Katman 7 (L7) DDoS Nedir? HTTP Flood, Slowloris ve Web Koruması

Katman 7 (L7) DDoS saldırısı, OSI modelinin en üst basamağı olan uygulama katmanını hedef alarak web sunucularını, API servislerini ve web uygulamalarını hizmet dışı bırakan bir siber saldırı türüdür. Taşıma ve ağ katmanını hedef alan hacimsel saldırılardan farklı olarak L7 saldırıları, internet erişim hattını doldurmak yerine doğrudan sunucunun işlemci (CPU), bellek (RAM) ve veritabanı bağlantı havuzu gibi kaynaklarını tüketir. Gönderilen istekler biçimsel olarak meşru HTTP/HTTPS trafiği gibi göründüğü için standart ağ güvenlik duvarları bu trafiği kolayca filtreleyemez.

L7 saldırılarının çalışma mantığı ve L3/L4 saldırılarından farkı

Geleneksel DDoS saldırısı türleri olan UDP taşkınları veya SYN flood gibi saldırılar, ağ katmanı (L3) ve taşıma katmanında (L4) gerçekleşir. Bu saldırıların temel amacı, veri merkezinin veya sunucunun internet bant genişliğini sahte paketlerle doldurarak fiziksel hattı tıkamaktır.

Katman 7 saldırılarında ise durum farklıdır. Saldırgan çok düşük bir bant genişliği kullanarak dahi web sitelerini devre dışı bırakabilir:

• Asimetrik Kaynak Tüketimi: İstemcinin basit bir HTTP GET veya POST isteği göndermesi istemci tarafında neredeyse sıfır kaynak harcar. Ancak sunucu tarafında bu isteğin işlenmesi; TLS el sıkışmasının çözülmesini, uygulama kodunun derlenmesini, veritabanından karmaşık sorguların çekilmesini ve dinamik HTML çıktısının üretilmesini gerektirir.
• Biçimsel Geçerlilik: İstekler geçerli bir IP adresi üzerinden, tamamlanmış bir TCP el sıkışmasıyla ve doğru HTTP başlıklarıyla gelir. Bu nedenle işletim sistemi çekirdeği trafiği meşru bir ziyaretçi oturumu olarak algılar.
• Şifreli Trafik: Modern web trafiğinin büyük bölümü HTTPS üzerinden akar. Trafik şifreli olduğu için sunucu önündeki basit paket filtreleme araçları HTTP isteklerinin içeriğini göremez ve çözümleyemez.

En yaygın Katman 7 DDoS saldırı türleri

Uygulama katmanında web servislerini hedef alan saldırılar farklı taktiklerle yürütülür:

HTTP Flood (GET ve POST taşkını)

En sık karşılaşılan L7 saldırısıdır. Dağıtık bot ağları üzerinden hedef web sitesine saniyede binlerce veya yüz binlerce HTTP isteği gönderilir:

• GET Flood: Sitenin en çok kaynak tüketen sayfaları (arama sonuçları, filtreleme sayfaları, dinamik kategori listeleri) art arda çağrılır. Her çağrı veritabanına yoğun okuma sorguları göndererek disk ve işlemci yükünü artırır.
• POST Flood: Web sitesindeki iletişim formları, kullanıcı giriş alanları veya dosya yükleme uç noktaları hedef alınır. POST istekleri sunucu tarafında veri doğrulama ve veritabanına yazma işlemleri başlattığı için GET isteklerine göre sunucuyu çok daha hızlı tüketir.

Cache-Busting (önbellek atlatma)

Modern web altyapılarında statik içerikler ve sayfalar ters vekil (reverse proxy) önbelleklerinde saklanarak doğrudan bellekten sunulur. Saldırganlar bu savunmayı aşmak için isteklerin sonuna rastgele parametreler ekler:

• https://ornek.com/urunler?v=98432174
• https://ornek.com/arama?q=kelime&nocache=482019

Önbellek mekanizması her farklı parametreyi taze bir içerik isteği olarak kabul eder ve önbellekte bulamadığı için isteği doğrudan arka uçtaki web sunucusuna iletir. Böylece önbellek katmanı işlevsiz kalır ve tüm yük doğrudan çekirdek sunucuya biner.

Slowloris ve yavaş istek (RUDY) saldırıları

Slowloris, web sunucularının eşzamanlı bağlantı sınırlarını istismar eden bir saldırı yöntemidir. Sunucunun internet hattını doldurmak veya işlemcisini kilitlemek yerine, bağlantı yuvalarını meşgul eder:

1. Saldırgan sunucuya standart bir HTTP isteği başlatır.
2. İstek başlıklarının tamamlandığını belirten boş satırı (çift satır sonu karakteri) bilerek göndermez.
3. Sunucunun bağlantıyı zaman aşımına uğratıp kapatmasını önlemek için belirli aralıklarla parça parça sahte başlık satırları iletir.
4. Bu işlem yüzlerce farklı bağlantı üzerinden aynı anda tekrarlandığında, süreç tabanlı web sunucularının eşzamanlı bağlantı havuzu tükenir. Yeni gelen gerçek kullanıcılar için açık yuva kalmadığından site yanıt vermeyi durdurur.

Benzer mantıkla çalışan RUDY (R-U-Dead-Yet) saldırısı ise form gönderme oturumlarında yüksek bir içerik boyutu beyan edip gövde verisini bayt bayt çok yavaş göndererek sunucu oturumlarını açık tutar.

İşletim sistemi güvenlik duvarları (iptables/UFW) L7 saldırısını neden durduramaz?

Sunucu yöneticilerinin L7 saldırılarında karşılaştığı en temel zorluk, yerel güvenlik duvarı araçlarıyla (iptables, UFW veya nftables) saldırıyı durdurmaya çalışmaktır. Bu araçların L7 saldırılarına karşı yetersiz kalmasının nedenleri şunlardır:

1. Katman Uyuşmazlığı: İşletim sistemi güvenlik duvarları OSI 3. ve 4. katmanlarında çalışır. Yalnızca IP adreslerini, TCP/UDP portlarını ve TCP durum bayraklarını inceleyebilirler. Bir paketin içindeki HTTP GET yolunu, User-Agent değerini veya istek sıklığını denetleyemezler.
2. TLS Şifreleme: Günümüzde web trafiğinin tamamına yakını HTTPS üzerinden şifreli iletilir. Sunucu işletim sistemi çekirdeğindeki paket filtresi, paketlerin şifreli yükünü çözüp inceleyemez. Şifre çözme işlemi ancak web sunucusu yazılımı düzeyinde gerçekleşebilir.
3. Dağıtık IP Havuzu: L7 saldırıları tek bir IP adresinden gelmez. Farklı ağlardan ve konut interneti arkasından binlerce farklı IP adresi kullanılır. Güvenlik duvarına elle tek tek IP kuralı eklemek pratik olarak mümkün değildir; kural sayısı arttıkça Linux çekirdeğinin paket işleme maliyeti de yükselir.
4. Kaynak Tüketimi: Web sunucusu gelen her şifreli bağlantı için TLS el sıkışması yürütmek zorundadır. Yüz binlerce istek sunucuya ulaştığında, isteklerin içeriği engellense dahi yalnızca bu el sıkışmaları hesaplamak işlemci kaynaklarını tüketebilir.

Web sunucusu düzeyinde savunma ayarları ve sınırları

Kendi yönettiğiniz bir sanal sunucuda web sunucusu yazılımınızı yapılandırarak L7 saldırılarına karşı temel bir dayanıklılık sağlayabilirsiniz. Nginx üzerinde uygulanabilecek temel önlemler şunlardır:

İstek sıklığı sınırlaması (Rate Limiting)

Nginx'in yerleşik istek sınırlama modülü, sızdıran kova (leaky bucket) algoritmasını kullanarak tek bir IP adresinden gelen aşırı istekleri sınırlar ve eşik aşıldığında istemciye HTTP 429 yanıtı döner:

# IP başına saniyede en fazla 10 istek izni ve bellek bölgesi tanımı
limit_req_zone $binary_remote_addr zone=web_limit:10m rate=10r/s;

server {
    location / {
        # Ani patlamalara 5 isteğe kadar tolerans göster
        limit_req zone=web_limit burst=5 nodelay;
        proxy_pass http://127.0.0.1:8080;
    }
}

Zaman aşımlarını daraltma

Slowloris benzeri yavaş istek saldırılarına karşı başlık ve gövde bekleme sürelerini kısa tutmak, sunucu bağlantı yuvalarının gereksiz yere açık kalmasını önler:

# Yavaş bağlantıların soketi meşgul etmesini önleyen süreler
client_header_timeout 10s;
client_body_timeout   10s;
keepalive_timeout     15s;
send_timeout          10s;

Sunucu içi savunmanın sınırları

Bu yapılandırmalar düşük ölçekli bot girişimlerinde fayda sağlar; ancak saldırı yüzlerce dağıtık IP üzerinden geldiğinde yerel web sunucusu gelen tüm TCP bağlantılarını karşılamak, TLS anahtarlarını doğrulamak ve belleğinde oturum açmak zorunda kalır. Dağıtık bir saldırıda sunucunun kaynakları kısa sürede tükenir. Bu sebeple L7 saldırıları sunucu işletim sistemine varmadan önce sınır ağında karşılanmalıdır.

Ağ düzeyinde Katman 7 koruması ve Anycast mimarisi

Katman 7 saldırılarını sunucunuzu yormadan bertaraf etmenin yolu, trafiği sunucunun önündeki dağıtık filtreleme katmanında karşılamaktır:

1. Anycast Ağ Yönlendirmesi: Gelen trafik tek bir fiziksel sunucuya değil, coğrafi olarak dağıtılmış çok sayıda ağ noktasına paylaştırılır. Saldırı trafiği en yakın koruma düğümünde sonlandırılarak hacim yerel merkezlerde eritilir.
2. Sınır Ağında İstek Doğrulaması: HTTP ve HTTPS istekleri sunucunuza varmadan önce koruma noktalarında analiz edilir. İstek başlıklarının protokol standartlarına uygunluğu, anomali kalıpları ve bot göstergeleri incelenir.
3. HTTP/3 ve QUIC Desteği: Modern web protokolü olan QUIC (HTTP/3), UDP üzerinden çalışarak bağlantı kurma süresini kısaltır ve bağlantı taşıma esnekliği sunar. Koruma katmanında QUIC trafiğinin denetlenmesi, modern web saldırılarının filtrelenmesinde kritik rol oynar.
4. Sunucu Kaynaklarının Korunması: Geçersiz veya saldırı amaçlı olduğu tespit edilen HTTP/HTTPS istekleri sınır ağında düşürülür; sunucunuza yalnızca filtrelenmiş ve doğrulanmış meşru kullanıcı trafiği iletilir.

TREAS TRSHIELD ile Katman 7 web koruması

TREAS, sunduğu tüm barındırma ve sunucu altyapılarında kendi geliştirdiği TRSHIELD (DDoS Koruması) teknolojisini kullanır. TRSHIELD, ek bir lisans ücreti veya harici yapılandırma gerektirmeden tüm hizmetlerde standart olarak yer alır.

• Anycast Ağ ve 12 Tbps Kapasite: TRSHIELD anycast ağ mimarisi üzerinde çalışır ve 12 Tbps DDoS koruma kapasitesine sahiptir. Dağıtık L7 saldırı trafiğini sınır ağında karşılayarak sunucunuza 1 ms altı ek gecikmeyle ulaştırır.
• L3, L4 ve L7 Çok Katmanlı Süzme: Gelen ve giden trafiği aynı anda analiz ederek ağ, taşıma ve uygulama katmanlarında eşzamanlı koruma uygular.
• Yerleşik Web Koruma Profili: Web servisleri için HTTP/80 ve HTTPS/443 istek doğrulaması ile QUIC (HTTP/3) protokollerine özel filtreleme profili sunar. Bu sayede web sitenize gelen HTTP taşkınları ve yavaş istekler doğrudan koruma katmanında karşılanır.
• Sürekli Geliştirilen Savunma: TRSHIELD bilinen bütün saldırı vektörlerine karşı koruma sağlar ve yeni saldırı yöntemlerine karşı düzenli olarak geliştirilir.

Web projeleriniz ve siteleriniz için Plesk web hosting paketlerini tercih edebilir; yüksek trafikli web uygulamalarınız için paylaşımlı vCore kaynaklı Performans VPS veya ayrılmış vCore kaynaklı Ekstrem VDS çözümlerimizi değerlendirebilirsiniz. Plesk web hosting paketlerimizde ücretsiz SSL sunulmakta ve başka firmadan gelen siteler için ücretsiz taşıma sağlanmaktadır.

Ağ güvenliği, güvenlik duvarı ayarları ve diğer saldırı türleri hakkında ayrıntılı bilgi edinmek için DDoS saldırısı nedir ve VDS port açma ve güvenlik duvarı başlıklı rehberlerimizi inceleyebilirsiniz.