DDoS (Dağıtık hizmet reddi)

DDoS nedir?

DDoS (Distributed Denial of Service), çok sayıda farklı kaynaktan eşzamanlı gönderilen trafikle bir sitenin veya servisin erişilemez hâle getirilmesidir. Saldırı trafiği genellikle ele geçirilmiş cihazlardan oluşan botnet’ler üzerinden gelir.

Dağıtık olması, tek bir IP’yi engelleyerek çözülmesini imkânsız kılar. Bu nedenle DDoS savunması çoğunlukla ağ düzeyinde ve sağlayıcı seviyesinde yürütülür.

Nasıl çalışır?

DDoS saldırıları hedefledikleri katmana göre ayrılır:

• Hacimsel saldırılar: Bant genişliğini doldurmayı amaçlar; yansıtma ve yükseltme teknikleriyle büyütülebilir.
• Protokol saldırıları: Bağlantı tablolarını ve güvenlik duvarı kaynaklarını tüketir (örneğin SYN taşkını).
• Uygulama katmanı saldırıları: Meşru görünen HTTP istekleriyle uygulamayı yorar.

Hacimsel saldırılarda sunucu daha fark etmeden bağlantı hattı dolabilir; uygulama saldırıları ise düşük hacimle bile ağır sayfaları hedef alabilir.

Sunucu ve hosting ortamında

Tek bir sunucunun kendi kapasitesiyle büyük bir hacimsel saldırıyı karşılaması mümkün değildir; çünkü sorun bağlantı hattının dolmasıdır. Bu yüzden sağlayıcının DDoS koruması, trafik temizleme hizmetleri ve CDN kritik rol oynar.

• Sunucu seviyesinde SYN koruması, bağlantı limitleri ve hız sınırlama uygulanabilir.
• Gerçek sunucu IP’sini gizlemek, doğrudan saldırıyı zorlaştırır.
• Hosting sağlayıcınızın DDoS koruma kapsamını önceden öğrenin.

Nasıl korunulur?

• Ağ düzeyinde DDoS koruması sunan bir sağlayıcı veya koruma hizmeti kullanın.
• Siteyi CDN ve ters vekil arkasına alın; kaynak sunucunun IP’sini gizleyin.
• Uygulama katmanında hız sınırlama ve WAF kuralları uygulayın.
• Önbelleklemeyi artırın; ağır sayfaların her istekte üretilmesini önleyin.
• Gereksiz açık UDP servislerini kapatın; yansıtma saldırılarına araç olmayın.
• Saldırı durumunda kimin ne yapacağını içeren bir müdahale planı hazırlayın.

Sık yapılan hatalar

• Koruma hizmetini saldırı başladıktan sonra aramak.
• Gerçek sunucu IP’sini DNS kayıtlarında veya e-posta başlıklarında açık bırakmak.
• Kapasite artırarak hacimsel saldırının çözülebileceğini düşünmek.
• Açık DNS çözümleyici veya benzeri yansıtmaya elverişli servisleri bırakmak.