SYN Flood Nedir? TCP El Sıkışma İstismarı ve Anti-SYN Koruması

SYN Flood, TCP protokolünün üçlü el sıkışma (Three-Way Handshake) sürecini kötüye kullanarak sunucunun bağlantı tablosunu sahte isteklerle kilitleyen bir taşıma katmanı (L4) hizmet engelleme saldırısıdır. Saldırgan sahte kaynak IP adresleriyle hedef sunucuya peş peşe TCP SYN paketleri yollar; sunucunun yanıt olarak döndüğü SYN-ACK paketlerine ise kasten son ACK onayını iletmez. Sunucunun yarı açık bağlantı kuyruğu dolduğunda, meşru kullanıcıların yeni bağlantı talepleri cevapsız kalır ve çalışan servisler erişilemez hâle gelir.

TCP üçlü el sıkışma ve yarı açık bağlantı mantığı

İki cihaz arasında veri aktarımı başlatmak için TCP protokolü oturum öncesinde üç aşamalı bir el sıkışma süreci yürütür:

1. SYN (Bağlantı İsteği): İstemci, sunucuya rastgele belirlenmiş bir başlangıç sıra numarası (ISN - Initial Sequence Number) içeren bir SYN paketi gönderir.
2. SYN-ACK (İstek Onayı ve Yanıt): Sunucu isteği kabul eder. Hem istemcinin sıra numarasını onaylayan bir ACK değeri hesaplar hem de kendi başlangıç sıra numarasını belirterek bir SYN-ACK paketi geri gönderir. Bu aşamada sunucu çekirdeği bağlantıyı SYN_RECV (yarı açık) durumuna alır ve işletim sistemi belleğinde oturum bilgilerini tutan bir bağlantı kontrol bloğu (TCB) açar.
3. ACK (Son Onay): İstemci, sunucunun sıra numarasını onaylayan son bir ACK paketi gönderir. Bağlantı ESTABLISHED durumuna geçer ve veri alışverişi başlar.

Normal şartlarda bu üç adım birkaç milisaniye içinde tamamlanır. Ancak istemci son adımı kasıtlı olarak tamamlamazsa, sunucu işletim sistemi belirli bir zaman aşımı süresi boyunca yarı açık bağlantıyı belleğinde tutmaya ve yanıt beklemeye devam eder.

SYN flood saldırısı sunucu kaynaklarını nasıl tüketir?

SYN Flood saldırısında saldırgan, hedef sunucuya saniyede on binlerce veya yüz binlerce SYN paketi gönderir. Bu saldırıyı tehlikeli kılan temel unsurlar şunlardır:

• Sahte IP Adresleri (IP Spoofing): Saldırgan, gönderdiği TCP paketlerinin kaynak IP alanına rastgele veya var olmayan IP adresleri yazar. Sunucu SYN-ACK paketlerini bu sahte adreslere yollar; fakat bu adresler ya internette mevcut değildir ya da böyle bir istekte bulunmadıkları için gelen paketi yok sayar.
• Kuyruk Kapasitesinin Dolması: İşletim sisteminde gelen bağlantı isteklerini karşılayan sınırlı bir yarı açık bağlantı kuyruğu (tcp_max_syn_backlog) bulunur. Her gelen sahte SYN paketi bu kuyrukta yer işgal eder. Kuyruk kapasitesi dolduğu anda sunucu artık yeni hiçbir bağlantı isteğini kabul edemez.
• İşlemci ve Kesme (SoftIRQ) Yükü: Saniyede gelen yüz binlerce paket, sunucunun ağ kartı ve çekirdek seviyesindeki paket işleme rutinlerini aşırı meşgul eder. Sunucunun işlemcisi gelen paketleri çözümlemek ve zaman aşımına uğrayan paketleri yeniden göndermek için yüksek CPU tüketimine girer.

Sunucunun internet erişim hattı tamamen tıkanmamış olsa dahi, TCP durum tablosu kilitlendiğinde meşru kullanıcılar web sitesine, panele veya oyun sunucusuna bağlanamaz.

Sunucu içi savunma mekanizmaları ve sınırları

Linux işletim sistemlerinde SYN taşkınlarına karşı çekirdek düzeyinde bazı yerleşik parametreler bulunur. Ancak bu önlemlerin teknik sınırları vardır:

Sunucu içinde yapılandırılan bu parametreler, yerel sunucuya kadar ulaşan düşük hacimli denemelerde bir miktar dayanıklılık sağlar. Ancak saldırganların ürettiği trafik sunucunun fiziksel port kapasitesini veya veri merkezi erişim hattını doldurduğunda, sunucu içindeki hiçbir ayar hattı boşaltamaz. Benzer şekilde DDoS saldırısı nedir rehberimizde ele aldığımız gibi, gelen paketler sunucunun işletim sistemine ulaşmadan önce hattın üzerinde kaybolur. Bu nedenle gerçek bir koruma ancak ağ seviyesinde sağlanabilir.

Ağ düzeyinde Anti-SYN koruması: SYN Proxy ve Anycast mimarisi

Hacimli ve dağıtık SYN saldırılarını sunucuya zarar vermeden durdurmanın yolu, trafiği sunucunun önündeki yüksek kapasiteli koruma ağında karşılamaktır:

1. TCP SYN Proxy: Koruma katmanındaki ağ cihazları, istemciden gelen ilk SYN paketini doğrudan sunucuya iletmez; istemci adına kendisi karşılar ve SYN-ACK ile yanıt döner. İstemciden geçerli bir ACK paketi dönüp üçlü el sıkışma başarıyla tamamlanmadığı sürece arka uçtaki sunucuya hiçbir paket gönderilmez. Doğrulama bittiğinde sunucu ile ayrı bir oturum açılarak iki bağlantı şeffaf biçimde birleştirilir. Sahte IP'lerle gönderilen milyonlarca istek ise koruma noktasında anında düşürülür.
2. TCP Symmetric Doğrulama: TCP trafiğinin gidiş ve dönüş yollarının aynı koruma noktası üzerinden simetrik akmasını sağlayarak paketlerin sıra numaralarını ve bağlantı durumlarını çift taraflı denetler.
3. Anycast Ağ Dağıtımı: Saldırı trafiği tek bir veri merkezine yönlendirilmek yerine, dünya ve ülke genelindeki dağıtık ağ noktalarına paylaştırılır. Böylece devasa paket hacmi parçalara bölünerek yerel koruma düğümlerinde temizlenir.

TREAS TRSHIELD ile TCP ve SYN flood koruması

TREAS, sunduğu tüm sunucu hizmetlerinde altyapıya entegre olarak çalışan TRSHIELD (DDoS Koruması) teknolojisini kullanır. TRSHIELD, ek bir lisans ücreti veya harici yapılandırma gerektirmeden Performans VPS, Ekstrem VDS, fiziksel sunucu ve Plesk barındırma paketlerinde standart olarak sunulur.

• Anycast Altyapı ve 12 Tbps Kapasite: TRSHIELD anycast ağ mimarisi üzerinde çalışır; 12 Tbps DDoS koruma kapasitesi ile saniyede milyonlarca paket üreten yüksek hacimli L4 SYN taşkınlarını sunucunuzun erişim portuna ulaşmadan karşılar. Temizlenen trafik sunucunuza 1 ms altı ek gecikmeyle ulaştırılır.
• Katmanlı Süzme: Ağ ve taşıma katmanının yanı sıra uygulama katmanında (L3, L4 ve L7) çift yönlü trafik analizi gerçekleştirir.
• Gelişmiş TCP Koruma Profilleri: Genel TCP servisleri için Anti-SYN, Anti-ACK/RST ve TCP Symmetric (500, 1500 ve 2500 paket seviyeleriyle) hazır koruma profilleri sunar. Bu profiller sayesinde TCP el sıkışma süreçleri koruma katmanında doğrulanarak sunucuya yalnızca meşru bağlantılar iletilir.
• Sürekli Geliştirilen Savunma: TRSHIELD bilinen bütün saldırı vektörlerine karşı koruma sağlar ve altyapısı yeni saldırı dinamiklerine karşı düzenli olarak geliştirilir.