Hızlı cevap: DDoS (dağıtık hizmet engelleme) saldırısı, bir web sitesini ya da servisi, çok sayıda kaynaktan gelen sahte trafikle boğarak gerçek kullanıcılara hizmet veremez hale getirmektir. Amaç veri çalmak değil, erişilemez kılmaktır; bu yüzden en çok e-ticaret, bankacılık, oyun ve kamu hizmetlerini hedefler. Korunmanın temeli, tek bir sunucuya güvenmek yerine trafiği dağıtan ve süzen katmanlar kullanmaktır: bir CDN ve DDoS koruma servisi, ölçeklenebilir altyapı, hız sınırlama (rate limiting) ve saldırıyı erken fark eden izleme. Bir DDoS saldırısı geldiğinde tek başına sunucu kapasitesini artırmaya çalışmak genelde yetmez; asıl çözüm, kötü trafiği daha altyapınıza ulaşmadan süzen bir koruma katmanıdır. Hazırlıklı bir kurum saldırıyı dakikalar içinde savuşturur; hazırlıksız olan saatlerce çevrimdışı kalır.

İlgili rehber: DDoS Saldırısı Nedir? Türleri, Belirtileri ve Kurumsal Korunma Yöntemleri

Bir sabah siteniz açılmıyor, ama bir arıza yok; sunucular çalışıyor, kod sağlam. Sorun şu: siteniz o kadar çok sahte istekle boğulmuş ki gerçek müşterilerinize cevap veremiyor. Bu bir DDoS saldırısıdır ve amacı sizi hacklemek değil, sizi durdurmaktır. Bu yazı, DDoS saldırısının ne olduğunu, nasıl çalıştığını ve ona karşı nasıl hazırlıklı olacağınızı anlatıyor.

DDoS nedir ve nasıl çalışır

DDoS, "dağıtık hizmet engelleme" anlamına gelir. Bir saldırgan, dünyanın dört bir yanına dağılmış çok sayıda ele geçirilmiş cihazı (bir botnet) kullanarak, hedef siteye aynı anda devasa miktarda sahte trafik gönderir. Site, bu trafiğin altında ezilir ve gerçek kullanıcılara hizmet veremez hale gelir. Saldırının "dağıtık" olması, onu durdurmayı zorlaştırır; trafik tek bir kaynaktan gelmediği için basitçe bir IP'yi engellemek işe yaramaz.

Bu botnetler genelde zayıf güvenlikli cihazlardan oluşur; ele geçirilmiş kameralar, yönlendiriciler ve akıllı ev cihazları. Bu yüzden kendi cihazlarınızın güvenliği, sadece sizi değil interneti korur; bunu akıllı ev cihazı güvenliği yazısında ele aldık.

DDoS türleri

Tür Hedef Nasıl işler
Hacim tabanlı Bant genişliği Devasa trafikle hattı doldurur
Protokol tabanlı Sunucu kaynakları Bağlantı tablolarını tüketir
Uygulama katmanı Web uygulaması Gerçekçi görünen isteklerle boğar

Uygulama katmanı saldırıları en sinsi olanlardır; trafik gerçek kullanıcı isteği gibi göründüğü için ayırt edilmesi zordur ve daha az trafikle büyük hasar verebilir.

Korunmanın temeli: katmanlar

DDoS'a karşı tek bir sihirli çözüm yoktur; korunma katmanlıdır. En önemli katman, trafiği altyapınıza ulaşmadan süzen bir DDoS koruma servisi ve CDN'dir; bunlar sahte trafiği kenarda (edge) yakalar ve yalnızca temiz trafiği geçirir. İkinci katman, ölçeklenebilir bir altyapıdır; ani yük artışını kaldırabilen bir mimari, saldırının etkisini azaltır. Üçüncü katman, hız sınırlama (rate limiting) ve trafik kurallarıdır; tek bir kaynaktan gelen aşırı isteği otomatik keser. Bu koruma katmanlarını bir sızma testi kapsamında değerlendirebilirsiniz; web sitesi güvenlik hizmeti ve WAF yazısında bu yaklaşımı ele aldık.

Saldırı anında ve öncesinde

DDoS'a karşı en etkili savunma, saldırı gelmeden önce hazırlanmaktır. Bir DDoS koruma servisinin önceden devrede olması, izlemenin saldırıyı erken yakalaması ve bir müdahale planının hazır olması, saatler süren bir kesinti ile dakikalar süren bir olay arasındaki farktır. Saldırı geldiğinde panikle sunucu kapasitesi artırmaya çalışmak genelde geç ve yetersiz kalır. Bu yüzden DDoS hazırlığı, bir siber olay müdahale planının parçası olmalıdır.

KAOS ve DSET yaklaşımı

DSET, kurumların DDoS dayanıklılığını değerlendirir ve hazırlık planını kurar. Yerel yapay zekâ motorumuz KAOS, bir kurumun dış yüzeyini tarayarak DDoS koruması olmayan servisleri, doğrudan açığa çıkmış kaynak sunucuları ve zayıf noktaları tespit eder ve her bulguyu çalışan bir kanıtla raporlar. Amaç, bir saldırı geldiğinde kurumun hazırlıksız yakalanmamasını sağlamaktır.

Sık sorulan sorular

DDoS saldırısı verilerimi çalar mı? Genelde hayır. DDoS'un amacı veri çalmak değil, servisi erişilemez kılmaktır. Ancak dikkatli olun: bazen DDoS, başka bir saldırıyı gizlemek için bir dikkat dağıtma aracı olarak kullanılır. Ekip DDoS ile uğraşırken, saldırgan arka planda veri çalmaya çalışabilir. Bu yüzden bir DDoS sırasında diğer sistemleri de izlemek önemlidir.

Sunucumu büyütsem DDoS'u çözer mi? Genelde hayır. Sunucu kapasitesini artırmak, hacim tabanlı büyük bir saldırı karşısında yetersiz kalır çünkü saldırgan neredeyse sınırsız trafik üretebilir. Asıl çözüm, kötü trafiği altyapınıza ulaşmadan süzen bir DDoS koruma servisi ve CDN katmanıdır. Kapasite artırmak yardımcı olabilir ama tek başına bir strateji değildir.

Küçük bir siteyim, hedef olur muyum? Olabilirsiniz. DDoS saldırıları her zaman büyük hedeflere yönelmez; rekabet, şantaj (fidye tehdidi) ya da sadece rastgele saldırılar küçük siteleri de vurabilir. İyi haber şu ki, temel bir DDoS koruma servisi ve CDN, çoğu küçük ve orta ölçekli site için erişilebilir maliyetlidir ve saldırıların büyük bölümünü savuşturur.

Kaynaklar

Kurumunuzun DDoS dayanıklılığını değerlendirmek ve hazırlık planını kurmak için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan güvenlik danışmanlığı sağlıyoruz.