DDoS Saldırısı Nedir, Nasıl Korunulur?

DDoS (Distributed Denial of Service, dağıtık hizmet engelleme saldırısı), farklı ağlardaki çok sayıda cihazdan hedef bir sunucuya veya ağa aynı anda yoğun paket ya da istek göndererek hizmeti gerçek kullanıcılar için erişilemez bırakma girişimidir. Tek bir kaynaktan yapılan DoS saldırısından farkı, trafiğin binlerce farklı kaynaktan (botnet ağlarından ya da yansıtıcı sunuculardan) eşzamanlı gelmesidir.

Bir DDoS saldırısından nasıl korunulacağı saldırının hangi katmanı hedef aldığına bağlıdır: sunucu içindeki işletim sistemi ve web sunucusu ayarları yalnız bağlantı kuyruğu taşmasını veya az sayıda IP'den gelen istekleri sınırlayabilir; sunucunun internet hattını dolduran saldırılar ise ancak trafik sunucuya ulaşmadan önce, üst ağ (upstream) düzeyinde süzülerek durdurulabilir.

L3, L4 ve L7 DDoS saldırıları arasındaki fark

DDoS saldırıları ağ modelinde hedef aldıkları katmana göre üçe ayrılır. Her katman sunucuda farklı bir kaynağı tüketir ve farklı bir yöntemle engellenir:

Saldırılar sunucuyu temelde iki yoldan düşürür:

1. Hat doygunluğu (bant genişliği tüketimi): Saldırı trafiği, sunucunun dış dünyaya bağlandığı internet hattının kapasitesini doldurur. Hat dolduğunda gerçek kullanıcıların paketleri de yolda düşer.
2. Kaynak ve bağlantı tablosu tüketimi: Bant genişliği dolmasa bile sunucunun bağlantı izleme tablosu, RAM havuzu veya işlemci gücü sahte oturumlarla tüketilir.

UDP yansıtma ve büyütme saldırıları hattı nasıl doldurur?

L3 ve L4 katmanındaki yüksek hacimli saldırıların büyük bölümü doğrudan saldırganın kendi cihazlarından değil, yansıtma ve büyütme (reflection/amplification) yöntemiyle üretilir:

• Sahte kaynak IP adresi (IP spoofing): UDP bağlantısız bir protokoldür; paket gönderilirken kaynak IP adresinin doğruluğunu üçlü el sıkışmayla kontrol etmez. Saldırgan, gönderdiği UDP sorgusunun kaynak IP alanına kendi adresini değil, hedef sunucunun IP adresini yazar.
• Büyütme etkisi: Bu sahte kaynaklı küçük sorgular, internette açık bırakılmış sunuculara (örneğin açık DNS veya NTP sunucularına) gönderilir. Sorguyu alan sunucular, kendilerine gelen küçük isteğe karşılık çok daha büyük boyutlu yanıt paketlerini hedef sunucuya yollar.

Saldırı hacmi sunucunun erişim hattını doldurduktan sonra sunucu içinde çalışan yerel güvenlik duvarları (iptables, ufw, Windows Firewall) saldırıyı durduramaz; çünkü paketler sunucunun ağ kartına ulaşmadan önce dolu internet hattında zaten kaybolmaktadır.

TCP SYN flood ve sunucu içi önlemlerin sınırı

L4 katmanındaki TCP SYN flood, doğrudan bant genişliğini değil işletim sisteminin bağlantı kurma tablosunu hedef alır:

• Yarı açık bağlantı kuyruğu: Normal bir TCP bağlantısında istemci SYN paketi gönderir, sunucu SYN-ACK ile yanıt verir ve istemciden son ACK paketini bekler. Saldırgan sahte IP adresleriyle binlerce SYN paketi gönderdiğinde son ACK hiç gelmez; sunucunun bağlantı kuyruğu dolar ve gerçek kullanıcılar bağlanamaz.
• SYN cookies koruması: Modern Linux dağıtımlarında tcp_syncookies özelliği varsayılan olarak açıktır. Yarı açık bağlantı kuyruğu taştığında çekirdek, bellekte yer ayırmak yerine bağlantı bilgisini SYN-ACK paketinin sıra numarasına şifreler ve kaynak kaydını ancak geçerli ACK dönerse oluşturur.

Ancak tcp_syncookies yalnızca sunucunun kendi bellek kuyruğunu korur. Saniyede milyonlarca paketlik (Mpps) bir SYN saldırısı ağ hattını doldurduğunda ya da sunucu önündeki durum bilgili (stateful) bir güvenlik duvarının izleme tablosunu taşırdığında, trafik sunucuya ulaşmadan önce ağ katmanında temizlenmelidir.

L7 (HTTP) saldırıları ve hız sınırlamanın sınırı

Uygulama katmanı (L7) saldırılarında saldırganlar TCP bağlantısını kurar ve web sunucusuna gerçek bir ziyaretçi gibi HTTP/HTTPS istekleri gönderir. Bağlantılar geçerli kurallara uyduğu için standart ağ filtreleri bu trafiği normal kullanıcı trafiği olarak görür; ancak her istek PHP, Node.js veya veritabanı sorgusu tetiklediği için sunucunun işlemcisi kısa sürede tam kapasiteye ulaşır ve yanıt veremez hâle gelir.

Sunucu içinde tekil IP adreslerinden gelen aşırı istekleri engellemek için web sunucusunda hız sınırlama (örneğin Nginx üzerinde limit_req) kullanılabilir. Bu yöntem, tek bir IP adresinden veya küçük bir gruptan yapılan saldırılarda arka uç uygulamasını korur. Fakat binlerce farklı IP adresine yayılmış bir botnet, IP başına saniyede yalnız bir–iki istek gönderdiğinde IP bazlı hız sınırına takılmaz; sınırı aşırı düşürmek ise aynı kurumsal ağ veya mobil operatör IP'sini paylaşan gerçek ziyaretçileri engeller.

Nasıl korunulur? Sunucu içi ve ağ düzeyi önlemler

Etkili bir DDoS savunması, sunucu içi doğru yapılandırma ile erişim hattının önündeki ağ düzeyi süzmeyi birleştirir:

Ağ düzeyindeki korumada anycast mimarisi kritik rol oynar: aynı IP adresi birden çok ağ noktasından anons edildiğinde, dağıtık kaynaklardan çıkan saldırı trafiği tek bir merkeze yığılmak yerine ağ topolojisinde kendine en yakın koruma düğümünde karşılanır ve temizlenerek sunucuya iletilir.

TREAS'ta DDoS koruması: TRSHIELD

TREAS'ın kendi DDoS koruması olan TRSHIELD (DDoS Koruması), Performans VDS, Ekstrem VDS, fiziksel sunucu ve Plesk web hosting dahil her pakette standart olarak ve ek ücret olmadan sunulur (sanal sunucu altyapısı için VDS nedir rehberine bakabilirsiniz).

• Anycast ağ ve 12 Tbps kapasite: TRSHIELD anycast ağ üzerinde çalışır; 12 Tbps DDoS koruma kapasitesiyle hacimsel saldırıları sunucunuzun erişim hattını doldurmadan karşılar ve temiz trafiği 1 ms altı ek gecikmeyle iletir.
• L3, L4 ve L7 süzme: Yalnızca ağ ve taşıma katmanında değil, uygulama katmanında da süzme yapar; gelen ve giden trafiği analiz ederek bilinen bütün saldırı vektörlerine karşı koruma sağlar ve sürekli geliştirilir.
• Servis ve oyunlara özel koruma profilleri: Web (HTTP/HTTPS ve QUIC), DNS, SSH, RDP, WireGuard ve OpenVPN gibi servislerin yanı sıra Counter-Strike 2, Minecraft Java, Minecraft Bedrock, FiveM, Rust, Valheim ve Hytale için hazır koruma profilleri bulunur. Hazır profili olmayan uygulama ve oyunlar için müşterinin isteğine göre özel koruma geliştirmesi yapılır.