحقق من الإعلانات، أو بحوث السوق، أو اختبار الجودة، قم بزيارة Evoproxy لمعرفة ما إذا كانت إعدادات الوكيل المحمول تناسب سير عملك.
