DDoS Saldırıları: Tespit ve Korunma Yöntemleri

Bir e-ticaret sitesi, kampanya gününün tam ortasında aniden erişilemez hâle gelir. Sunucu logları incelendiğinde, normalin yüz katı trafiğin binlerce farklı IP adresinden aynı anda geldiği ortaya çıkar. Bu, klasik bir DDoS (Distributed Denial of Service) saldırısının belirtisidir: hedef sunucu, gerçek kullanıcıların ulaşamayacağı kadar yoğun sahte trafikle aşırı yüklenir. Saldırı birkaç dakika sürebilir, doğru savunma kurulmamışsa günlerce de devam edebilir.

Bu rehberde DDoS saldırılarının türlerini, nasıl tespit edildiğini ve hangi katmanlarda korunma sağlanabileceğini pratik adımlarla ele alıyoruz. Amaç, bir saldırı geldiğinde önceden kurulmuş bir savunma hattına sahip olmaktır.

DDoS saldırı türleri nasıl ayrılır

DDoS saldırıları, hangi katmanı hedef aldıklarına göre üç ana kategoriye ayrılır. Hacimsel (volumetric) saldırılar, hedefin bant genişliğini ham trafik miktarıyla doldurmayı amaçlar; UDP flood ve ICMP flood bu kategorinin klasik örnekleridir. Bu saldırılar genelde saniyede gigabit cinsinden ölçülür ve saldırının büyüklüğü doğrudan trafik hacmiyle orantılıdır.

Protokol saldırıları, ağ protokollerindeki zayıflıkları hedef alır ve sunucunun bağlantı kaynaklarını tüketir. SYN flood bunun tipik örneğidir: saldırgan, TCP el sıkışmasını yarıda bırakan binlerce sahte bağlantı isteği gönderir. Sunucu bu yarı açık bağlantıları bellekte tutmaya çalışırken kaynakları tükenir.

İstemci → SYN →        Sunucu
İstemci ← SYN-ACK ←     Sunucu (bekliyor)
İstemci → ACK gönderilmez → bağlantı yarı açık kalır

Uygulama katmanı (Layer 7) saldırıları en sinsi türdür, çünkü trafik meşru kullanıcı isteklerine benzer görünür. HTTP flood, çok sayıda gerçek görünümlü sayfa isteği göndererek sunucunun uygulama kaynaklarını (veritabanı sorguları, oturum yönetimi) tüketir. Bu saldırılar basit hacim eşikleriyle değil, davranışsal analizle yakalanır.

Bu üç kategori arasında tek başına en tehlikeli olan bir tür yoktur; hangisinin daha çok zarar vereceği hedef sistemin mimarisine bağlıdır. Basit bir statik web sitesi hacimsel saldırılara karşı bir CDN ile kolayca korunurken, veritabanı sorgularına dayanan karmaşık bir API uygulama katmanı saldırılarına karşı çok daha kırılgan olabilir. Bu yüzden savunma stratejisi sistemin kendi mimarisine göre kurulmalıdır.

Botnet altyapısı saldırıları nasıl büyütür

Büyük ölçekli DDoS saldırılarının çoğu, botnet adı verilen ele geçirilmiş cihaz ağları üzerinden yürütülür. Saldırgan, kötü amaçlı yazılımla enfekte ettiği binlerce cihaza komut göndererek hepsinin aynı anda hedefe trafik göndermesini sağlar. Bu cihazlar arasında ev bilgisayarları, sunucular ve giderek artan oranda güvenlik kamerası, router gibi IoT cihazları bulunur.

IoT cihazlarındaki zayıf parola ve güncellenmeyen firmware gibi sorunlar, bu cihazları botnet'lere katılmaya açık hâle getirir. 2016'daki Mirai botnet saldırısı, varsayılan parolalarla korunan yüz binlerce kameranın ele geçirilmesiyle büyüdü ve dönemin en büyük DDoS saldırılarından birini gerçekleştirdi. Cihaz sahipleri çoğu zaman cihazlarının bir saldırının parçası olduğunun farkında bile değildir.

Bu altyapıyı zayıflatmanın en etkili yolu, IoT cihazlarında varsayılan parolaları değiştirmek ve firmware güncellemelerini düzenli uygulamaktır. Kurumsal ağlarda IoT cihazlarını ayrı bir VLAN'a almak da işe yarar; bir cihaz ele geçirilse bile saldırganın ana ağa sıçramasını engeller.

Botnet kiralama hizmetleri (DDoS-for-hire / booter), saldırı düzenlemeyi teknik bilgi gerektirmeyen bir işleme dönüştürdü. Karanlık forumlarda saatlik veya günlük ücretle botnet erişimi satılıyor; bu durum küçük işletmelerin de hedef alınma riskini artırıyor. Saldırının motivasyonu artık yalnızca büyük kuruluşlarla sınırlı değil; rekabet, intikam veya sadece test amaçlı küçük saldırılar da yaygınlaştı.

Saldırıyı erken tespit etmenin yolları

Bir DDoS saldırısını erken fark etmek, hasarı sınırlamanın en etkili yoludur. Tespitin temeli, normal trafik düzeninizi bilmektir. Günlük ortalama istek sayısı, tipik kaynak IP dağılımı ve olağan trafik saatleri gibi veriler olmadan bir artışın saldırı mı yoksa organik popülerlik mi olduğunu ayırt edemezsiniz. Bu yüzden izleme araçlarını saldırıdan önce kurmak gerekir.

Aşağıdaki belirtiler bir DDoS saldırısının işareti olabilir:

• Sitenin veya API'nin aniden yavaşlaması ya da tamamen erişilemez hâle gelmesi
• Belirli bir sayfaya veya endpoint'e olağandışı sayıda istek gelmesi
• Tek bir coğrafi bölgeden ani ve büyük trafik artışı
• Sunucu CPU/bellek kullanımının kısa sürede tavan yapması
• Bağlantı sayısının normalin çok üzerine çıkması

Nginx veya Apache loglarında anlık istek yoğunluğunu görmek için basit bir komut yeterlidir:

tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20

Bu komut, son isteklerde en çok tekrar eden IP adreslerini sıralar; tek bir IP'den gelen anormal yoğunluk saldırının erken bir işareti olabilir. Cloudflare veya benzeri bir CDN kullanıyorsanız, panel üzerindeki trafik analitiği bu tespiti otomatikleştirir.

Otomatik uyarı sistemleri, manuel log takibinin yakalayamayacağı hızda tepki verir. Grafana, Zabbix veya bulut sağlayıcının kendi izleme aracı üzerinde, normal trafik eşiğinin belirli bir yüzde üzerine çıkması durumunda anlık bildirim kuralları tanımlanabilir. Bu otomasyon, gece yarısı başlayan bir saldırıyı sabaha kadar fark etmeme riskini ortadan kaldırır.

Katmanlı korunma stratejisi nasıl kurulur

Tek bir önlem, tüm DDoS türlerine karşı yeterli değildir; etkili savunma katmanlı çalışır. İlk katman, CDN ve DDoS koruma hizmetleridir. Cloudflare, AWS Shield veya benzeri servisler trafiğinizi kendi dağıtılmış altyapılarından geçirir; kötü amaçlı trafiği filtreler ve yalnızca meşru istekleri sunucunuza iletir.

İkinci katman, hız sınırlama (rate limiting) ve trafik filtrelemedir. Nginx üzerinde basit bir hız sınırlama kuralı şöyle tanımlanır:

limit_req_zone $binary_remote_addr zone=genel:10m rate=10r/s;

server {
    location / {
        limit_req zone=genel burst=20 nodelay;
    }
}

Bu yapılandırma, tek bir IP adresinin saniyede 10 istekten fazlasını sınırlar ve ani patlamalara (burst) 20 isteğe kadar tolerans tanır. Bu tür kurallar, özellikle uygulama katmanı saldırılarına karşı ilk savunma hattını oluşturur.

Üçüncü katman, altyapı kapasitesi ve ölçeklenebilirliktir. Otomatik ölçeklendirme (auto-scaling) yapılandırılmış bulut sunucular, trafik artışına karşı ek kaynak devreye sokarak küçük ve orta ölçekli saldırıların etkisini azaltır. Büyük hacimli saldırılara karşı yalnızca kapasite artırmak ise maliyetli ve genelde yetersiz kalır; bu yüzden CDN katmanı vazgeçilmezdir.

Dördüncü katman olarak, kritik servislerde coğrafi yedeklilik (multi-region) düşünülmelidir. Trafiği birden fazla veri merkezine dağıtan bir mimari, tek bir bölgeye yönelen saldırının tüm hizmeti düşürmesini engeller. Bu yaklaşım maliyetlidir ve her işletme için gerekli değildir, ama yüksek erişilebilirlik gerektiren finans veya sağlık gibi sektörlerde standart bir uygulamadır.

Saldırı anında ve sonrasında yapılacaklar

Saldırı devam ederken öncelik, meşru kullanıcıları mümkün olduğunca korumaktır. DDoS koruma hizmeti aktifse "under attack" veya benzeri agresif filtreleme modunu devreye almak şüpheli trafiği daha katı biçimde eler; bu mod bazı gerçek kullanıcılara ek doğrulama (CAPTCHA gibi) gösterebilir, ama hizmetin tamamen çökmesini önler. Sunucu loglarını saldırı sırasında saklamak, sonraki analiz için kritik bir veridir.

Saldırı sona erdikten sonra, sistemlerin tam işlevsel olduğunu doğrulamak ve olay kayıtlarını incelemek gerekir. Hangi IP aralıklarının, hangi tekniklerin kullanıldığını belgelemek gelecekteki savunmayı güçlendirir. Bu analiz, hız sınırlama kurallarını ve CDN filtreleme ayarlarını daha isabetli hâle getirmenin temelidir.

Önceden hazırlanmış bir olay müdahale planı, saldırı anındaki kararsızlığı ortadan kaldırır. Kimin karar vereceği, hangi hizmet sağlayıcının aranacağı ve hangi iletişim kanallarının kullanılacağı gibi detaylar, saldırı başladıktan sonra değil önceden netleştirilmelidir. Cloudflare'in öğrenme merkezi gibi kaynaklar, güncel saldırı teknikleri ve savunma yöntemleri hakkında düzenli bilgi sunar.

Savunma önlemlerini yılda en az bir kez tatbikatla test etmek, kâğıt üzerinde iyi görünen bir planın gerçek bir saldırıda işe yarayıp yaramadığını ortaya çıkarır. Bu tatbikatlar, ekip içindeki rollerin net olup olmadığını ve araçların doğru yapılandırıldığını gösterir. Test edilmemiş bir plan, saldırı anında beklenmedik boşluklar barındırabilir.

Katmanlı bir savunma kurup düzenli test etmek, bir DDoS saldırısını dakikalar içinde sınırlı hasarla atlatılabilir bir olaya dönüştürür.

Yazan Celil Uyanikoglu

25 yıldır bilgi işlem piyasasında farklı dallarda uzmanlaşan bir Bilgisayar Mühendisi