DDoS Saldırısı Nedir? Türleri ve Korunma Yöntemleri

Web siteniz bir anda açılmıyor, sunucu kaynakları tavan yapmış ve erişim kayıtları binlerce farklı IP adresinden gelen isteklerle dolu. Büyük olasılıkla bir DDoS saldırısıyla karşı karşıyasınız. Bu yazıda DDoS saldırısının ne olduğunu, türlerini ve işletmelerin alabileceği önlemleri teknik olmayan bir dille anlattık.

DDoS nedir?

DDoS (Distributed Denial of Service – dağıtık hizmet engelleme), çok sayıda cihazdan bir hedefe aynı anda yoğun trafik gönderilerek hizmetin gerçek kullanıcılara yanıt veremez hale getirilmesidir. Saldırıda kullanılan cihazlar çoğu zaman ele geçirilmiş bilgisayarlar, modemler, kameralar ve diğer internete bağlı cihazlardan oluşan "botnet"lerdir. Amaç veri çalmak değil, erişimi engellemektir; ancak bazen başka bir saldırıyı gizlemek için de kullanılır.

Başlıca DDoS türleri

Hacim tabanlı saldırılar

Hedefin internet bağlantısını doldurmayı amaçlar. UDP flood ve DNS/NTP yansıtma (amplification) saldırıları bu gruptadır. Çok yüksek trafik hacimlerine ulaşabilir ve sunucu tarafında değil, ağ tarafında karşılanması gerekir.

Protokol saldırıları

SYN flood gibi saldırılar, sunucu ve güvenlik duvarlarının bağlantı tablolarını doldurarak yeni bağlantıların kabul edilmesini engeller.

Uygulama katmanı (L7) saldırıları

Görünüşte normal web istekleridir; örneğin sitenin arama sayfasına veya giriş formuna saniyede binlerce istek gönderilir. Trafik hacmi düşük olsa bile her istek veritabanını çalıştırdığı için sunucu kısa sürede yanıt veremez hale gelir. Tespiti en zor türdür.

Saldırı altında olduğunuzu nasıl anlarsınız?

• Site veya e-posta hizmeti aniden yavaşlar ya da tamamen erişilemez olur.
• Trafik grafiğinde açıklanamayan, ani bir yükseliş görülür.
• Erişim kayıtlarında aynı adrese, alışılmadık sayıda farklı IP'den veya aynı tarayıcı imzasından istekler bulunur.
• Sunucu işlemci ve bellek kullanımı, ziyaretçi sayısıyla açıklanamayacak düzeydedir.

Alınabilecek önlemler

• Ağ seviyesinde DDoS koruması: Hacim tabanlı saldırılar ancak veri merkezi veya üst ağ sağlayıcısı seviyesinde süzülebilir. Hosting ve sunucu sağlayıcınıza hangi korumanın dahil olduğunu sorun.
• CDN ve ters vekil (reverse proxy): Sitenizin önüne konumlanan bir CDN, trafiği dünya genelindeki uç noktalara dağıtır ve sunucunuzun gerçek IP adresini gizler.
• Hız sınırlama (rate limiting): Giriş, arama, iletişim formu gibi pahalı uç noktalara IP başına istek sınırı uygulayın.
• Web uygulama güvenlik duvarı (WAF): Bilinen kötü amaçlı istek kalıplarını ve botları filtreler.
• Önbellek: Sayfaların önbellekten sunulması, L7 saldırılarında veritabanının çökmesini önler.
• Gerçek IP'yi gizli tutun: CDN kullanıyorsanız sunucunuzun IP adresi DNS kayıtlarında (ör. mail alt alan adında) açığa çıkmamalı.

Bir saldırı sırasında ne yapmalı?

1. Hosting veya sunucu sağlayıcınıza hemen haber verin; ağ seviyesindeki filtreler ancak onların müdahalesiyle devreye alınabilir.
2. Saldırının türünü belirlemek için erişim kayıtlarını ve trafik grafiklerini saklayın.
3. CDN kullanıyorsanız "saldırı altında" modunu veya ek doğrulama adımını etkinleştirin.
4. Fidye talebi içeren mesajlara yanıt vermeyin ve ödeme yapmayın; durumu yetkili mercilere bildirin.

Sonuç

DDoS'a karşı tek bir sihirli çözüm yoktur; etkili koruma ağ seviyesindeki filtreleme, CDN, hız sınırlama ve iyi yapılandırılmış bir uygulamanın birleşimiyle sağlanır. Pixron bulut sunucu ve co-location hizmetlerinde koruma seçenekleri hakkında bilgi almak için destek ekibimize ulaşabilirsiniz.