Bir web sitesinin erişilemez hale gelmesi her zaman yazılım hatası, sunucu arızası veya yanlış yapılandırmadan kaynaklanmaz. Sunucu teknik olarak çalışmaya devam ettiği halde ziyaretçilerin siteye ulaşmasını engelleyen yoğun ve anormal trafik, bir DDoS saldırısının sonucu olabilir.
DDoS, yani Distributed Denial of Service, Türkçede dağıtık hizmet engelleme saldırısı olarak ifade edilir. Temel amaç doğrudan veri çalmak değil, hedef sistemin ağ veya sunucu kaynaklarını tüketerek gerçek kullanıcıların hizmete erişmesini zorlaştırmak ya da tamamen engellemektir.
DDoS Saldırısı Nasıl Gerçekleşir?
DDoS saldırılarında hedefe genellikle tek bir cihazdan trafik gönderilmez. Saldırganlar, farklı ağlarda bulunan çok sayıda cihazdan aynı anda istek oluşturarak trafiği dağıtır. Bu cihazlar zararlı yazılımlarla kontrol altına alınmış bilgisayarlar, sunucular, yönlendiriciler veya IoT cihazlarından oluşan bir botnet'in parçaları olabilir.
Binlerce farklı kaynaktan gelen trafik, saldırının sıradan bir bağlantı yoğunluğundan ayrılmasını zorlaştırabilir. Trafik hacmi veya istek sayısı altyapının işleyebileceği seviyenin üzerine çıktığında ağ bağlantısı, güvenlik duvarı, web sunucusu veya uygulamanın kendisi darboğaza girebilir.
DDoS Saldırılarının Temel Türleri
Her DDoS saldırısı aynı yöntemi kullanmaz. Bazı saldırılar mümkün olduğunca yüksek bant genişliği tüketmeye çalışırken bazıları bağlantı tablolarını veya doğrudan web uygulamasının kaynaklarını hedefler.
Hacimsel Saldırılar
Hacimsel saldırılarda temel amaç hedefin internet bağlantısını yoğun trafik altında bırakmaktır. UDP flood ve çeşitli amplification saldırıları bu grupta değerlendirilebilir. Trafik kapasitesi yeterince yüksek olduğunda sunucunun CPU ve RAM kaynakları tükenmeden önce bile ağ hattı doygunluğa ulaşabilir.
Protokol Tabanlı Saldırılar
SYN flood gibi yöntemler ağ protokollerinin çalışma biçiminden yararlanır. Örneğin çok sayıda yarım bırakılmış TCP bağlantısı oluşturularak sunucunun veya aradaki ağ cihazlarının bağlantı tablolarının tüketilmesi hedeflenebilir.
Bu saldırılarda trafik miktarı her zaman olağanüstü yüksek olmak zorunda değildir. Paket sayısı, bağlantı oluşturma hızı ve kullanılan protokol davranışı, toplam bant genişliğinden daha belirleyici hale gelebilir.
Uygulama Katmanı Saldırıları
Layer 7 olarak da adlandırılan uygulama katmanı saldırıları HTTP veya HTTPS gibi doğrudan uygulamayla iletişim kuran protokolleri hedefler. Saldırgan, normal ziyaretçiye benzeyen ancak çok yüksek sayıda veya sistem açısından maliyetli HTTP isteği oluşturabilir.
Örneğin yoğun veritabanı sorgusu çalıştıran bir sayfanın sürekli çağrılması CPU kullanımını artırabilir ve veritabanındaki bağlantı havuzunu tüketebilir. Böyle bir durumda saldırı trafiği bant genişliği açısından düşük görünmesine rağmen uygulama kullanılamaz hale gelebilir.
DDoS Saldırısı Web Sitesinde Neler Yaşatır?
Saldırının kullanıcı tarafından görülen ilk sonucu çoğunlukla sayfaların yavaşlamasıdır. Normalde birkaç yüz milisaniyede yanıt veren bir web uygulamasının cevap süresi saniyelere çıkabilir; saldırı şiddetlendikçe bağlantı zaman aşımı ve 5xx sınıfı hatalar görülmeye başlanabilir.
Kaynak tüketiminin hangi noktada gerçekleştiğine göre belirtiler değişebilir. Ağ hattı dolduğunda sunucuya erişim genel olarak kesilebilirken uygulama katmanı saldırılarında yalnızca web sitesi veya belirli dinamik sayfalar sorun yaşayabilir.
- Web sayfalarının geç açılması veya tamamen erişilemez olması
- CPU ve RAM kullanımında olağan dışı artışlar
- Ağ trafiğinde ani yükselmeler
- Sunucu bağlantı tablolarının dolması
- Web ve veritabanı servislerinde yanıt süresinin artması
- Gerçek kullanıcıların bağlantılarının reddedilmesi
- 502, 503 ve 504 gibi HTTP hatalarının görülmesi
DDoS saldırısı yalnızca saldırının hedef aldığı siteyi de etkilemeyebilir. Aynı fiziksel sunucu, ağ cihazı veya uplink üzerinde birden fazla hizmet bulunuyorsa kapasitenin tüketilmesi diğer sistemlerin performansını da düşürebilir. Bu nedenle saldırının etkisi altyapının nasıl tasarlandığıyla doğrudan ilişkilidir.
Sunucu Kaynaklarının Fazla Olması Tek Başına Yeterli mi?
Yüksek işlemci gücü ve fazla RAM, özellikle uygulama katmanı saldırılarında sistemin dayanıklılığını artırabilir ancak tek başına DDoS koruması anlamına gelmez. Örneğin sunucunun 1 Gbps bağlantısı bulunuyorsa ve saldırı trafiği bu kapasitenin üzerine çıkıyorsa güçlü bir işlemciye sahip olmak ağ darboğazını ortadan kaldırmaz.
Benzer şekilde yalnızca yüksek bant genişliği de tüm saldırılara karşı yeterli değildir. Küçük hacimli fakat çok yüksek paket hızına sahip bir saldırı ağ cihazlarını zorlayabilir veya uygulama katmanındaki karmaşık istekler web sunucusunun kaynaklarını tüketebilir.
DDoS Koruması Nasıl Çalışır?
DDoS korumasının temel amacı saldırı trafiğini mümkün olduğunca erken tespit etmek, zararlı trafiği filtrelemek ve gerçek kullanıcıların bağlantılarını hedef sisteme ulaştırmaya devam etmektir. Bunun için trafik analizi, paket filtreleme, rate limiting, davranış analizi ve gerektiğinde scrubbing altyapıları kullanılabilir.
Korumanın yalnızca sunucunun işletim sistemi üzerinde yapılması her durumda yeterli olmaz. Saldırı veri merkezinin internet bağlantısını dolduruyorsa paketler sunucuya ulaşmadan önce sorun oluşmuş demektir. Bu nedenle yüksek hacimli saldırılarda filtrelemenin upstream ağ seviyesinde gerçekleştirilmesi önem taşır.
Altyapı seçimi sırasında yalnızca belirtilen koruma kapasitesine değil, hangi saldırı türlerinin filtrelendiğine ve korumanın ağın hangi noktasında uygulandığına da bakılmalıdır. Bu konuda farklı altyapıların çalışma biçimini değerlendirmek isteyenler Verunix tarafından sunulan DDoS korumasına ilişkin teknik bilgileri de inceleme kapsamında değerlendirebilir.
CDN ve WAF DDoS Saldırılarını Engeller mi?
CDN kullanımı, özellikle web sitelerinde origin sunucunun doğrudan internete açık olmasını azaltarak önemli bir koruma katmanı sağlayabilir. İçerik farklı noktalardan sunulabildiği için isteklerin tamamının tek bir sunucu üzerinde toplanmasının önüne geçilebilir.
Web Application Firewall ise HTTP isteklerini inceleyerek belirli saldırı kalıplarının filtrelenmesine yardımcı olur. Rate limiting ile belirli IP adreslerinin veya istemcilerin kısa sürede gerçekleştirebileceği istek sayısı sınırlandırılabilir.
Bununla birlikte CDN, WAF ve ağ seviyesindeki DDoS filtrelemesi birbirinin tam alternatifi değildir. Özellikle origin IP adresinin dışarıdan erişilebilir olduğu yapılarda saldırgan doğrudan gerçek sunucu adresini hedefleyebilir ve CDN katmanını devre dışı bırakabilir.
DDoS Saldırısına Karşı Alınabilecek Önlemler
Etkili bir savunma yaklaşımı tek bir güvenlik mekanizmasına bağlı kalmak yerine farklı katmanlarda önlem alınmasını gerektirir. Ağ, işletim sistemi, web sunucusu ve uygulama seviyesinde uygulanacak kontroller birbirini tamamlamalıdır.
- Sunucu ve ağ trafiği düzenli olarak izlenmelidir.
- Normal trafik profili belirlenerek olağan dışı yükselmeler takip edilmelidir.
- Gereksiz servis ve portlar internet erişimine kapatılmalıdır.
- Uygun servislerde bağlantı ve istek limitleri uygulanmalıdır.
- Web uygulamalarında önbellekleme mekanizmalarından yararlanılmalıdır.
- Origin sunucu mümkün olduğunca doğrudan erişime açık bırakılmamalıdır.
- CDN ve WAF gibi uygulama katmanı çözümleri gerektiğinde kullanılmalıdır.
- Ağ seviyesinde saldırı trafiğini filtreleyebilecek bir altyapı tercih edilmelidir.
Saldırı Sonrası Analiz Neden Önemlidir?
DDoS saldırısı sona erdiğinde yalnızca hizmetin tekrar çalıştığını doğrulamak yeterli değildir. Ağ grafikleri, sistem kayıtları, web sunucusu logları, bağlantı sayıları ve kaynak kullanım değerleri incelenerek saldırının hangi katmanı hedeflediği anlaşılmalıdır.
Bu analiz gelecekte uygulanacak filtreleme kurallarının daha doğru hazırlanmasına yardımcı olur. Örneğin sorun yüksek bant genişliği tüketiminden kaynaklanıyorsa ağ seviyesindeki kapasite ve filtreleme öne çıkarken, yoğun HTTP istekleri nedeniyle oluşmuşsa WAF, önbellekleme ve rate limiting politikalarının gözden geçirilmesi gerekebilir.
Sonuç
DDoS saldırılarının etkisi yalnızca web sitesinin birkaç dakika erişilememesiyle sınırlı değildir. Uzun süreli kesintiler kullanıcı deneyimini bozabilir, çevrim içi işlemleri durdurabilir ve aynı altyapıya bağlı diğer servislerin de performansını etkileyebilir.
Bu nedenle DDoS güvenliği yalnızca yüksek trafik kapasitesi veya güçlü sunucu donanımı üzerinden değerlendirilmemelidir. Trafiğin nerede filtrelendiği, farklı saldırı katmanlarına nasıl müdahale edildiği, uygulama seviyesinde hangi önlemlerin bulunduğu ve saldırı sırasında gerçek kullanıcı trafiğinin ne ölçüde korunabildiği birlikte ele alındığında daha dayanıklı bir web altyapısı oluşturulabilir.