DDoS Saldırısı Nasıl Anlaşılır? Sunucuda Anormal Trafik Tespiti

Sunucunuz aniden yavaşladığında, web siteniz zaman aşımı (time-out) hataları verdiğinde ya da SSH bağlantınız donmaya başladığında ilk akla gelen ihtimal bir DDoS saldırısıdır. Ancak her performans kaybı bir saldırı anlamına gelmez; hatalı bir veritabanı sorgusu, bellek sızıntısı ya da diskin aşırı dolması da benzer belirtiler üretebilir. Sunucunuzun gerçekten bir DDoS saldırısı altında olup olmadığını anlamak için işletim sistemi kaynaklarını, ağ soketlerini ve erişim günlüklerini doğru araçlarla adım adım incelemeniz gerekir.

1. Yerel donanım darboğazı ile ağ doygunluğunu ayırt etme

Bir yavaşlık hissettiğinizde ilk yapılması gereken işlem, problemin sunucu içi donanım kaynaklarından mı yoksa harici ağ trafiğinden mi kaynaklandığını doğrulamaktır.

Terminal oturumunuzda temel sistem izleme araçlarını çalıştırarak işlemci yükünü, bellek durumunu ve ağ kartı istatistiklerini kontrol edebilirsiniz:

DEBIAN_FRONTEND=noninteractive apt-get update
DEBIAN_FRONTEND=noninteractive apt-get install -y iproute2 net-tools procps
uptime
vmstat 1 3
ip -s link

Burada incelenmesi gereken kritik göstergeler şunlardır:

• İşlemci yükü (load average): uptime çıktısındaki yük ortalaması çekirdek sayınızın çok üzerindeyse, vmstat çıktısındaki us (kullanıcı) ve sy (sistem) sütunlarına bakın. Yük yerel bir işlemden kaynaklanıyorsa sebep çalışan bir uygulama olabilir. Ancak sy sütunu aşırı yüksekken kullanıcı işlemleri düşükse çekirdek, ağ kartından gelen yoğun paketleri işlemek için tükeniyor olabilir.
• Disk bekleme süresi (wa): vmstat çıktısındaki wa değeri yüksekse sunucu disk I/O darboğazına girmiştir. Bu durum çoğunlukla veritabanı yığılması veya yoğun log yazımından kaynaklanır.
• Ağ arabirimi paketleri (RX/TX paketleri ve dropped): ip -s link komutunda RX packets (alınan paket sayısı) normal zamanlara göre saniyede yüz binlerce artıyorsa ya da dropped (düşürülen paket) sayısı hızla tırmanıyorsa sunucu ağ katmanında bir paket taşkını ile karşı karşıyadır.

2. Aktif soketleri ve bağlantı durumlarını listeleme (ss ve netstat)

Ağ katmanında anormal bir hareketlilik gördüğünüzde, bağlantıların hangi TCP durumlarında yığıldığını incelemeniz gerekir. TCP üçlü el sıkışma sürecinde sunucunun aldığı paketlerin durumu saldırı tipini doğrudan ortaya koyar.

Modern Linux sistemlerde ss komutu soket durumlarını çekirdek alanından çok hızlı çeker. Soketlerin durum dağılımını görmek için aşağıdaki komutları kullanabilirsiniz:

ss -ant | awk '{print $1}' | sort | uniq -c | sort -n
netstat -ant | awk '{print $6}' | sort | uniq -c | sort -n

Çıktıda listelenen durumlar şu anlamlara gelir:

• SYN-RECV: Sunucu istemciden bir bağlantı başlatma isteği (SYN) almış, buna karşılık SYN-ACK paketi göndermiş ancak istemciden onay (ACK) beklemektedir. Normal koşullarda bu durum anlık birkaç adettir. Bu sayının yüzlerce veya binlerce olması, sunucunun sahte IP adresleriyle yapılan bir SYN Flood saldırısı altında olduğunu kanıtlar.
• TIME-WAIT: Kapanma sürecinde olan bağlantılardır. Web sunucularında kısa sürede binlerce TIME-WAIT soketi birikmesi, istemcilerin hızla bağlanıp bağlantıyı kestiğini ve soket tablosunun şişirildiğini gösterebilir.
• ESTAB: Aktif veri aktarımı yapan oturumlardır. Web sitenizin normal anlık ziyaretçi sayısının katbekat üzerinde ESTAB kaydı varsa, L7 seviyesinde bir HTTP Flood veya Slowloris tarzı bağlantı tüketme saldırısı gerçekleşiyor olabilir.

3. Şüpheli IP adreslerini ve bağlantı yığılmalarını tespit etme

Saldırının tek bir kaynaktan mı (DoS) yoksa binlerce farklı kaynaktan mı (DDoS) geldiğini anlamak, alınacak önlemi belirler. Tek bir IP adresinin sunucuya yüzlerce bağlantı açması olağan dışıdır.

Sunucuya en çok TCP ve UDP bağlantısı açan ilk 10 IP adresini listelemek için şu komutları çalıştırabilirsiniz:

ss -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | awk 'NR<=10'
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | awk 'NR<=10'

Çıktıyı değerlendirirken şu noktalara dikkat edin:

• Listenin başında tek bir IP adresi yüzlerce veya binlerce bağlantı ile yer alıyorsa, sorun hedefli bir kaba kuvvet, web kazıma ya da tek kaynaklı DoS atağıdır. Bu tekil adresi yerel güvenlik duvarı ile geçici olarak engelleyebilirsiniz.
• Bağlantı sayıları IP başına 1-2 gibi düşük sayılarda kalıyor ancak binlerce farklı IP adresi aynı anda sisteme bağlanıyorsa, bu durum dağıtık bir botnet tarafından yürütülen gerçek bir DDoS saldırısıdır. Dağıtık saldırılarda IP engelleme kuralları çekirdek tablosunu tüketir ve tek tek engelleme yapmak yetersiz kalır.

4. Web sunucusu erişim günlüklerinde (access.log) L7 taşkın izleri

Uygulama katmanı (L7) saldırıları doğrudan HTTP ve HTTPS protokollerini hedef alır. Bu saldırılarda sunucunun ağ hattı tamamen dolmasa bile web sunucusu (Nginx, Apache) işlem kuyruğunu ve çalışan süreçleri tüketerek sitenin açılmasını engeller.

Web sunucusu erişim kütüklerini analiz ederek anormal bot hareketlerini tespit edebilirsiniz:

mkdir -p /var/log/nginx
cat <<'EOF' > /var/log/nginx/access.log
192.168.1.50 - - [10/Nov/2026:10:00:01 +0300] "GET / HTTP/1.1" 200 4523 "-" "Mozilla/5.0"
192.168.1.50 - - [10/Nov/2026:10:00:01 +0300] "GET /api HTTP/1.1" 200 120 "-" "-"
192.168.1.51 - - [10/Nov/2026:10:00:02 +0300] "GET / HTTP/1.1" 200 4523 "-" "Mozilla/5.0"
EOF
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | awk 'NR<=10'
grep -c '"-" "-"' /var/log/nginx/access.log || true

Erişim kütüklerinde aramanız gereken anormal şablonlar şunlardır:

• Aynı saniyede yinelenen istekler: Tek bir IP adresinden saniyede onlarca aynı URL isteği (örneğin arama motoru sorgusu veya ağır veritabanı işlemi tetikleyen bir sayfa) gelmesi.
• Eksik veya sahte User-Agent başlığı: Otomatik saldırı araçları çoğu zaman tarayıcı kimliğini boş bırakır ("-") veya çok eski, kalıp bir kimlik kullanır.
• Rastgele parametreli adresler: Önbelleği atlatmak amacıyla URL sonuna eklenen anlamsız karakter dizileri.

5. Yerel güvenlik duvarının sınırları ve ağ seviyesinde savunma

Sunucu üzerinde yaptığınız bu teşhisler saldırının varlığını ve türünü anlamanızı sağlar. Ancak yüz binlerce sahte paket üreten volümetrik saldırılarda (SYN Flood, UDP Flood, Amplification saldırıları) yerel güvenlik duvarı kuralları (iptables, UFW) yetersiz kalır. Çünkü o paketler sunucunuzun işletim sistemine ve fiziksel ağ kartına kadar ulaşmış, bant genişliğini tüketmiştir.

Bu tür hacimli saldırılarda hat tıkanıklığını ve sunucu kilitlenmesini engellemek için trafiğin sunucuya ulaşmadan, veri merkezi ve küresel Anycast ağ seviyesinde karşılanması gerekir.

TREAS bünyesindeki tüm sunucu hizmetleri Mars İstanbul Veri Merkezi altyapısında barındırılmakta ve 10 Gbps port hızıyla sunulmaktadır. Tüm paketlerde ek bir ücret talep edilmeden 12 Tbps kapasiteli TRSHIELD DDoS koruması standart olarak yer alır. TRSHIELD Anycast ağı, L3, L4 ve L7 katmanlarında gelen ve giden trafiği 1 ms altında ek gecikmeyle analiz ederek bilinen saldırı vektörlerini donanımsal filtreleme noktalarında süzer. Böylece sunucu işletim sisteminiz sahte paketlerle boğulmaz.

Uygulama ve web iş yükleriniz için AMD Ryzen 9 7950X işlemcili ve paylaşımlı vCore mimarisine sahip Performans VPS paketlerini, özel çekirdek gücü ve donanım yalıtımı gerektiren yoğun projeleriniz için ise AMD Ryzen 9 9950X işlemcili ve ayrılmış (dedicated) vCore kaynaklı Ekstrem VDS serisini tercih edebilirsiniz. Donanımsal DDoS korumasının teknik detaylarını incelemek için DDoS koruma sayfamızı ziyaret edebilir, müşteri paneliniz üzerinden hizmetinize ait TRSHIELD güvenlik duvarı kurallarını ve saldırı geçmişini dilediğiniz an inceleyebilirsiniz.