DDoS Atak Türleri ve DDoS Korumalı Sunucu Seçimi

DDoS atağı (Distributed Denial of Service, dağıtık hizmet engelleme saldırısı), çok sayıda cihazdan bir sunucuya, siteye veya ağa aynı anda yoğun trafik gönderilerek hizmetin yavaşlatılması ya da tamamen erişilemez hale getirilmesidir. Saldırıda genellikle ele geçirilmiş bilgisayar ve IoT cihazlarından oluşan botnet ağları kullanılır.

Bu yazıda DDoS atak türlerini, belirtilerini ve sunucunuz veya siteniz için doğru korumayı nasıl seçeceğinizi anlatıyoruz.

DoS ile DDoS Arasındaki Fark

DoS saldırısı tek bir kaynaktan yapılır ve kaynağı engellemek çoğu zaman yeterlidir. DDoS saldırısında trafik binlerce farklı IP adresinden gelir; tek tek engellemek mümkün olmadığı için saldırı trafiğini temiz trafikten ayırabilen bir koruma gerekir.

DDoS Atak Türleri

DDoS saldırıları hedefledikleri katmana göre üç ana grupta incelenir.

1. Hacim tabanlı (volumetrik) saldırılar

Amaç, hedefin internet bağlantısını trafikle doldurmaktır. Ölçü birimi genellikle saniyedeki bit miktarıdır (Gbps).

• UDP flood: Hedefe çok sayıda UDP paketi gönderilir.
• Yansıtma ve büyütme (amplification) saldırıları: Saldırgan, sahte kaynak adresiyle DNS, NTP veya memcached gibi açık sunuculara küçük istekler gönderir; bu sunucular çok daha büyük yanıtları hedefe yollar.
• ICMP (ping) flood: Hedef çok sayıda ping isteğiyle meşgul edilir.

2. Protokol saldırıları

Sunucunun, güvenlik duvarının veya yük dengeleyicinin bağlantı tablolarını tüketmeyi hedefler. Ölçü birimi saniyedeki paket sayısıdır (pps).

• SYN flood: TCP bağlantısı başlatılır ama tamamlanmaz; sunucu yarım açık bağlantılarla dolar.
• ACK ve parçalanmış paket saldırıları: Ağ cihazlarının işlem kapasitesini zorlar.

3. Uygulama katmanı (Layer 7) saldırıları

Web sunucusuna gerçek ziyaretçi gibi görünen istekler gönderilir. Trafik hacmi düşük olsa bile sunucunun işlemci ve veritabanı kaynaklarını tüketebilir. Ölçü birimi saniyedeki istek sayısıdır (rps).

• HTTP flood: Ana sayfa, arama veya sepet gibi ağır sayfalara binlerce istek gönderilir.
• Slowloris ve yavaş saldırılar: Bağlantılar çok yavaş veri gönderilerek açık tutulur, sunucunun bağlantı limiti dolar.
• Oturum açma ve form saldırıları: Giriş veya iletişim formları sürekli tetiklenir.

DDoS Saldırısının Belirtileri

• Site veya sunucunun aniden çok yavaşlaması ya da hiç açılmaması
• Bant genişliği veya CPU kullanımında açıklanamayan sıçramalar
• Erişim kayıtlarında aynı sayfaya kısa sürede binlerce istek
• Belirli ülkelerden veya IP bloklarından gelen olağandışı trafik
• Oyun sunucularında oyuncuların topluca bağlantı kopması

Yavaşlığın her zaman DDoS olmadığını unutmayın; ani gerçek trafik artışı, hatalı bir eklenti veya yetersiz kaynak da benzer belirtiler verir.

DDoS Koruması Nasıl Çalışır?

• Ağ seviyesinde filtreleme: Hacim ve protokol saldırıları, trafik sunucuya ulaşmadan veri merkezinin veya koruma sağlayıcısının ağında temizlenir.
• Proxy ve korumalı CDN: Ziyaretçiler doğrudan sunucunuza değil koruma ağına bağlanır; ağ istekleri inceleyip yalnızca temiz trafiği iletir. Sunucunun gerçek IP adresinin gizli kalması önemlidir.
• Rate limit: Bir kaynaktan belirli sürede gelebilecek istek sayısı sınırlandırılır.
• WAF (web uygulama güvenlik duvarı): Zararlı istek kalıplarını engeller.
• Doğrulama (challenge): Şüpheli istemcilerden tarayıcı doğrulaması istenir; botlar elenir.

DDoS Korumalı Sunucu Seçerken Nelere Bakmalı?

1. Hangi katmanları koruyor? Ağ seviyesi (L3/L4) koruma, web sitelerine yönelik L7 saldırılarını tek başına durdurmayabilir. Web projeleri için L7 koruması ayrıca sorulmalıdır.
2. Koruma her zaman açık mı? Saldırı başladıktan sonra devreye giren korumalarda kısa kesintiler yaşanabilir.
3. Temiz trafik ücreti: Saldırı sırasında ek trafik ücreti çıkıp çıkmadığını öğrenin.
4. Oyun sunucuları: UDP tabanlı oyun trafiği için web koruması uygun olmayabilir; sağlayıcıya oyun trafiğini nasıl koruduğunu sorun.
5. Destek: Saldırı anında kime ve nasıl ulaşacağınızı önceden bilin.

Kendi Tarafınızda Alabileceğiniz Önlemler

• Sunucunun gerçek IP adresini DNS kayıtlarında ve e-posta başlıklarında açık etmeyin.
• Kullanmadığınız portları güvenlik duvarıyla kapatın.
• Web sunucusunda bağlantı ve istek limitlerini yapılandırın.
• Önbellek kullanarak ağır sayfaların sunucuya yükünü azaltın.
• Saldırı anında ne yapacağınızı içeren kısa bir müdahale planı hazırlayın.

ViHyper Hyper DDoS Guard

Hyper DDoS Guard, web sitelerini uygulama katmanında (Layer 7) hedef alan saldırılara karşı korumak için tasarlanmış bir hizmettir. Siteniz korumalı CDN ve proxy ağının arkasına alınır; trafik bu ağda filtrelenir ve temiz trafik sunucunuza iletilir. Paketlerde önbellek ve flood koruması bulunur; üst paketlerde rate limit, özel tünelleme, WAF ve yük dengeleyici eklenir. Bu yazının hazırlandığı tarihte paketler aylık 5.950,37 ₺'den başlamaktadır.

Sunucu tarafında ise VDS ve veri merkezi paketlerinin koruma kapsamı paket sayfalarında belirtilir.

Sıkça Sorulan Sorular

DDoS saldırısı verilerimi çalar mı?

DDoS'un amacı hizmeti engellemektir, veri çalmak değildir. Ancak bazı saldırganlar DDoS'u başka bir saldırıdan dikkat dağıtmak için kullanabilir; bu nedenle güvenlik kayıtlarını da takip edin.

DDoS saldırısı ne kadar sürer?

Birkaç dakikadan günlere kadar sürebilir. Süre, saldırganın amacına ve kaynaklarına bağlıdır.

Cloudflare gibi bir CDN DDoS'u tamamen engeller mi?

Web trafiği için güçlü koruma sağlar, ancak sunucunun gerçek IP adresi biliniyorsa saldırgan CDN'i atlayıp doğrudan sunucuyu hedefleyebilir. IP gizliliği ve sunucu tarafı filtreleme de gerekir.

DDoS saldırısı yapmak suç mu?

Evet. Bir sisteme erişimi engellemek veya bozmak Türk Ceza Kanunu kapsamında suçtur; "stres testi" adı altında başkasının sistemine saldırı yapılamaz.