DDoS Nedir? DDoS Saldırısı Nasıl Önlenir?

Web siteleri ve çevrim içi hizmetler için erişilebilirlik, siber güvenliğin temel parçalarından biridir. Bir sistem güvenli görünse bile kullanıcıların ihtiyaç duyduğu anda hizmet veremiyorsa işletme açısından önemli kayıplar oluşabilir.

DDoS saldırısı, bir sunucuya, ağa veya uygulamaya çok sayıda kaynaktan yoğun trafik göndererek gerçek kullanıcıların hizmete ulaşmasını engellemeyi amaçlar. Bu saldırılar web sitesinin yavaşlamasına, tamamen kapanmasına ve işletme operasyonlarının aksamasına neden olabilir.

Bu yazıda DDoS'un ne olduğunu, saldırı türlerini, belirtilerini ve savunma amacıyla uygulanabilecek güvenlik önlemlerini ele alıyoruz.

1. DDoS Nedir?

DDoS, İngilizce “Distributed Denial of Service” ifadesinin kısaltmasıdır. Türkçede “Dağıtık Hizmet Engelleme” veya “Dağıtılmış Hizmet Reddi” saldırısı olarak ifade edilebilir.

DDoS saldırısında hedef sisteme birbirinden farklı çok sayıda cihaz veya ağ kaynağından trafik gönderilir. Sunucunun, internet bağlantısının ya da uygulamanın kapasitesi tüketilmeye çalışılarak gerçek kullanıcıların hizmete erişmesi zorlaştırılır.

2. DDoS Açılımı Ne Demektir?

• Distributed: Saldırının birden fazla kaynaktan gerçekleştirilmesini ifade eder
• Denial of Service: Hedef hizmetin gerçek kullanıcılar tarafından kullanılamaz hâle getirilmesini anlatır

Saldırı trafiğinin çok sayıda kaynaktan gelmesi, zararlı ve gerçek kullanıcı trafiğinin birbirinden ayrılmasını zorlaştırabilir.

3. DDoS Saldırısı Nasıl Çalışır?

DDoS saldırılarında saldırganlar çoğu zaman daha önce ele geçirilmiş bilgisayar, sunucu veya internete bağlı cihazlardan oluşan bir ağdan yararlanır. Bu cihazların oluşturduğu ağa botnet adı verilir.

Saldırgan, botnet içerisindeki cihazlara hedef sisteme istek göndermeleri için komut verebilir. Çok sayıda cihaz aynı anda trafik oluşturduğunda hedefin ağ veya uygulama kaynakları yetersiz kalabilir.

Bu açıklama saldırının genel çalışma mantığını anlatmaktadır. İzinsiz saldırı düzenlemek veya başka bir sisteme zarar verecek araçlar kullanmak hukuka aykırıdır.

4. Botnet Nedir?

Botnet, kötü amaçlı yazılımlar veya güvenlik açıkları aracılığıyla ele geçirilmiş ve uzaktan kontrol edilen cihazlardan oluşan ağdır. Botnet içerisinde bilgisayarlar, sunucular, modemler, kameralar ve farklı IoT cihazları bulunabilir.

Cihaz sahibi, sisteminin bir botnet içerisinde kullanıldığını her zaman fark etmeyebilir. Güncellenmeyen yazılımlar, varsayılan parolalar ve internete gereksiz biçimde açık hizmetler cihazların ele geçirilme riskini artırabilir.

5. DoS ile DDoS Arasındaki Fark Nedir?

DoS ve DDoS saldırılarının temel amacı hizmeti erişilemez hâle getirmektir. Aralarındaki temel fark, saldırı trafiğinin kaynağıdır.

• DoS saldırısı: Trafik genellikle tek bir sistem veya sınırlı bir kaynaktan gelir
• DDoS saldırısı: Trafik çok sayıda dağıtık cihaz veya ağ kaynağından gelir

Dağıtık yapı nedeniyle DDoS trafiğini yalnızca kaynak IP adreslerini engelleyerek durdurmak daha zor olabilir.

6. DDoS Saldırısı Türleri Nelerdir?

DDoS saldırıları hedef aldığı kaynaklara ve kullandığı yönteme göre genel olarak üç ana grupta incelenebilir:

• Hacimsel saldırılar: İnternet bağlantısının kullanılabilir kapasitesini yoğun trafikle tüketmeyi amaçlar
• Protokol saldırıları: Ağ ve taşıma katmanlarındaki protokol davranışlarından yararlanarak ağ cihazları veya sunucu kaynakları üzerinde yük oluşturur
• Uygulama katmanı saldırıları: Web sayfası, arama, giriş veya API gibi uygulama işlevlerine çok sayıda istek göndererek uygulama kaynaklarını tüketmeye çalışır

Gerçek olaylarda birden fazla saldırı türü aynı anda kullanılabilir. Bu nedenle yalnızca tek katmanda koruma sağlamak yeterli olmayabilir.

7. Hacimsel DDoS Saldırısı Nedir?

Hacimsel saldırılar, hedef sistemin veya veri merkezinin internet bağlantısını büyük miktarda trafikle doldurmayı amaçlar. Trafik hedefe ulaşmadan önce servis sağlayıcının veya ağ bağlantısının kapasitesini tüketebilir.

Bu tür saldırılarda yüksek kapasiteli, dağıtık trafik temizleme altyapısına sahip bir DDoS koruma sağlayıcısı gerekebilir. Yalnızca sunucunun işlemci veya bellek kapasitesini artırmak ağ bağlantısındaki tıkanmayı çözmeyebilir.

8. Protokol DDoS Saldırısı Nedir?

Protokol saldırıları; güvenlik duvarı, yük dengeleyici veya sunucu gibi bileşenlerin bağlantı tablolarını ve ağ kaynaklarını tüketmeye çalışır.

Bu saldırılara karşı ağ katmanında trafik analizi, bağlantı sınırları, servis sağlayıcı koruması ve uygun güvenlik cihazları birlikte kullanılabilir.

9. Uygulama Katmanı DDoS Saldırısı Nedir?

Uygulama katmanı saldırıları, normal kullanıcı isteğine benzeyen web veya API trafiği oluşturarak uygulamanın işlemci, veri tabanı veya bağlantı kaynaklarını tüketmeyi amaçlar.

Bu saldırılar daha düşük trafik miktarlarıyla etkili olabildiği ve normal kullanıcı davranışına benzeyebildiği için tespit edilmesi zor olabilir.

Uygulama katmanında WAF, bot yönetimi, davranış analizi, önbellekleme ve uygun oran sınırlama politikaları kullanılabilir.

10. DNS DDoS Saldırısı Nedir?

DNS, alan adlarını ilgili sunucu adresleriyle eşleştiren temel internet hizmetlerinden biridir. DNS altyapısına yönelik saldırılar, ana web sunucusu çalışıyor olsa bile kullanıcıların alan adına ulaşamamasına neden olabilir.

DNS dayanıklılığı için dağıtık ve yönetilen DNS hizmetleri, birden fazla erişim noktası, izleme sistemleri ve uygun servis sağlayıcı korumaları değerlendirilebilir.

11. DDoS Saldırısının Belirtileri Nelerdir?

• Web sitesinin aniden yavaşlaması
• Sayfaların zaman aşımına uğraması
• Sunucu kaynak kullanımının olağan dışı biçimde yükselmesi
• Belirli sayfa veya API adreslerine yoğun istek gelmesi
• Belirli protokol veya trafik türlerinde ani artış görülmesi
• Çok sayıda farklı kaynaktan benzer istek alınması
• Gerçek kullanıcıların bağlantı kuramaması
• Güvenlik duvarı veya yük dengeleyici bağlantı tablolarının dolması
• Veri tabanı bağlantılarının tükenmesi
• DNS hizmetinde erişim sorunları yaşanması

Bu belirtiler her zaman DDoS saldırısı anlamına gelmez. Başarılı bir kampanya, hatalı yazılım sürümü, barındırma sorunu veya beklenmeyen gerçek trafik artışı da benzer sonuçlar doğurabilir.

12. DDoS Saldırısı Nasıl Tespit Edilir?

DDoS tespiti, mevcut trafiğin normal kullanım davranışıyla karşılaştırılmasına dayanır. İşletmenin normal trafik düzeyi bilinmiyorsa olağan dışı değişikliklerin değerlendirilmesi zorlaşabilir.

Tespit sürecinde şu veriler kullanılabilir:

• Ağ akış kayıtları
• CDN ve WAF raporları
• Yük dengeleyici kayıtları
• Sunucu ve uygulama günlükleri
• DNS sorgu verileri
• İstek ve bağlantı oranları
• Sunucu kaynak kullanım ölçümleri
• Uygulama hata oranları
• Gerçek kullanıcı performans ölçümleri

Tek bir trafik eşiğine dayanmak yerine trafik kaynağı, istek türü, kullanıcı davranışı ve sistem sağlığı birlikte değerlendirilmelidir.

13. DDoS Saldırısı ile Yoğun Gerçek Trafik Nasıl Ayırt Edilir?

Bir kampanya, haber veya etkinlik nedeniyle siteye çok sayıda gerçek kullanıcı gelebilir. Bu durum “flash crowd” olarak adlandırılan ani ve meşru trafik artışına neden olabilir.

Ayırım yapılırken şu sinyaller değerlendirilebilir:

• Kullanıcıların sayfalar arasındaki hareketleri
• İsteklerin kaynak dağılımı
• Oturum ve çerez davranışları
• Aynı uç noktaya tekrarlanan istekler
• Tarayıcı ve istemci özellikleri
• Hata ve başarısız bağlantı oranları
• İsteklerin işletmenin kampanya ve yayınlarıyla ilişkisi

Otomatik engelleme kurallarının yanlış yapılandırılması gerçek müşterilerin de siteye erişememesine neden olabilir.

14. Anti-DDoS Nedir?

Anti-DDoS, DDoS trafiğini tespit etmek, filtrelemek ve hedef sisteme ulaşmadan etkisini azaltmak için kullanılan hizmet ve teknolojilerin genel adıdır.

Bir anti-DDoS çözümü şu bileşenlerden yararlanabilir:

• Dağıtık trafik karşılama ağı
• Trafik temizleme merkezleri
• Anomali ve davranış analizi
• Otomatik trafik filtreleme
• Web uygulaması güvenlik duvarı
• Bot yönetimi
• Oran sınırlama
• Yük dengeleme
• Gerçek zamanlı izleme ve uyarılar
• Olay müdahale desteği

15. DDoS Saldırıları Tamamen Önlenebilir mi?

Bir saldırganın DDoS saldırısı başlatmasını tamamen engellemek genellikle mümkün değildir. DDoS korumasının amacı saldırı trafiğini erken tespit etmek, etkisini azaltmak ve gerçek kullanıcıların hizmete erişimini mümkün olduğunca sürdürmektir.

Hiçbir ürün veya hizmet her koşulda kesintisiz çalışma garantisi sunmaz. Koruma seviyesi, sistemin riskleri ve iş sürekliliği hedefleri doğrultusunda planlanmalıdır.

16. Web Sitesi DDoS Saldırısından Nasıl Korunur?

• Yönetilen bir DDoS koruma hizmeti kullanmak
• CDN üzerinden statik içerikleri dağıtmak
• Kaynak sunucunun doğrudan adresini gereksiz yere açığa çıkarmamak
• Web uygulaması güvenlik duvarı kullanmak
• Uygun oran sınırlama kuralları oluşturmak
• Bot yönetimi ve davranış analizi uygulamak
• Yük dengeleme ve otomatik ölçeklendirme kullanmak
• DNS altyapısını dayanıklı hâle getirmek
• Önbellekleme oranını artırmak
• Gereksiz ağ hizmetlerini kapatmak
• Ağ ve uygulama trafiğini sürekli izlemek
• Olay müdahale planı hazırlamak
• Servis sağlayıcı iletişim bilgilerini güncel tutmak

17. CDN DDoS Koruması Sağlar mı?

CDN, web içeriğini farklı bölgelerdeki sunucular üzerinden dağıtarak kaynak sunucu üzerindeki yükü azaltabilir. Geniş bir dağıtık ağ, zararlı trafiğin tek bir sunucuya ulaşmadan karşılanmasına yardımcı olabilir.

Ancak CDN kullanmak tek başına tüm DDoS saldırılarına karşı yeterli olmayabilir. Kaynak sunucunun doğrudan erişilebilir olması, korunmayan alt alan adları veya uygulama katmanındaki pahalı işlemler saldırganların koruma katmanını aşmasına neden olabilir.

18. WAF ile DDoS Koruması Arasındaki Fark Nedir?

Web uygulaması güvenlik duvarı, web isteklerini inceleyerek belirli saldırı ve kötüye kullanım türlerini filtrelemeyi amaçlar. DDoS koruması ise ağ, protokol ve uygulama katmanlarındaki yoğun saldırı trafiğini karşılamaya odaklanır.

WAF, özellikle uygulama katmanı DDoS saldırılarında önemli bir savunma bileşenidir. Ancak çok büyük hacimsel saldırıların yalnızca kaynak sunucudaki WAF ile karşılanması mümkün olmayabilir. Bu nedenle katmanlı güvenlik yaklaşımı kullanılmalıdır.

19. Oran Sınırlama Nedir?

Oran sınırlama, belirli bir kullanıcı, oturum, IP adresi veya uç noktanın belirli süre içerisinde yapabileceği istek sayısını kontrol eder.

Giriş, arama, parola yenileme ve yoğun veri tabanı işlemi gerçekleştiren API uç noktalarında uygun sınırlar kullanılabilir. Ancak sabit ve çok düşük sınırlar; ortak ağları, mobil kullanıcıları veya yoğun gerçek müşterileri yanlışlıkla engelleyebilir.

Kurallar önce izleme modunda değerlendirilebilir ve normal trafik davranışı anlaşıldıktan sonra kademeli olarak uygulanabilir.

20. Cloudflare DDoS Koruması Nasıl Çalışır?

Cloudflare gibi ters proxy ve CDN sağlayıcıları, web trafiğini kendi dağıtık ağları üzerinden geçirerek zararlı trafiği kaynak sunucuya ulaşmadan tespit edip azaltmayı amaçlar.

Kurulum sırasında yalnızca alan adını yönlendirmek yeterli olmayabilir. Kaynak IP adresinin korunması, DNS kayıtlarının kontrol edilmesi, WAF ve oran sınırlama ayarlarının hazırlanması ve gerçek trafik davranışının izlenmesi gerekir.

Sunulan özellikler ve destek seviyesi hizmet planına göre değişebileceğinden güncel ürün sayfaları incelenmelidir.

21. AWS DDoS Protection

AWS üzerinde temel ağ ve taşıma katmanı DDoS koruması için AWS Shield Standard, desteklenen hizmetlerle birlikte otomatik olarak sunulur. Daha gelişmiş tespit, uygulama katmanı koruması ve olay müdahale özellikleri için AWS Shield Advanced değerlendirilebilir.

AWS ortamında DDoS dayanıklılığı için şu bileşenler birlikte kullanılabilir:

• Amazon CloudFront
• Route 53
• Yük dengeleyiciler
• AWS WAF
• AWS Shield
• Otomatik ölçeklendirme
• CloudWatch izleme ve uyarıları
• Sağlık kontrolleri

Doğru yapılandırma, korunacak kaynakların türüne ve uygulamanın mimarisine göre planlanmalıdır.

22. Azure DDoS Protection

Azure DDoS Protection, Azure üzerindeki uygun ağ kaynaklarına yönelik ağ katmanı DDoS saldırılarını tespit etmek ve azaltmak için kullanılır. Sunulan koruma seviyeleri ve özellikler seçilen hizmet katmanına göre değişebilir.

Microsoft, DDoS korumasının uygulama tasarımı, ölçeklenebilirlik, izleme, Web Application Firewall ve olay müdahale planıyla birlikte kullanılmasını önerir.

23. DDoS Blackhole Yönlendirmesi Nedir?

Blackhole yönlendirmesi, belirli hedefe gelen trafiğin tamamının geçersiz bir rotaya yönlendirilerek düşürülmesidir. Saldırı trafiğinin ağın diğer bölümlerini etkilemesini önleyebilir ancak gerçek kullanıcı trafiği de engellenir.

Bu nedenle blackhole yöntemi hizmeti erişilebilir tutan bir çözüm değil, ağın geri kalanını korumak için uygulanabilecek son seçeneklerden biridir. Trafik temizleme hizmetleri, zararlı trafiği ayırarak gerçek kullanıcı bağlantılarını sürdürmeyi hedefler.

24. Carpet Bombing DDoS Nedir?

Carpet bombing, saldırı trafiğinin tek bir IP adresine yoğunlaştırılması yerine hedef ağdaki çok sayıda adrese dağıtılması yaklaşımıdır. Her hedefteki trafik tek başına belirlenen uyarı eşiğini aşmayabilir ancak toplam ağ kapasitesi üzerinde önemli yük oluşabilir.

Bu tür saldırıların tespitinde yalnızca tek tek IP adreslerini değil, ağ bloğu ve toplam trafik davranışını izleyen sistemler gerekir.

25. DDoS Saldırısı Sırasında Ne Yapılmalıdır?

DDoS olayında önceden hazırlanmış müdahale planı uygulanmalıdır. Panik sırasında rastgele güvenlik kuralları eklemek gerçek kullanıcıların da engellenmesine neden olabilir.

• Olay müdahale ekibi ve sorumlular bilgilendirilir
• Kesintinin DDoS kaynaklı olup olmadığı doğrulanır
• Hosting, internet ve DDoS koruma sağlayıcısıyla iletişime geçilir
• Trafik, sistem ve uygulama kayıtları korunur
• Saldırının hedef aldığı katman ve kaynaklar belirlenir
• Önceden test edilmiş koruma politikaları devreye alınır
• Gerçek kullanıcı erişimi izlenir
• Müşteri ve paydaş iletişimi hazırlanır
• Gerekli durumlarda ilgili kurumlara bildirim yapılır
• Olay sonrasında kök neden ve müdahale değerlendirmesi gerçekleştirilir

26. Kaynak IP Adresi Neden Korunmalıdır?

Bir web sitesi CDN veya ters proxy arkasında çalışsa bile kaynak sunucunun IP adresi biliniyorsa saldırganlar koruma ağını atlayarak sunucuya doğrudan trafik göndermeye çalışabilir.

Kaynak sunucuda yalnızca güvenilir proxy ağlarından gelen bağlantılara izin verilmesi, gereksiz DNS kayıtlarının kaldırılması ve yönetim servislerinin herkese açık olmaması değerlendirilebilir. Bu ayarlar uzman kontrolünde uygulanmalıdır; hatalı güvenlik duvarı kuralları sitenin tamamen erişilemez olmasına neden olabilir.

27. DDoS Testi Nasıl Yapılmalıdır?

DDoS dayanıklılık testleri yalnızca sistem sahibinin açık izniyle, kontrollü koşullarda ve hizmet sağlayıcılarla koordine edilerek gerçekleştirilmelidir. Üçüncü kişilere ait sistemlere veya gerçek üretim ortamlarına izinsiz trafik göndermek hukuka aykırı olabilir ve ciddi zarara yol açabilir.

Güvenli bir test sürecinde:

• Yazılı yetki ve açık test kapsamı belirlenir
• Hosting ve bulut sağlayıcının test politikaları kontrol edilir
• Trafik sınırları ve durdurma koşulları tanımlanır
• Mümkünse izole test veya hazırlık ortamı kullanılır
• Teknik ve iş birimleri önceden bilgilendirilir
• İzleme sistemleri aktif hâle getirilir
• Acil durdurma ve geri dönüş planı hazırlanır
• Test sonrasında sonuçlar raporlanır

İnternette “ücretsiz DDoS testi” veya “stresser” adıyla sunulan hizmetler yasal, güvenli ya da güvenilir kabul edilmemelidir.

28. DDoS Saldırısının Cezası Var mı?

Başkasına ait bir sistemin çalışmasını izinsiz biçimde engellemek veya bozmak hukuki ve cezai sorumluluk doğurabilir. Saldırı aracı sağlamak, saldırıya yardımcı olmak veya ele geçirilmiş cihazları kullanmak da ayrıca sonuçlar oluşturabilir.

Uygulanacak hükümler olayın niteliğine, verilen zarara ve ilgili ülkenin mevzuatına göre değişir. Somut bir olayda güncel hukuki değerlendirme için uzman görüşü alınmalıdır.

29. DDoS Olay Müdahale Planında Neler Bulunmalıdır?

• Teknik ve yönetsel sorumlular
• Hosting, internet ve güvenlik sağlayıcılarının iletişim bilgileri
• Normal trafik ve performans ölçümleri
• Uyarı seviyeleri ve müdahale eşikleri
• Koruma politikalarının devreye alınma adımları
• Alternatif DNS ve iletişim kanalları
• Müşteri ve paydaş iletişim şablonları
• Kanıt ve günlük kayıtlarını koruma yöntemi
• Hizmet geri dönüş kontrolleri
• Olay sonrası değerlendirme süreci

30. Anti-DDoS Hizmeti Seçerken Nelere Dikkat Edilmelidir?

• Ağ, protokol ve uygulama katmanı koruması
• Dağıtık ağ ve trafik karşılama kapasitesi
• Her zaman açık veya talep üzerine koruma seçenekleri
• Otomatik tespit ve müdahale yetenekleri
• WAF ve bot yönetimi özellikleri
• DNS ve kaynak sunucu koruması
• Gerçek zamanlı raporlama
• Yanlış pozitifleri yönetme imkânı
• Olay sırasında teknik destek ve müdahale süresi
• Hizmet seviyesi taahhütleri
• Trafik ve veri konumlandırma gereksinimleri
• Maliyet ve beklenmeyen kullanım koşulları

31. DDoS Korumasında Sık Yapılan Hatalar

• Yalnızca sunucu kaynaklarını artırmanın yeterli olduğunu düşünmek
• Koruma hizmetini ancak saldırı başladıktan sonra araştırmak
• Kaynak sunucunun IP adresini açık bırakmak
• Tüm saldırı türleri için yalnızca WAF kullanmak
• Normal trafik davranışını ölçmemek
• Aşırı katı kurallarla gerçek kullanıcıları engellemek
• DNS altyapısını koruma dışında bırakmak
• Uygulama ve API uç noktalarını izlememek
• Olay müdahale planı hazırlamamak
• Yedek iletişim kanalları oluşturmamak
• İzinsiz ve kontrolsüz saldırı testi yapmak

DDoS Savunması Katmanlı Bir Güvenlik Yaklaşımı Gerektirir

DDoS saldırıları ağ bağlantısından web uygulamasına kadar farklı katmanları hedefleyebilir. Bu nedenle tek bir güvenlik ürünü yerine CDN, yönetilen DDoS koruması, WAF, bot yönetimi, oran sınırlama, ölçeklenebilir altyapı ve sürekli izlemenin birlikte kullanılması gerekir.

Teknik önlemler kadar hazırlık da önemlidir. İşletmeler normal trafik davranışını ölçmeli, servis sağlayıcılarıyla iletişim planı oluşturmalı ve saldırı anında uygulanacak adımları önceden belirlemelidir.

Web sitenizin güvenlik durumunu değerlendirmek, DDoS risklerine karşı dayanıklı bir altyapı planlamak ve koruma katmanlarını doğru yapılandırmak isterseniz, Taksim Ajans olarak teknik analiz ve güvenli web altyapısı süreçlerinde profesyonel destek sunuyoruz.