DDoS saldırısı (Distributed Denial of Service, dağıtık hizmet engelleme), çok sayıda kaynaktan aynı anda gönderilen trafikle bir sunucuyu, uygulamayı ya da ağ bağlantısını meşru kullanıcılara hizmet veremez hale getirme girişimidir. Amaç veri çalmak değil, erişimi kesmektir: bant genişliğini doldurmak, ağ cihazlarının bağlantı tablolarını tüketmek ya da uygulamayı yanıt veremeyecek kadar meşgul etmek.
Tek bir kaynaktan gelen saldırıyı (DoS) o kaynağı engelleyerek durdurmak görece kolaydır. DDoS'u zorlaştıran şey "dağıtık" kısmıdır: trafik binlerce farklı IP adresinden gelir ve çoğu zaman meşru kullanıcı trafiğinden ilk bakışta ayırt edilemez. Bu yazıda saldırıların nasıl çalıştığını, türlerini ve kurumların kendilerini nasıl koruyabileceğini savunma tarafından anlatıyoruz.
DDoS saldırısı nedir ve nasıl çalışır?
Botnetler
Saldırı trafiğinin büyük kısmı botnetlerden gelir. Botnet, sahiplerinin haberi olmadan ele geçirilmiş ve uzaktan yönetilen cihazlardan oluşan bir ağdır. Güncellenmemiş sunucular, varsayılan parolası değiştirilmemiş IP kameralar, ev modemleri ve diğer IoT cihazları bu ağların tipik üyeleridir. Her biri tek başına küçük bir trafik üretir; on binlercesi birleştiğinde ortaya çok büyük hacimler çıkar.
Botnetlerin bir başka özelliği, gerçek ev ve iş bağlantılarından gelmeleridir. Bu yüzden yalnızca IP adresine bakarak kötü niyetli trafiği ayırmak her zaman mümkün değildir; trafiğin davranışını inceleyen filtreleme gerekir.
Amplifikasyon ve yansıtma
Yansıtma (reflection) saldırılarında saldırgan, internette açık duran ve UDP üzerinden yanıt veren hizmetlere (yanlış yapılandırılmış DNS, NTP, memcached ya da SSDP sunucuları gibi) küçük istekler gönderir. Bu isteklerin kaynak adresi kurbanın IP'siyle sahtelenmiştir; dolayısıyla yanıtlar kurbana gider.
Amplifikasyon ise bu yanıtların istekten kat kat büyük olmasından kaynaklanır. Küçük bir sorgu, kendisinden onlarca, bazı protokollerde binlerce kat büyük bir yanıt üretebilir. Böylece sınırlı kaynağa sahip bir saldırgan çok büyük bir trafik hacmini hedefe yönlendirebilir. Sorunun kalıcı çözümü, servis sağlayıcıların sahte kaynak adresli paketleri ağlarından çıkarmaması (BCP 38 olarak bilinen kaynak adresi doğrulaması) ve açık UDP hizmetlerinin kapatılmasıdır. Ancak bu sizin kontrolünüzde olmadığı için korumayı kendi tarafınızda kurmanız gerekir.
DDoS saldırı türleri
DDoS saldırıları hedef aldıkları katmana göre üç ana gruba ayrılır. Her grubun ölçü birimi ve savunma yöntemi farklıdır.
Hacimsel saldırılar (L3/L4)
Amaç hedefe giden bağlantıyı doldurmaktır; ölçü birimi saniyedeki bit sayısıdır (Gbps, Tbps). UDP flood ile DNS, NTP ve memcached amplifikasyonu bu gruptadır. Sunucunuz ne kadar güçlü olursa olsun, 10 Gbps'lik bir bağlantıya 100 Gbps trafik gelirse hat dolar ve meşru paketler de kaybolur.
Protokol saldırıları (L3/L4)
Bant genişliğinden çok ağ cihazlarının ve işletim sisteminin durum tablolarını hedefler; ölçü birimi saniyedeki paket sayısıdır (pps). En bilinen örnek SYN flood'dur: bağlantı kurma istekleri gönderilir ama TCP el sıkışması tamamlanmaz, sunucu ve güvenlik duvarı yarım kalmış bağlantılarla dolar. ACK flood ve parçalanmış paket saldırıları da bu gruptadır.
Uygulama katmanı saldırıları (L7)
Doğrudan uygulamayı hedefler; ölçü birimi saniyedeki istek sayısıdır (rps). HTTP flood, arama ya da sepet gibi sunucuyu yoran sayfalara gerçek kullanıcı gibi görünen çok sayıda istek gönderir. Slowloris gibi yavaş bağlantı saldırıları ise az sayıda bağlantıyı çok uzun süre açık tutarak web sunucusunun bağlantı havuzunu tüketir. Bu saldırılar düşük hacimli olduğundan ağ grafiğinde fark edilmeyebilir, ama bir siteyi çökertmeye yeter.
| Tür | Katman | Örnek | Nasıl filtrelenir |
|---|---|---|---|
| Hacimsel | L3/L4 | UDP flood | Yeterli kapasiteyle ağ girişinde karşılama, protokol ve port bazlı filtreleme |
| Amplifikasyon | L3/L4 | DNS, NTP, memcached yansıtma | Beklenmeyen kaynak portlarından gelen UDP yanıtlarının ağ sınırında düşürülmesi |
| Protokol | L4 | SYN flood, ACK flood | SYN cookie, bağlantı durumu doğrulaması, pps sınırları |
| Uygulama | L7 | HTTP flood | Rate-limit, davranış analizi, doğrulama sayfası, önbellek |
| Yavaş bağlantı | L7 | Slowloris | Bağlantı ve başlık zaman aşımları, IP başına bağlantı sınırı |
| Bot trafiği | L7 | Otomatik tarama ve form doldurma | Bot imzaları, GeoIP kuralları, istek deseni analizi |
Saldırı altında olduğunuzu nasıl anlarsınız?
Her yavaşlama DDoS değildir. Bir kampanya ya da viral bir paylaşım da ani trafik artışı yaratabilir; hatalı bir yazılım güncellemesi de sunucuyu kilitleyebilir. Yine de aşağıdaki belirtiler bir arada görülüyorsa saldırı olasılığı yüksektir:
- Ağ grafiğinde nedeni açıklanamayan, dik bir trafik ya da paket artışı
- Sitenin yavaşlaması, zaman aşımı hataları ve 503 yanıtlarının artması
- Gerçek kullanıcı sayısı değişmediği halde CPU kullanımının ya da bağlantı sayısının tavan yapması
- Sunucuda çok sayıda yarım açık (SYN_RECV durumunda) bağlantı
- Erişim günlüklerinde aynı adrese, aynı kullanıcı ajanıyla ya da alışılmadık ülkelerden yoğun istek
- Aynı ağdaki başka hizmetlerin de etkilenmesi
Hacimsel saldırıları en iyi ağ girişindeki trafik grafikleri gösterir; L7 saldırılarını ise uygulama ve web sunucusu günlükleri. İkisine birden bakabilmek teşhisi hızlandırır.
DDoS koruması nasıl yapılır?
DDoS koruması tek bir ürün değil, farklı katmanlarda çalışan yöntemlerin birleşimidir. Her yöntemin güçlü ve zayıf yanları vardır.
Kurum içi koruma cihazı
Kendi ağınızın girişine konan donanım ya da yazılım tabanlı koruma cihazları, protokol ve L7 saldırılarında etkilidir ve kuralları tamamen sizin kontrolünüzdedir. Temel sınırı şudur: saldırı hacmi internet bağlantınızdan büyükse hat, trafik cihaza ulaşmadan dolar. 10 Gbps'lik bir bağlantının arkasındaki cihaz, 100 Gbps'lik bir saldırıya karşı çaresizdir.
Upstream blackhole (RTBH)
Remotely Triggered Black Hole yönteminde saldırı altındaki IP adresi BGP ile işaretlenir ve servis sağlayıcı o adrese giden bütün trafiği kendi ağında düşürür. Ağın geri kalanı korunur, ama hedef IP tamamen erişilemez hale gelir; yani saldırgan amacına ulaşmış olur. RTBH son çare olarak değerlidir, ama koruma stratejisinin merkezinde olmamalıdır.
Temizleme merkezi (scrubbing center)
Saldırı sırasında trafik BGP yönlendirmesiyle uzaktaki bir temizleme merkezine çekilir, burada süzülür ve temiz trafik genellikle bir tünel üzerinden size geri gönderilir. Kapasite büyüktür; ancak trafiğin yön değiştirmesi gecikme ekleyebilir ve yalnızca talep üzerine çalışan modellerde devreye alma süresi dakikaları bulabilir.
Veri merkezi seviyesinde inline temizleme
Bu modelde trafik, veri merkezinin internet giriş noktasında sürekli analiz edilir ve saldırı tespit edildiğinde temizleme otomatik başlar. Trafik başka bir ülkeye taşınmadığı için kayda değer gecikme eklenmez; tespit ile devreye alma arasındaki süre saniyelerle ölçülür. Modelin etkinliği doğrudan tesisin upstream kapasitesine bağlıdır: veri merkezinin internete ne kadar geniş ve kaç farklı operatörle bağlandığı belirleyicidir. Bu konuyu operatör bağımsız veri merkezi yazısında ayrıntılı anlattık.
CDN ve WAF
Web uygulamaları için CDN ve web uygulama güvenlik duvarı (WAF), L7 saldırılarını uygulamaya ulaşmadan karşılar ve statik içeriği önbellekten sunarak sunucu yükünü azaltır. Ancak yalnızca HTTP ve HTTPS trafiğini korur; oyun sunucusu, e-posta, VPN ya da veritabanı gibi hizmetler bu kapsamın dışındadır. Ayrıca kaynak sunucunun gerçek IP adresi sızarsa saldırgan CDN'i atlayıp doğrudan sunucuya yönelebilir.
Pratikte en sağlam yapı katmanlı olandır: hacimsel ve protokol saldırıları veri merkezi seviyesinde, uygulama saldırıları ise L7 filtreleme ve iyi yapılandırılmış bir firewall ile karşılanır.
DDoS koruma hizmeti seçerken sorulacak sorular
Teklifleri karşılaştırırken "sınırsız koruma" gibi genel ifadeler yerine aşağıdaki soruların yazılı cevabını isteyin. Sunucu kiralarken bu soruların neden önemli olduğunu dedicated sunucu seçimi yazısında da ele aldık.
- Kapasite: Toplam temizleme kapasitesi kaç Gbps ya da Tbps, saniyede kaç milyon paket? Bu kapasite birden fazla operatöre ve güzergâha dağıtılmış mı?
- Devreye alma süresi: Koruma sürekli mi açık, yoksa saldırı tespit edilince mi devreye giriyor? Tespitten temizlemeye kaç saniye geçiyor?
- L7 desteği: HTTP flood, yavaş bağlantı ve bot trafiği için kural seti var mı? Kendi rate-limit ve GeoIP kurallarınızı tanımlayabiliyor musunuz?
- Hatalı engelleme: Meşru kullanıcıların engellenmesi (false positive) nasıl önleniyor? Yanlış engelleme olduğunda kuralı kim, ne kadar sürede düzeltiyor?
- Raporlama: Saldırı başladığında bildirim alıyor musunuz? Trafik grafiklerini ve olay kayıtlarını kendi panelinizden görebiliyor musunuz?
- Fiyat modeli: Ücret saldırı büyüklüğüne mi, temiz trafiğe mi, IP bloğuna mı bağlı? Büyük bir saldırıdan sonra sürpriz fatura riski var mı?
- Son çare politikası: Kapasite aşıldığında IP'niz blackhole'a alınıyor mu? Bu karar kim tarafından ve hangi eşikte veriliyor?
Saldırı anında yapılacaklar: kontrol listesi
Saldırı sırasında soğukkanlı ve sıralı hareket etmek kesinti süresini kısaltır. Bu listeyi önceden ekibinizle paylaşın ve iletişim bilgilerini güncel tutun.
- Doğrulayın: Ağ ve uygulama grafiklerine bakın; sorunun saldırı mı, yazılım hatası mı, yoğun meşru trafik mi olduğunu ayırın.
- Sağlayıcınıza haber verin: Veri merkezinin NOC ya da SOC ekibine hedef IP, port, protokol ve başlangıç saatini iletin.
- Korumanın devrede olduğunu teyit edin: Temizlemenin başladığını ve hangi kuralların uygulandığını panelden ya da ekipten kontrol edin.
- L7 önlemlerini sıkılaştırın: Sunucuyu yoran uç noktalara rate-limit koyun, önbelleği artırın, gerekirse geçici GeoIP kuralları uygulayın.
- Kaynak IP'yi koruyun: CDN arkasındaysanız sunucunun gerçek IP adresinin herhangi bir DNS kaydında ya da e-posta başlığında görünmediğinden emin olun.
- İletişim kurun: Müşterilerinize kısa ve dürüst bir durum bilgisi verin; destek ekibinizi bilgilendirin.
- Fidye taleplerine ödeme yapmayın: Saldırıyla birlikte gelen tehdit e-postalarını saklayın; ödeme yapmak saldırının sona ereceğini garanti etmez.
- Kayıt tutun ve sonrasını değerlendirin: Grafikleri, günlükleri ve zaman çizelgesini arşivleyin. Saldırı bittikten sonra hangi önlemin işe yaradığını ve neyin eksik kaldığını gözden geçirin.
NetDC'de RouteFence ile DDoS koruması
NetDC, veri merkezi seviyesinde inline temizlemeyi kendi geliştirdiği RouteFence altyapısıyla yapar. 7.2 Tbps üzeri temizleme kapasitesine sahip RouteFence, katman 3, 4 ve 7'de filtreleme yapar ve saldırı tespit edildikten sonra 10 saniyenin altında otomatik olarak devreye girer. Trafik, veri merkezinin giriş noktasında, yani kaynağa yakın noktada temizlenir; meşru trafik etkilenmeden hizmete ulaşır. HTTP flood, yavaş bağlantı ve bot trafiği için rate-limit ve GeoIP kural setleri bulunur.
Trafik grafikleri ve olay kayıtları müşteri panelinden izlenebilir; 7/24 SOC ekibi saldırıları takip eder. Dedicated ve colocation müşterilerinde temel koruma ücretsizdir. Daha fazlasına ihtiyaç duyanlar için /24 blok bazlı ve temiz trafik paketlerine dayalı DDoS koruma hizmeti seçenekleri sunulur. Altyapınızın ne kadar korunaklı olduğunu değerlendirmek isterseniz NOC ekibiyle görüşebilirsiniz.