آنچه از آغاز جنگ بر اینترنت ایران گذشت

داده‌های منتشر شده از Cloudflare Radar نشان می‌دهد که این فرآیند نه‌تنها در سطح کاربری، بلکه در سطح زیرساخت و پروتکل‌های پایه شبکه نیز موثر بوده است. در این گزارش تلاش می‌‌کنیم نگاهی به آنچه طی ۱۰ روز جنگ بر اینترنت ایران گذشته است را مرور کنیم.

ثبات شبکه پیش از بحران

اولین مرحله تجاوز اسرائیل بامداد روز جمعه بیست و سوم خرداد انجام شد. تا پیش از این تاریخ اینترنت ایران از وضعیت نسبتاً پایداری برخوردار بود. ترافیک کلی و ترافیک HTTP روندی منظم و روزانه داشت. الگوی استفاده از داده‌ها در شب و روز مشخص بود، ترافیک با آغاز صبح افزایش می‌یافت، در طول روز به اوج می‌رسید و در ساعات نیمه‌شب با کاهش همراه می‌شد. نسبت بین پروتکل‌های مختلف HTTP نیز در این دوره پایدار بود. بیشترین سهم متعلق به HTTP/2 بود که نشان‌دهنده استفاده گسترده از خدمات رایج در سرویس‌های تحت وب است. همچنین HTTP/3 نیز که بر پایه پروتکل QUIC عمل می‌کند و سرعت و امنیت بالاتری دارد، سهم قابل توجهی از ترافیک داشت. این وضعیت به‌وضوح حاکی از وجود شبکه‌ای نسبتاً همگام با استانداردهای جهانی است.

در نمودار زیر می‌توانید وضعیت عادی ترافیک شبکه تا پیش از بامداد ۲۳ خرداد (۱۳ ژوئن) را مشاهده کنید. خطوط نقطه چین دوره مشابه قبل را نشان می‌دهند. از صبح روز شنبه محدودیت‌های تدریجی اینترنت آغاز می‌شود به‌طوریکه حجم ترافیک به کمتر از یک سوم هفته پیش از آن می‌رسد.

اختلال نرم و محدودیت‌های پنهان

از روز شنبه ۲۴ خرداد، هم‌زمان با اوج گرفتن بحران نظامی و آغاز رسمی جنگ، الگوی ترافیک در نمودارها دچار تغییرات قابل توجهی شد. برخلاف انتظار که شاید مصرف به دلیل بحران کاهش یابد، ترافیک درخواست‌های HTTP در ابتدا افزایش یافت. کاربران در تلاش برای دسترسی به اطلاعات، اخبار، شبکه‌های اجتماعی و ابزارهای ارتباطی بودند. با این حال، حجم کل داده‌های منتقل‌شده کاهش پیدا کرد. این تناقض نشان می‌دهد که محدودیت‌های فنی در حال اعمال بوده‌اند. عدم تطابق بین پیک درخواست‌ها و افت داده نشان‌دهنده عمدی بودن محدودیت در سطح transport یا application layer است. به بیان دیگر، گرچه کاربران بیشتر جستجو می‌کردند، اما حجم داده‌ای که دریافت یا ارسال می‌کردند کمتر از حد انتظار بوده است.

از دیدگاه فنی، این وضعیت می‌تواند به پدیده‌ای به نام “throttling” نسبت داده شود؛ یعنی کاهش عمدی پهنای باند یا سرعت اتصال به برخی خدمات خاص که با اهداف مختلفی انجام می‌شود. این روش باعث می‌شود کارایی و کیفیت اینترنت به‌شدت افت کند. Bandwidth throttling یا DPI (Deep Packet Inspection) برای محدودسازی خروجی ترافیک در این شرایط بسیار محتمل است. به‌علاوه، سهم پروتکل HTTP/3 نیز به‌طور ناگهانی کاهش یافت.

پروتکل HTTP/3 که از طریق QUIC و بر پایه UDP ارتباط برقرار می‌کند، به دلیل رمزنگاری کامل، سرعت بالا، و دشواری در پایش، معمولا در چنین شرایطی حذف یا مسدود می‌شود تا نظارت بر ترافیک با سرعت بیشتری انجام شود.

 قطع اینترنت و محدود شدن به شبکه ملی

چهارشنبه هفته گذشته (۲۸ خرداد ۱۴۰۴) نقطه عطف وضعیت اینترنت در ایران است. در این روز حجم ترافیک کلی، ترافیک HTTP و تعداد درخواست‌ها به‌طور ناگهانی به نزدیک صفر می‌رسد. نمودار Cloudflare به‌صراحت قطع ارتباط اینترنت بین‌المللی را تأیید می‌کند. این وضعیت برای حدود سه روز ادامه داشت. وزارت ارتباط نیز در اطلاعیه‌ای قطع ارتباط بین‌الملل برای جلوگیری از حملات سایبری را اعلام کرد. داده‌های نت‌بلاکس نیز که مبنای گزارش CNN بوده است نشان می‌دهد کمتر از ۳ درصد از کاربران ایران به اینترنت دسترسی داشته‌اند.

در زمان قطع اینترنت، کاربران به خدمات داخلی مانند بانک‌ها، برخی سایت‌های خبری داخلی، پلتفرم‌های بومی و پیام‌رسان‌های داخلی با میزبانی شبکه ملی دسترسی داشتند، اما هیچ‌گونه ترافیکی از ایران به خارج از کشور منتقل نمی‌شود. در این حالت، تنها کاربران خارجی مقیم ایران یا سازمان‌های خاص با زیرساخت اختصاصی ممکن است دسترسی محدودی به بیرون داشته باشند. اما در کنار این تعداد، احتمالا تعدادی از کاربران نیز به واسطه اینترنت ماهواره‌ای استارلینک ارتباط خود را با اینترنت بین‌الملل حفظ کردند.

داده‌های رادار آروان‌کلاود نشان می‌دهد قطع اینترنت از حدود ساعت ۱۶:۲۰ دقیقه چهارشنبه ۲۸ خرداد آغاز شد.

بازگشت محدود و کنترل‌شده اینترنت

صبح شنبه ۳۱ خرداد، پس از چند روز خاموشی مطلق، نمودار ترافیک دوباره رو به افزایش گذاشت. در این مرحله در کمتر از چند دقیقه ترافیک به شدت افزایش می‌یابد و به حجم پیش از خاموشی می‌رسد. نمودار زیر نشان می‌دهد که بازگشت اینترنت نه به‌صورت کامل و ناگهانی، بلکه در قالب طرحی مرحله‌ای و احتمالا با هدف نظارت دقیق‌تر انجام شده است. از نظر فنی، ممکن است ابتدا دسترسی برخی اپراتورهای ثابت یا مناطق کم‌ریسک‌تر آزاد شده باشد.

نمودار رادار کلاودفلر نشان می‌دهد ظهر روز شنبه ۳۱ خرداد ماه مجددا محدودیت‌هایی روی ترافیک اینترنت ایران اعمال شده است و پهنای باندی که به یک سوم روزهای عادی کاهش پیدا کرده بود باز هم با افت مواجه شده و به نصف رسیده است. احتمال دارد اپراتورها TLS handshaking در برخی پورت‌ها یا مسیرها را کنترل کرده باشند.

جالب آنکه در این مرحله، ترکیب پروتکل‌های HTTP نیز با حالت پیش از بحران متفاوت است. HTTP/1.x که از قدیمی‌ترین نسخه‌های این پروتکل است، سهم بیشتری یافته است، در حالی که HTTP/2 کاهش داشته و HTTP/3 همچنان بسیار محدود باقی مانده است. این تغییر نشان‌دهنده این است که مسیرهای ارتباطی مبتنی بر پروتکل‌های جدید به شکل هدفمند محدود نگه داشته شده‌اند. پروتکل HTTP/1.x به دلیل سادگی و قابلیت ردیابی بالاتر، در شرایط کنترلی ارجحیت دارد.

اینترنت در شرایط جنگی

بررسی روند اینترنت ایران در این بازه بحرانی نشان می‌دهد که مدیریت اتصال به شبکه جهانی به‌شدت تحت تاثیر جنگ و شرایط امنیتی بوده است. روندی که از ثبات آغاز شد، با اختلال‌های تدریجی وارد فاز محدودسازی شدید شد، سپس به قطع کامل منتهی گشت و در نهایت با بازگشتی محدود و محافظه‌کارانه ادامه یافت.

قطع اینترنت در زمان جنگ نه‌تنها اقدامی امنیتی-سیاسی، بلکه تصمیمی فنی برای حفظ انسجام زیرساخت، کاهش سطح حمله، جلوگیری از افشای اطلاعات حساس، کنترل بار شبکه و تمرکز بر مدیریت منابع محدود است. با این حال، این اقدام هزینه‌های اجتماعی، اقتصادی و حقوق بشری بالایی دارد و باید با درک دقیق از زیرساخت شبکه، طراحی مناسب فازبندی بازگشت، و آمادگی برای حفظ ارتباطات حیاتی انجام شود.

در شرایط جنگی، یکی از اصلی‌ترین دلایل فنی قطع اینترنت، حفاظت از زیرساخت‌های حیاتی مانند شبکه‌های برق، حمل‌ونقل و مراکز داده است. با جدا کردن این سامانه‌ها از اینترنت عمومی، امکان دسترسی از راه دور برای مهاجمان کاهش می‌یابد، سطح حمله محدود می‌شود و حملاتی مانند DDoS هدایت شده از خارج از کشور ناکارآمد می‌شوند.

از دیگر اهداف مهم این اقدام، حفظ امنیت عملیاتی و جلوگیری از افشای اطلاعات موقعیتی است. در بحران‌ها، اپلیکیشن‌های موبایلی، پیام‌رسان‌ها و شبکه‌های اجتماعی می‌توانند به‌طور ناخواسته داده‌های حساس درباره جابه‌جایی نیروها یا زیرساخت‌ها را منتشر کنند. قطع یا محدودسازی اینترنت امکان رهگیری این اطلاعات از سوی دشمن از طریق منابع عمومی (OSINT) را کاهش داده و از حملات مبتنی بر مهندسی اجتماعی جلوگیری می‌کند.

در کنار آن، قطع اینترنت می‌تواند نقش مؤثری در اختلال در فرماندهی و کنترل نیروهای دشمن (C2 Disruption) داشته باشد. در بسیاری از جنگ‌های مدرن، ارتباطات نیروهای نیابتی یا نفوذی از طریق بسترهای رمزنگاری‌شده عمومی انجام می‌شود. قطع اینترنت باعث از کار افتادن این کانال‌ها می‌شود.

در سطح داخلی، این اقدام به تثبیت و تمرکز دفاع سایبری کمک می‌کند. سامانه‌های تشخیص نفوذ IDS/IPS، فایروال‌های ملی و مراکز دفاع دیجیتال می‌توانند با کاهش ترافیک خارجی بهتر و دقیق‌تر فعالیت کنند. همچنین با هدایت کاربران به شبکه ملی، امکان نظارت مرکزی، فیلترینگ لحظه‌ای و حفظ پهنای باند برای اهداف حساس فراهم می‌شود.

در نهایت، کنترل بار شبکه و مقابله با ابزارهای عبور از فیلترینگ از دیگر ملاحظات فنی است. افزایش مصرف در بحران، همراه با رشد استفاده از VPNها، موجب فشار شدید بر شبکه می‌شود. ابزارهای نوینی که از رمزنگاری‌های پیچیده استفاده می‌کنند، ممکن است از فیلترینگ عبور کنند. قطع کامل اینترنت راهی برای جلوگیری از بروز حملات زنجیره‌ای (Cascade Failures) و حفظ ثبات عملکرد داخلی شبکه در شرایط بحرانی است.