توثيق11.4.1. رفض الخدمة
تستغل هجمات رفض الخدمة ثغرة أمنية لإحداث فقدان للخدمة، غالبًا عن طريق تعطل العملية المعرضة للخطر. اختبار الإجهاد تحتوي فئة قائمة Kali Linux على عدد من الأدوات لهذا الغرض.
عندما يسمع الكثيرون مصطلح "هجوم حجب الخدمة"، يتبادر إلى أذهانهم فورًا هجمات استهلاك الموارد التي تُشنّ من مصادر متعددة في آنٍ واحد ضد هدف واحد. هذه الهجمات هي: وزعت هجمات حجب الخدمة (DDoS). نادرًا ما تُدرج هذه الهجمات ضمن تقييم أمني احترافي.
بدلاً من ذلك، غالبًا ما يكون هجوم رفض الخدمة الفردي نتيجة محاولة غير سليمة لاستغلال ثغرة أمنية. إذا أصدر كاتب ثغرات أمنية شفرة جزئية الوظيفة أو شفرة إثبات المفهوم (PoC) واستُخدمت في الميدان، فقد يؤدي ذلك إلى حالة رفض الخدمة. حتى الاستغلال المُبرمج بشكل صحيح قد يعمل فقط في ظروف محددة للغاية ولكنه يتسبب في رفض الخدمة في ظروف أقل. قد يبدو أن الحل هو استخدام شفرة استغلال آمنة ومُختبرة فقط، أو كتابة شفرة خاصة بك. حتى مع هذا الحل، لا توجد ضمانات وهذا يحد بشدة من قدرة المُقيّم، مما يسبب قيودًا غير مبررة، مما يؤدي إلى تقييم أقل. بدلاً من ذلك، فإن المفتاح هو التسوية. تجنب شفرة إثبات المفهوم والثغرات غير المُختبرة في الميدان وتأكد دائمًا من أن محامٍ يغطيك في حالات الحوادث الأخرى.
عادةً، لا تُشنّ هجمات رفض الخدمة عمدًا. تُصنّف معظم أدوات كشف الثغرات الآلية ثغرات رفض الخدمة على أنها أقل خطورة، إذ يُمكنك إيقاف الخدمة عن العمل، ولكن لا يُمكن استغلالها لتنفيذ التعليمات البرمجية. مع ذلك، من المهم تذكّر أنه لا تُنشر جميع الثغرات علنًا، وقد تُخفي ثغرة رفض الخدمة تهديدًا أعمق وأكثر خطورة. قد توجد ثغرة لتنفيذ التعليمات البرمجية لهجوم رفض خدمة معروف، ولكنها ليست علنية. المهم هو الانتباه لثغرات رفض الخدمة وتشجيع عميلك على إصلاحها بغض النظر عن تصنيفها (الذي غالبًا ما يكون منخفضًا).