مقدمه: وقتی سایت وردپرسی زیر بار ترافیک از پا در می‌آید

حملات DDoS (Distributed Denial of Service) دیگر فقط مختص سازمان‌های بزرگ نیستند. امروزه حتی سایت‌های وردپرسی کوچک هم هدف حملات DDoS سبک قرار می‌گیرند — حملاتی که شاید سرور را کاملاً از کار نیندازند، اما به اندازه‌ای ترافیک ارسال می‌کنند که سایت کند شود، خطا بدهد یا برای کاربران واقعی غیرقابل دسترس شود.

در این مقاله بررسی می‌کنیم که حملات DDoS سبک چگونه کار می‌کنند، چرا وردپرس در برابر آن‌ها آسیب‌پذیر است، و چطور سرور وب LiteSpeed می‌تواند این نوع حملات را به‌طور موثری دفع کند.

حمله DDoS سبک چیست؟

حملات DDoS در مقیاس‌های مختلفی اتفاق می‌افتند. حملات بزرگ که ترافیک چند گیگابیت در ثانیه دارند، نیاز به زیرساخت دفاعی در سطح شبکه دارند. اما حملات DDoS سبک یا لایه ۷ (Application Layer DDoS) متفاوت‌اند:

• به جای flood کردن پهنای باند، درخواست‌های HTTP معتبر اما زیاد ارسال می‌کنند
• هر درخواست به ظاهر عادی است — مثل یک کاربر واقعی که صفحه‌ای را باز می‌کند
• اما حجم این درخواست‌ها آنقدر زیاد است که سرور نمی‌تواند همه را پاسخ دهد
• با ابزارهای ساده و ارزان قابل اجرا هستند
• شناسایی آن‌ها سخت‌تر است چون ترافیک مشکوک به نظر نمی‌رسد

انواع رایج حملات DDoS سبک روی وردپرس

HTTP Flood: ارسال هزاران درخواست GET یا POST در ثانیه به صفحات مختلف سایت.

حمله به صفحه ورود (wp-login.php): Brute Force ترکیب‌شده با حجم بالای درخواست که همزمان هم رمز را حدس می‌زند و هم سرور را تحت فشار می‌گذارد.

XML-RPC Flood: سوءاستفاده از XML-RPC وردپرس که می‌تواند در هر درخواست چندین عملیات را اجرا کند — این یعنی یک درخواست می‌تواند بار چند درخواست معمولی را تولید کند.

Slowloris Attack: باز نگه‌داشتن هزاران اتصال HTTP ناقص برای خسته کردن منابع سرور.

چرا وردپرس در برابر این حملات آسیب‌پذیر است؟

وردپرس یک CMS پویا است. این یعنی برای هر صفحه‌ای که باز می‌شود، PHP اجرا می‌شود، به پایگاه داده MySQL وصل می‌شود، و محتوا در لحظه تولید می‌شود. این فرایند منابع زیادی مصرف می‌کند.

وقتی هزاران درخواست همزمان می‌رسند، CPU و RAM سرور اشباع می‌شوند. سرورهای وب معمولی مثل Apache برای هر درخواست یک Thread یا Process جدید ایجاد می‌کنند — و در حملات DDoS، این منابع به سرعت تمام می‌شوند.

نقش LiteSpeed در مقابله با حملات DDoS سبک

LiteSpeed Web Server (LSWS) یک سرور وب تجاری است که از نظر معماری کاملاً متفاوت از Apache طراحی شده و چندین مکانیزم دفاعی داخلی دارد.

۱. معماری Event-Driven: کمتر خسته می‌شود

Apache با هر درخواست یک Thread جدید ایجاد می‌کند. در حمله DDoS، هزاران Thread ایجاد می‌شود و حافظه سرور تمام می‌شود. LiteSpeed از معماری Event-Driven (مشابه Nginx) استفاده می‌کند — یعنی می‌تواند هزاران اتصال همزمان را با منابع بسیار کمتری مدیریت کند.

۲. Anti-DDoS و Rate Limiting داخلی

LiteSpeed دارای ابزارهای داخلی برای محدود کردن نرخ درخواست است. می‌توانید تعداد درخواست‌های مجاز از هر IP در بازه زمانی مشخص را تعریف کنید. اگر یک IP بیش از حد مجاز درخواست ارسال کند، به‌صورت خودکار مسدود یا محدود می‌شود.

۳. مسدود کردن خودکار XML-RPC

LiteSpeed می‌تواند درخواست‌های مشکوک به XML-RPC را شناسایی و مسدود کند. این ویژگی یکی از بهترین راه‌های جلوگیری از یکی از رایج‌ترین بردارهای حمله به وردپرس است.

۴. محافظت از wp-login.php

LiteSpeed می‌تواند تعداد تلاش‌های ناموفق ورود را محدود کند و IP های مهاجم را به‌طور خودکار بلاک کند — بدون نیاز به افزونه جداگانه.

۵. کش سطح سرور: کمتر PHP اجرا می‌شود

یکی از قوی‌ترین ابزارهای LiteSpeed در برابر DDoS، سیستم کش آن (LiteSpeed Cache یا LSCache) است. وقتی صفحات وردپرس کش شده باشند، LiteSpeed می‌تواند آن‌ها را مستقیماً از کش تحویل دهد — بدون اجرای PHP یا کوئری MySQL. این یعنی حتی در هنگام حمله، سرور می‌تواند هزاران درخواست را بدون فشار زیاد پاسخ دهد.

۶. SSL Offloading

پردازش SSL/TLS منابع زیادی مصرف می‌کند. LiteSpeed این پردازش را بهینه انجام می‌دهد و از اشباع منابع سرور در هنگام ترافیک سنگین جلوگیری می‌کند.

مقایسه عملکرد: Apache در مقابل LiteSpeed در شرایط حمله

در آزمایش‌های مستقل، LiteSpeed می‌تواند با همان سخت‌افزار تا ۶ برابر بیشتر از Apache درخواست‌های همزمان را مدیریت کند. این یعنی یک حمله DDoS سبک که سرور Apache را از کار می‌اندازد، ممکن است برای LiteSpeed تنها یک افزایش جزئی در بار باشد.

LiteSpeed Cache: سلاح پنهانی وردپرس

افزونه LiteSpeed Cache برای وردپرس یکی از قوی‌ترین افزونه‌های کش موجود است. در ترکیب با سرور LiteSpeed:

• صفحات استاتیک کش می‌شوند و بدون اجرای PHP تحویل داده می‌شوند
• کش برای کاربران لاگین‌کرده هم به درستی مدیریت می‌شود
• تصاویر بهینه‌سازی و lazy load می‌شوند
• Critical CSS تولید می‌شود تا سرعت رندر اولیه بهبود یابد

اقدامات تکمیلی برای محافظت از وردپرس در برابر DDoS

حتی با LiteSpeed، برخی اقدامات تکمیلی توصیه می‌شود:

• غیرفعال کردن XML-RPC اگر از آن استفاده نمی‌کنید
• تغییر آدرس wp-login.php یا محدود کردن دسترسی به آن
• استفاده از CDN برای توزیع ترافیک و فیلتر اولیه درخواست‌های مخرب
• Imunify360 در سطح سرور برای شناسایی و مسدود کردن خودکار IP های مهاجم
• محدود کردن تعداد اتصال‌های همزمان از هر IP

جمع‌بندی

حملات DDoS سبک یکی از تهدیدات رایج برای سایت‌های وردپرسی هستند. این حملات نه با پهنای باند، بلکه با حجم درخواست‌های HTTP سرور را تحت فشار می‌گذارند.

LiteSpeed Web Server با معماری Event-Driven، سیستم کش قوی، Rate Limiting داخلی و محافظت از نقاط آسیب‌پذیر کلیدی وردپرس مثل wp-login.php و XML-RPC، یکی از بهترین انتخاب‌ها برای مقابله با این نوع حملات است.

در میهن هاستینگ، تمام سرویس‌های هاست وردپرس ما بر روی سرورهای LiteSpeed اجرا می‌شوند و از LiteSpeed Cache، Imunify360 و CloudLinux بهره می‌برند تا سایت شما حتی در شرایط ترافیک غیرعادی پایدار بماند.