ICMP Flood Nedir? Ping Taşkınları ve Ağ Düzeyinde Korunma Yolları

ICMP Flood (Ping Flood), hedef sunucunun veya ağ altyapısının internet bant genişliğini ve işlemci kapasitesini tüketmek amacıyla düzenlenen volümetrik bir DDoS saldırısı türüdür. Saldırganlar sahte kaynak IP adresleri ya da botnet orduları üzerinden hedef sunucuya sürekli ve çok yüksek hacimli ICMP Yankı İsteği (Echo Request) paketleri gönderir. Sunucu işletim sistemi gelen her isteğe Yankı Yanıtı (Echo Reply) üretmeye çalışırken işlemci aşırı yük altına girer ve gelen taşkın trafik sunucunun ağ erişim portunu doldurarak meşru kullanıcıların web sitelerine veya uygulamalara erişmesini engeller.

ICMP protokolünün işleyişi ve yankı mekanizması

İnternet Kontrol Mesajı Protokolü (ICMP), IP ağlarında cihazların operasyonel durumlarını denetlemek, rota üzerindeki sorunları bildirmek ve ağ teşhisi gerçekleştirmek üzere tasarlanmış bir ağ katmanı protokolüdür. Ping komutu bu protokolün en yaygın kullanım biçimidir:

1. Yankı İsteği (Echo Request - Tip 8): Bir istemci, hedef sunucunun ayakta olup olmadığını ve gidiş-dönüş süresini (RTT) ölçmek için bir Tip 8 paketi gönderir. Paket içerisinde bir tanımlayıcı, sıra numarası ve isteğe bağlı veri yükü yer alır.
2. Yankı Yanıtı (Echo Reply - Tip 0): Hedef sistem paketi aldığında, gelen veriyi aynen koruyarak Tip 0 başlığıyla geri gönderir. İstemci bu yanıtı aldığında ağ gecikmesini hesaplar.

Normal koşullarda saniyede birkaç paketle sınırlı olan bu döngü ağ sağlığını doğrulamak için faydalıdır. Ancak ICMP protokolünün durumsuz (stateless) yapısı ve yanıt zorunluluğu, kötü niyetli aktörler tarafından hedef sistemleri boğmak için istismar edilir.

ICMP flood saldırısı sunucu kaynaklarını nasıl tüketir?

ICMP taşkınları hedef sistem üzerinde iki farklı tükenme mekanizması oluşturur:

• Bant Genişliği Doyumu (Volümetrik Taşkın): Saldırganlar gigabitler seviyesinde ICMP paketi basarak sunucunun internet bağlantı portunu fiziksel olarak doldurur. Gelen trafik sunucuya ayrılan hattı aştığında meşru kullanıcıların paketleri veri merkezi anahtarlayıcılarında düşürülür.
• İşlemci ve Yazılımsal Kesme (SoftIRQ) Yükü: Ağ kartına saniyede yüz binlerce paket ulaştığında işletim sistemi çekirdeği her paketi incelemek, bellek tamponuna (ring buffer) almak ve kural tablosundan geçirerek bir Tip 0 yanıt paketi hazırlamak zorundadır. Bu işlem çekirdeğin SoftIRQ rutinlerini kilitler ve sunucunun web sunucusu, veritabanı veya oyun sunucusu gibi ana süreçlerine CPU zamanı kalmaz.
• Asimetrik Güç Avantajı: Saldırganlar genellikle kaynak IP adresini sahte (spoofed) olarak düzenler. Hedef sunucu yanıt paketlerini internetteki rastgele adreslere göndermeye çalışırken giden trafiği de şişirir.

Sunucu internete bağlı olsa dahi işletim sistemi ağ yığını gelen paketleri ayrıştırmaktan yanıt veremez hâle gelir.

Saldırı türleri: Klasik Smurf ve modern ICMP taşkınlarının farkı

ICMP protokolü üzerinden gerçekleştirilen saldırılar zaman içinde teknik olarak evrilmiştir:

Geçmişte kullanılan Smurf ve Ping of Death yöntemleri yönlendirici kuralları ve çekirdek yamalarıyla büyük oranda etkisiz kılınmış olsa da, günümüzde dağıtık botnetlerin ürettiği saf hacimli ICMP Echo taşkınları en ciddi tehditlerden biridir.

Sunucu içi sınırlama mekanizmaları ve teknik sınırları

Linux sunucularda iptables veya nftables güvenlik duvarı araçları kullanılarak ICMP paketlerine yönelik hız sınırlaması (rate limiting) uygulanabilir. Örneğin belirli bir eşiğin üzerindeki Echo Request paketlerinin düşürülmesi sağlanabilir:

iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 4 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

Bu kural sunucunun saniyede yalnızca belirli sayıda ping yanıtı üretmesini sağlar ve işlemcinin gereksiz yanıt paketleri hazırlayarak kilitlenmesini önler. Ancak bu tür yerel çözümlerin teknik bir sınırı vardır:

Yerel güvenlik duvarı kuralları paket ancak sunucunun ağ arayüz kartına (NIC) ulaştıktan sonra çalışır. Saldırganın gönderdiği trafik sunucunun 1 Gbps veya 10 Gbps port kapasitesini ya da ana omurga erişim hattını doldurduğunda, paketler zaten sunucuya ulaşamadan hat üzerinde kaybolur. Benzer şekilde SYN flood nedir ve nasıl engellenir rehberimizde ele aldığımız gibi, hat kapasitesini aşan volümetrik saldırılar yerel sunucu içi komutlarla durdurulamaz. Bu nedenle gerçek savunma sunucuya varmadan önce ağ düzeyinde yapılmalıdır.

ICMP'yi tamamen kapatmanın getirdiği riskler ve PMTU sorunu

Saldırılardan kaçınmak amacıyla sistem yöneticilerinin başvurduğu en yaygın hatalardan biri, güvenlik duvarından tüm ICMP trafiğini körlemesine (DROP) engellemektir. Bu yaklaşım sunucuyu dışarıdan görünmez kılsa da ağ üzerinde kritik sorunlara yol açar:

1. Yol MTU Keşfi (PMTUD) ve Bağlantı Kilitlenmeleri: TCP bağlantılarında paketlerin parçalanmadan taşınabileceği en büyük boyut Yol MTU Keşfi (PMTUD) ile belirlenir. İstemci ile sunucu arasındaki bir yönlendirici paketi parçalayamadığında (DF bayrağı aktifken), göndericiye bir ICMP Tip 3 Kod 4 (Parçalama Gerekli ve DF Biti Ayarlı) mesajı iletir. Sunucu tüm ICMP trafiğini kapattığında bu mesaj sunucuya ulaşamaz; sunucu daha küçük paket boyutu gerektiğini öğrenemez ve aynı büyük paketi tekrar tekrar yollamaya çalışır. Bu durumda kullanıcılar sitenize bağlanabilir ancak büyük veri aktarımlarında veya oturum açma aşamasında sayfa sonsuz yüklemede kalır (PMTU Black Hole sorunu).
2. Ağ Tanılama ve İzleme Kaybı: ICMP'nin tamamen kapatılması sunucunuzun harici ağ izleme servisleri tarafından denetlenmesini engeller. Sunucunuza yönelik gecikme durumunu analiz etmek için /kurumsal/ping-test sayfamızdaki araçları kullanırken bağlantı kalitesini ölçemezsiniz.
3. Zaman Aşımı Bildirimleri (TTL Exceeded): Traceroute gibi rota analiz araçları paketlerin kaç yönlendiriciden geçtiğini tespit etmek için ICMP Tip 11 (Süre Aşıldı) mesajlarını kullanır. ICMP kapatıldığında ağdaki yönlendirme döngüleri tespit edilemez.

Bu sebeplerle yapılması gereken işlem ICMP'yi tamamen engellemek değil, ağ sınırında meşru tanılamalara izin verirken taşkınları filtrelemektir.

Ağ düzeyinde koruma ve donanımsal filtreleme

Volümetrik ICMP saldırılarını sunucunun işletim sistemine ve erişim hattına yük bindirmeden durdurmanın yolu sınır koruma mimarilerinden geçer:

• Anycast Ağ Dağıtımı: Gelen saldırı trafiği tek bir sunucu hattına yönlendirilmek yerine, coğrafi olarak dağıtık Anycast koruma noktalarına (PoP) paylaştırılır. Devasa hacimli taşkınlar parçalanarak yerel sınır noktalarında temizlenir.
• Paket Başına Sınırlama (pps Limiting): Ağ seviyesinde çalışan donanımsal süzgeçler, gelen trafiği saniyedeki paket sayısı (pps - packets per second) üzerinden denetler. Bir IP adresine yönelen ICMP Echo trafiği belirlenen pps eşiğini aştığında, fazlalık paketler donanım seviyesinde anında filtrelenir.
• Durum Denetimli Süzme (Stateful Inspection): Giden meşru isteklerin yanıtları ile dışarıdan gelen sahte taşkın paketleri sınır katmanında birbirinden ayrıştırılır.

TREAS TRSHIELD ile ICMP ve DDoS koruması

TREAS, sunduğu tüm barındırma ve sunucu altyapılarında kendi DDoS koruması olan TRSHIELD (DDoS Koruması) altyapısını kullanır. TRSHIELD, Performans VPS, Ekstrem VDS, fiziksel sunucu ve Plesk barındırma paketlerinin tamamında ek ücret olmadan standart olarak sunulur.

• 12 Tbps Anycast Koruma Kapasitesi: TRSHIELD anycast ağ mimarisi üzerinde çalışır. Küresel botnetlerden gelen terabitler seviyesindeki volümetrik taşkınlar, Mars İstanbul Veri Merkezi lokasyonundaki sunucunuza varmadan önce sınır ağında karşılanır. Meşru ağ trafiği sunucunuza 1 ms altı ek gecikmeyle iletilir.
• 3 Kademeli ICMP Koruma Profilleri: TRSHIELD genel ICMP servisleri için 25, 100 ve 500 pps olmak üzere üç farklı seviyede hazır koruma profili sunar. Bu profiller sayesinde sunucunuzun ping yanıtı verme kabiliyeti ve Yol MTU Keşfi için gerekli hata bildirimleri korunurken, pps sınırını aşan taşkınlar sunucu portuna ulaşmadan filtrelenir.
• Katmanlı Süzme: Ağ ve taşıma katmanlarının yanı sıra uygulama katmanında (L3, L4 ve L7) çift yönlü trafik analizi gerçekleştirilir.
• Yüksek Donanım Gücü: Paylaşımlı vCore kaynaklarına sahip Performans VPS paketlerinde AMD Ryzen 9 7950X işlemciler sunulur. Ayrılmış vCore donanımı sağlayan Ekstrem VDS paketlerinde ise AMD Ryzen 9 9950X işlemciler kullanılır. Yüksek tek çekirdek frekansı ağ kartı kuyruklarındaki paketlerin gecikmesiz işlenmesini sağlar.
• Sektörel Gerçekçilik ve Sürekli Geliştirme: Hizmet sözleşmelerinde belirtildiği üzere hiçbir barındırma sağlayıcısı saldırıların tamamen engelleneceğine dair kesin bir garanti veremez. TRSHIELD bilinen bütün saldırı vektörlerine karşı koruma sağlar ve sürekli geliştirilen filtreleme kurallarıyla yeni taşkın yöntemlerine karşı altyapısını güncel tutar.