DDoS (Distributed Denial of Service) saldırıları, web sitelerinin erişilebilirliğini hedef alır. Bu rehberde DDoS nedir, nasıl çalışır ve web sitenizi korumak için hangi önlemler alınabilir sorularını ele alıyoruz. Hosting altyapısı, trafik filtreleme ve olay müdahalesinin farklı saldırı türlerine karşı nasıl birlikte kullanılabileceğini açıklıyoruz.
DDoS Nedir?
DDoS (Distributed Denial of Service), Türkçesiyle dağıtılmış hizmet engelleme saldırısı, bir web sitesi, sunucu veya ağ hizmetinin kapasitesini tüketerek meşru kullanıcılara hizmet vermesini aksatmayı amaçlar. Trafiğin birden fazla kaynaktan gelmesi, saldırının “dağıtılmış” niteliğini oluşturur; tek kaynaktan yapılan hizmet engelleme saldırısı ise DoS olarak adlandırılır.
Hedef, bağlantı kapasitesini yoğun veri trafiğiyle doldurmak veya çok sayıda bağlantı ya da işlem maliyeti yüksek isteklerle sunucu kaynaklarını tüketmek olabilir. Bu nedenle her DDoS saldırısı çok yüksek veri hacmi gerektirmez. Kesintiler, özellikle e-ticaret siteleri gibi sürekli erişilebilir olması gereken hizmetler için ciddi sorun yaratabilir.
DDoS Saldırısı Nasıl Çalışır?
DDoS saldırılarında botnet adı verilen, saldırganın kontrol ettiği ele geçirilmiş cihaz ağları kullanılabilir. Bu cihazlar bilgisayarlar, akıllı telefonlar veya IoT cihazları olabilir. Cihazların ele geçirilmesi yalnızca virüslerle değil, güvenlik açıkları veya zayıf parolalar üzerinden de gerçekleşebilir.
Her DDoS saldırısı botnet gerektirmez. Yansıtma ve büyütme saldırılarında, örneğin uygun yapılandırılmamış DNS hizmetlerine hedefin IP adresi kaynak adresi olarak gösterilerek istekler gönderilir; yanıtlar hedefe yönelir. Küçük isteklere daha büyük yanıtlar üreten hizmetler saldırı trafiğini büyütebilir.
Saldırının türüne göre bağlantı kapasitesi, ağ cihazlarının bağlantı tabloları veya uygulamanın işlem kaynakları tükenebilir. Bunun sonucunda hizmet yavaşlayabilir ya da erişilemez hale gelebilir. Başlıca saldırı türleri şunlardır:
- Hacimsel Saldırılar: Hedefin veya bağlı olduğu ağın bant genişliğini tüketmeyi amaçlar. UDP taşkınları ve DNS büyütme saldırıları bu gruba örnektir. Etki, saldırı hacmine ve ağın filtreleme kapasitesine bağlıdır.
- Protokol Saldırıları: Ağ protokollerinin işleyişinden yararlanarak sunucuların veya güvenlik duvarı gibi ağ cihazlarının kaynaklarını tüketmeyi amaçlar. TCP SYN taşkını, çok sayıda yarım açık bağlantı oluşturmaya çalışan bir örnektir.
- Uygulama Katmanı Saldırıları: HTTP istekleri gibi uygulama trafiğiyle sunucunun işlem kaynaklarını tüketmeyi amaçlar. Arama veya giriş sayfaları gibi işlem maliyeti yüksek işlevler hedef alınabilir. Bir yazılım açığı bulunması şart değildir; normal görünen isteklerin yoğunluğu da hizmeti aksatabilir.
Web Sitenizi DDoS Saldırılarından Nasıl Koruyabilirsiniz?
DDoS riskini azaltmak için ağ ve uygulama katmanlarını birlikte ele alan bir savunma gerekir. Hiçbir araç her saldırıda kesintisiz hizmet garantisi vermez. Web sitenizin yapısına ve maruz kalabileceği saldırılara göre aşağıdaki yöntemleri birlikte değerlendirebilirsiniz:
1. İyi Bir Hosting Sağlayıcısı Seçin
Hosting hizmetleri arasında seçim yaparken sağlayıcıya DDoS korumasının hangi ağ ve uygulama katmanlarını kapsadığını, otomatik devreye girip girmediğini, kapasite sınırlarını ve saldırı anındaki destek sürecini sorun. Korumanın pakete dahil olup olmadığını ve aşırı yük durumunda hedef IP’ye gelen tüm trafiğin geçici olarak kesilip kesilmeyeceğini öğrenin. Yalnızca güçlü bir sunucu kullanmak, sunucuya ulaşan ağ bağlantısının dolmasını önlemez.
2. DDoS Koruma Hizmeti Kullanın
DDoS koruma hizmetleri, saldırı trafiğini mümkün olduğunca barındırma altyapınıza ulaşmadan önce filtrelemeyi amaçlar. Cloudflare, Akamai ve AWS Shield bu alanda değerlendirilebilecek örneklerdir; ancak ürünlerin kapsadığı katmanlar, altyapı gereksinimleri ve plan koşulları farklıdır. Seçim yaparken güncel kapsamı ve sitenizle uyumluluğu kontrol edin.
Bağlantı kapasiteniz dolmuşsa yalnızca sunucu üzerinde IP engellemek yeterli olmaz; hosting veya ağ sağlayıcısının üst ağda trafik temizleme desteği gerekir. Koruma hizmetinin etkinleşmesi DNS ya da yönlendirme değişikliği gerektirebileceğinden kurulumu ve müdahale sürecini saldırıdan önce planlayın.
3. Yük Dengeleyici Kullanın
Yük dengeleyici (load balancer), gelen trafiği birden fazla sunucuya dağıtarak mevcut kapasitenin daha verimli kullanılmasına yardımcı olur. Sağlık kontrolleriyle yanıt vermeyen sunucuları trafik dağıtımından çıkarabilir. Ancak tek başına saldırı trafiğini ayırt etmez; yük dengeleyicinin, arka uç sunucuların veya ortak ağ bağlantısının kapasitesi aşılabilir. Bu nedenle DDoS filtrelemesini tamamlayan bir araçtır, kesintiyi önleyen bağımsız bir çözüm değildir.
4. Web Uygulama Güvenlik Duvarı (WAF) Kullanın
Web Uygulama Güvenlik Duvarı (WAF), HTTP/HTTPS isteklerini kurallara göre inceleyip şüpheli istekleri engelleyebilir veya doğrulamaya yönlendirebilir. Uygun kurallar ve istek hızı sınırlama (rate limiting), uygulama katmanı saldırılarının etkisini azaltmaya yardımcı olur. WAF ürününe göre bu özelliklerin kapsamı değişebilir.
WAF, ağ bağlantısını dolduran hacimsel saldırıları tek başına önlemez. Ayrıca yalnızca IP adresine dayalı katı sınırlar, aynı IP’yi paylaşan meşru kullanıcıları da etkileyebilir. Kuralları normal trafik davranışınıza göre ayarlayın ve yanlış engellemeleri izleyin.
5. CDN (Content Delivery Network) Kullanın
CDN (Content Delivery Network), önbelleğe alınabilen içeriği dağıtık uç sunuculardan sunarak kaynak sunucuya gelen istekleri azaltabilir. Kullanıcı konumu, önbellek isabeti ve yapılandırmaya bağlı olarak sayfa yükleme süresini de iyileştirebilir. Ancak dinamik veya önbelleğe alınmayan istekler kaynak sunucuya ulaşmaya devam edebilir; her CDN aynı DDoS korumasını sunmaz.
Bir ters proxy/CDN kullanıyorsanız kaynak sunucunun IP adresine doğrudan gelen trafik korumayı atlayabilir. Mimarinize uygunsa web portlarına erişimi sağlayıcının güncel çıkış IP aralıklarıyla sınırlayın; sağlık kontrolleri, sertifika yenileme ve yönetim erişimi gibi gerekli bağlantıları da hesaba katın. Bu düzenleme, sağlayıcının ağ katmanı korumasının yerini almaz.
6. Trafik İzleme ve Analiz Araçları Kullanın
Trafik izleme araçları ile normal trafik düzeyinizi belirleyip olağandışı değişimler için uyarılar oluşturun. Bant genişliği, saniyedeki istek ve bağlantı sayısı, yanıt süreleri, hata oranları ve CPU/bellek kullanımı birlikte değerlendirilmelidir. Nagios, Zabbix ve SolarWinds ürünleri, uygun yapılandırma ve veri kaynaklarıyla altyapı izlemeye yardımcı olabilir; web sunucusu, CDN ve WAF günlükleri de isteklerin niteliğini anlamak için önemlidir.
Ani trafik artışı tek başına DDoS kanıtı değildir; bir kampanya veya haber de benzer artış yaratabilir. Öte yandan işlem maliyeti yüksek isteklere dayalı bir saldırıda bant genişliği artışı sınırlı kalabilir. Uyarıları hizmetin yanıt verme durumu ve günlüklerle birlikte inceleyin.
7. Acil Durum Planı Hazırlayın
Bir acil durum planı, saldırı sırasında görevlerin ve iletişim kanallarının önceden belli olmasını sağlar. Ekibin erişebileceği planda şu adımları tanımlayın:
- Hosting, ağ ve DDoS koruma sağlayıcılarının acil iletişim bilgilerini, yetkili kişileri ve korumayı etkinleştirme adımlarını kaydedin.
- Saldırı şüphesinde başlangıç zamanını, etkilenen hizmetleri, trafik metriklerini ve ilgili günlükleri toplayıp sağlayıcıyla paylaşın. Uygulama arızası veya meşru trafik artışı olasılığını da değerlendirin.
- Sağlayıcıyla üst ağ filtrelemesini koordine edin; uygulama katmanında hedefli WAF ve hız sınırlama kuralları uygulayın. Değişikliklerin meşru kullanıcılar üzerindeki etkisini izleyin ve geri alma adımlarını belirleyin.
- Kullanıcıları mümkünse ayrı altyapıda barındırılan bir durum sayfasından bilgilendirin. Hizmet normale döndüğünde geçici kuralları gözden geçirin, günlükleri saklayın ve planı güncelleyin.
DDoS Saldırılarının Etkileri
DDoS saldırıları, web sitenizi yavaşlatmanın veya erişilemez hale getirmenin yanında finansal kayıplara da yol açabilir. Özellikle e-ticaret sitelerinde kesintiler satışları aksatabilir, destek yükünü artırabilir ve müşteri güvenini zedeleyebilir. Etkinin büyüklüğü kesintinin süresine, kapsamına ve işletmenin yapısına bağlıdır.
Uzun süren veya sık tekrarlanan erişim sorunları, arama motorlarının sayfaları taramasını güçleştirerek arama görünürlüğünü de olumsuz etkileyebilir. Kısa bir kesinti otomatik olarak sıralama kaybı anlamına gelmez.
DDoS tek başına verilerin ele geçirildiğini göstermez. Ancak saldırganlar hizmet engelleme ile dikkati dağıtırken başka güvenlik açıklarını da hedef alabilir; bu nedenle müdahale sırasında diğer güvenlik uyarılarını izlemeyi sürdürün.
Sonuç
DDoS saldırılarına karşı savunmada öncelik, trafiği doğru katmanda filtrelemektir: hacimsel saldırılar için ağ sağlayıcısı desteği, uygulama katmanı saldırıları içinse uygun WAF ve hız sınırlama kuralları gerekir. CDN ve yük dengeleme bu savunmayı destekleyebilir, ancak tek başına yeterli değildir.
Hosting sağlayıcınızın koruma kapsamını öğrenin, normal trafik düzeyinizi izleyin ve saldırı sırasında kimin hangi adımı atacağını önceden belirleyin. Bu hazırlıklar saldırının etkisini azaltmaya ve hizmeti yeniden erişilebilir hale getirmeye yardımcı olur; tüm saldırılarda kesintisiz çalışma garantisi sağlamaz.
