DDoS koruması: katmanlı savunma rehberi

Bir DDoS saldırısı verinizi çalmaya çalışmaz. Hizmetinizi erişilemez hale getirmeye çalışır ve bunu ilk tükenen kaynağı tüketerek yapar: bant genişliğini, bağlantı tablosunu, işlemciyi ya da veritabanı bağlantı havuzunu. Bu yüzden "DDoS'tan nasıl korunurum" sorusunun dürüst cevabı tek bir ürün ya da tek bir güvenlik duvarı kuralı değil. Farklı saldırılar farklı kaynakları tüketir ve her savunma katmanı farklı bir arıza biçimini kapatır. Aşağıda katmanları gerçekten saldırıyı durdurdukları sırayla ele alıyoruz; sonunda da saldırı çoktan başladıysa uygulanacak adımlar var.

DDoS saldırısı neyi tüketir

Saldırganın başarı ölçütü tektir: kullanıcılarınızın hizmete ulaşamaması. Bunun için en zayıf halkayı arar. Küçük bir siteye yapılan hacimsel saldırı, bağlantı hattını doldurduğu anda hedefine ulaşır; daha büyük bir altyapıda ise önce güvenlik duvarının durum tablosu, sonra sunucunun bağlantı kuyruğu, en sonunda uygulamanın işlemci kapasitesi tükenir.

Bu yüzden ilk iş kendi darboğazınızı ölçmek. Hattınızın ne kadarını kullandığınızı, güvenlik duvarınızın kaç eşzamanlı bağlantı tuttuğunu ve veritabanınızın kaç bağlantı kabul ettiğini bilmiyorsanız, hangi katmanı güçlendireceğinizi de bilemezsiniz. Kapasite planlaması yapılmamış ortamda her saldırı sürpriz gibi görünür.

Hangi saldırı nerede durdurulur

Savunma katmanlarını seçmeden önce saldırı ailelerini ayırmak gerekiyor; çünkü her ailenin durdurulması gereken yer farklı.

Saldırı ailesi	Tipik örnek	Tükettiği kaynak	Durdurulması gereken yer
Hacimsel	UDP seli, DNS ve NTP yansıtma, dağınık hedefleme	Ağ hattınız	Yukarı akışta, barındırma sağlayıcısı veya temizleme ağı
Protokol ve durum	SYN seli, ACK seli, bağlantı seli	Sunucu, güvenlik duvarı ve yük dengeleyici tabloları	Kenarda hız sınırı, çekirdek ayarı, SYN çerezleri
Uygulama katmanı	HTTP seli, önbellek bozma, yavaş istek, API kötüye kullanımı	İşlemci, çalışan süreçler, veritabanı bağlantıları	CDN ve WAF, önbellek, uç nokta bazlı sınırlar

Tablodaki en can alıcı satır ilkidir: saldırı hattınızdan büyükse, sunucuda yapacağınız hiçbir ayarın önemi kalmaz. Paketler yerel kuralınıza ulaştığında savaş çoktan kaybedilmiştir. Hacimsel koruma yukarı akışta yaşamak zorundadır; geri kalan her şeyi kendi tarafınızda sertleştirebilirsiniz.

Kaynağın önüne temizleme katmanı koymak

Ciddi savunmaların hepsi sahip olmadığınız bir kapasiteyle başlar. Temizleme ağları saldırı trafiğini onlarca noktaya dağıtır, filtreler ve sunucunuza yalnızca temiz istekleri iletir. Yapılması gerekenler:

Genel trafiği, DDoS azaltması içeren bir CDN ya da ters vekil arkasına alın.
Barındırma sağlayıcınıza IP'nizin önünde ne kadar azaltma kapasitesi olduğunu ve bunun sürekli mi yoksa yalnızca tespit sonrası mı devreye girdiğini sorun.
Trafiği coğrafi olarak dağıtan bir yapı tercih edin; tek veri merkezine yük bindirmek yerine sel birden fazla noktaya yayılsın.

Sık yapılan hata, CDN'i tek başına yeterli sanmak; o, katmanların yalnızca birincisi. "Talep üzerine koruma" ifadesine de dikkat edin: dakikalar içinde devreye giren bir mekanizma, tam da saldırının başladığı anda boşluk bırakır.

Gerçek IP adresini görünmez tutmak

Bu adım çoğu ekibin atladığı ve birinci katmanı sessizce çöpe attığı yerdir. Saldırgan gerçek sunucu adresinizi öğrenirse CDN'i tamamen atlar ve doğrudan kaynağa yüklenir.

Adresin sızdığı yerler şaşırtıcı derecede çok:

DNS geçmişi arşivleri: CDN'e geçmeden önceki eski kayıtlar.
Sertifika şeffaflık günlükleri: Kaynak sunucu adına düzenlenmiş sertifikalar.
Alt alan adları: Posta, VPN, dosya ve geliştirme alt alanları sıklıkla aynı sunucuya çıkar.
E-posta başlıkları: Giden iletilerin başlık satırları kaynak adresi taşıyabilir.
Eski kayıtlar: CDN dışındaki altyapıyı işaret eden posta ve doğrulama kayıtları.

Yapılması gerekenler: CDN devreye girdikten sonra kaynak adresi değiştirin, güvenlik duvarını yalnızca CDN'in yayımladığı adres aralıklarına izin verecek şekilde kapatın ve kendi görünürlüğünüzü üç ayda bir yeniden kontrol edin. Bu kontrolü atlayan ekipler, altı ay sonra yeni bir alt alan adıyla aynı soruna geri dönüyor.

Uygulama katmanı için WAF

Ağ güvenlik duvarı geçerli bir TCP bağlantısı görür ve geçmesine izin verir. Oysa uygulama katmanı saldırıları tam olarak bu bağlantının içinde, HTTP isteğinin kendisinde yaşar: bozuk istekler, bilinen açık denemeleri, giriş ve arama uç noktalarına yönelen bot selleri.

Önce yönetilen kural setlerini açın, ardından kendi uygulamanıza özel kurallar ekleyin. Dosya yükleme uç noktalarında gövde boyutunu sınırlayın, yönetim yollarına gelen istekleri ek doğrulamaya tabi tutun ve hız sınırlarını site geneli yerine uç nokta bazında tanımlayın. Kural yazarken amaç her isteği durdurmak değil; meşru kullanıcıyı rahatsız etmeden pahalı yolları korumak.

Her seviyede hız sınırı

Hız sınırı, maliyeti en düşük ve en sık yanlış yapılandırılan kontroldür. Yalnızca web sunucusunda uygulanan kural, ağı önce dolduran trafiğe hiçbir şey yapmaz; yalnızca IP adresine bakan kural ise binlerce farklı adresten gelen bir botnet karşısında neredeyse etkisizdir.

Kenarda

IP başına, otonom sistem başına ve gerektiğinde ülke bazında istek sınırları tanımlayın. Buradaki sınırlar kaba olabilir; amaç ağ katmanında hacmi düşürmek.

Uygulamada

Oturum, API anahtarı ve oturum açmış kullanıcı bazında sınır koyun. Sabit saniyelik tavanlar yerine kova veya kayan pencere yöntemleri kullanın; böylece kısa patlamalar meşru kullanıcıyı kilitlemez.

Pahalı uç noktalarda

Giriş, parola sıfırlama, arama ve ödeme adımları saldırganın en çok sevdiği yollardır çünkü her istek sunucuda gerçek iş yapar. Buralarda sınır çok daha sıkı olmalı. Sınırı aşan istemciye 429 durum kodu ve bekleme süresi bildiren bir başlık döndürün; böylece meşru istemci geri çekilir, saldırgan ise boşuna denemeye devam eder.

TCP yığınını sertleştirmek

SYN seli, tek bir HTTP isteği gelmeden bağlantı tablosunu doldurur. Çözümler eski, sıkıcı ve etkilidir: SYN çerezlerini açın, dinleme kuyruğunu gerçek eşzamanlılığa göre ayarlayın, yarım kalan bağlantıların zaman aşımını kısaltın, yük dengeleyicide canlı tutma sürelerini düşürün ve kaynak başına eşzamanlı bağlantı sayısını kenarda sınırlayın.

Kritik uyarı: internette bulduğunuz değerleri ölçüm yapmadan kopyalamak çoğu zaman durumu kötüleştirir. Değişikliği yük altında test edin; önce ve sonra değerlerini kaydedin.

Önbelleği savunmanın parçası yapmak

Önbellekten sunulan bir istek kaynağınıza hiç ulaşmaz; dolayısıyla ne işlemci ne de veritabanı bağlantısı harcar. Statik hale getirilebilecek her şey statik olmalı: görseller, stil dosyaları, betikler ve anonim ziyaretçilere gösterilen sayfalar.

Saldırı anında iki ayrıntı belirleyici olur. Birincisi, rastgele sorgu parametreleri ekleyerek önbelleği bozmak bilinen bir saldırı tekniğidir; CDN'i önbelleklenebilir yollarda ilgisiz parametreleri yok sayacak şekilde yapılandırın. İkincisi, isabet oranı artık bir güvenlik göstergesidir: olay sırasında yüzde seksenden yirmiye düşen bir oran, kaynak maliyetini saldırı trafiği için ödediğiniz anlamına gelir.

Normalin ölçüsünü kaydetmek

Göremediğiniz şeye karşı savunma kuramazsınız. Saldırıdan önce normalin fotoğrafını çekin: saniyedeki istek sayısı, gelen ve giden bayt, hata oranı, gecikme dağılımı, açık bağlantı sayısı ve en çok istenen adresler.

Alarmları mutlak değerlere değil sapmaya kurun. Sabit hata oranıyla birlikte beş kat artan istek sayısı genellikle iyi haberdir; buna karşılık istek sayısı sabitken tırmanan gecikme ve bağlantı sayısı durum tüketimi saldırısına işaret eder. Ağ akış kayıtları ile uygulama günlüklerini birlikte tutmak, bu iki bakış açısını aynı ekranda görmenizi sağlar.

Saldırı sürerken ilk yarım saat

En az müdahaleden en çok müdahaleye doğru ilerleyin.

Saldırı olduğunu doğrulayın. Trafik kaynaklarına, istek desenlerine ve coğrafyaya bakın; engellemeden önce meşru bir kampanyayla karşılaştırın.
Katmanı belirleyin. Doygun bant genişliği yukarı akışı, tükenen bağlantı tablosu ağ katmanını, belirli uç noktalarda artan işlemci yükü uygulama katmanını gösterir.
Sağlayıcıya hemen kayıt açın. Yukarı akış azaltması devreye girmek için zaman ister; teşhisi bitirmeden başlatın.
Kenar kontrollerini açın. Yönetilen WAF kuralları, sıkılaştırılmış hız sınırları ve en çok zorlanan yollarda ek doğrulama.
Kaynağı koruyun. Yalnızca CDN'den gelen trafiğin kabul edildiğini doğrulayın, doğrudan IP isteklerini reddedin.
İletişim kurun. Önce durum sayfası, sonra destek kanalları. Sessizlik, saldırının kendisinden daha fazla zarar üretir.
Kanıtı saklayın. Günlükler, paket kayıtları ve zaman damgaları hem sağlayıcı hem sigorta hem de hukuki süreç için gerekir.

Saldırı bir ödeme talebiyle birleştiğinde pazarlık masasına oturmayın. Talebi yazılı olarak kaydedin, barındırma sağlayıcınızla birlikte çalışın ve hukuk ekibinizle birlikte kolluk birimlerine başvuru seçeneğini değerlendirin. Ödeme yapmak, saldırganın aynı yöntemi tekrar denemesini teşvik eden tek sonuç üretir.

Hazırlık kontrol listesi

Genel trafik, DDoS azaltması olan bir CDN veya temizleme hizmetinden geçiyor.
Kaynak adres değiştirilmiş ve yalnızca sağlayıcının adres aralıklarına açık.
WAF açık; yönetilen kurallara ek olarak giriş ve yönetim yolları için özel kural var.
Kenarda, uygulamada ve pahalı uç noktalarda ayrı hız sınırları tanımlı.
SYN çerezleri açık, bağlantı sınırları ölçülmüş bir tabana göre ayarlı.
Statik varlıklar ve anonim sayfalar yüksek isabet oranıyla önbellekleniyor.
İstek sayısı, bant genişliği, hata oranı ve gecikme için pano ve alarm var.
Tek sayfalık olay müdahale planı güncel ve sahipleri belli.
Sağlayıcı sözleşmesinde azaltma kapasitesi ve destek taahhüdü yazılı.
Bu liste son üç ay içinde bir kez gerçekten uygulandı.

İşaretlenmeyen her madde, üçüncü taraf değerlendirmeyle kapatılması gereken bir boşluktur; zafiyet taraması ile sızma testi arasındaki fark yazısı hangi testin neyi gösterdiğini anlatıyor.

Sık sorulan sorular

DDoS saldırısı tamamen engellenebilir mi? Hayır. Genel bir hizmete herkes trafik gönderebilir. Gerçekçi hedef, trafiği emip filtrelerken meşru kullanıcıları çevrimiçi tutmaktır; katmanlı savunma tam olarak bunu yapar.

Tek başına CDN yeterli mi? CDN hacimsel sellerin ve uygulama katmanındaki kötüye kullanımın büyük bölümünü karşılar; ancak kaynak adresin açık kalmasını, pahalı uç noktaların kötüye kullanılmasını veya durum tüketimini çözmez. O, katmanlardan yalnızca biri.

Saldırıyı normal bir trafik artışından nasıl ayırırım? Hacme değil bileşime bakın. Tek bir coğrafyadan veya tek bir adresten gelen, alışılmadık tarayıcı kimlikleri taşıyan, gecikmeyi yükseltirken dönüşümü düşüren artış saldırıdır. Normal kaynaklara yayılan artış ise genellikle işe yarayan bir kampanyadır.

Küçük bir işletme ilk olarak ne yapmalı? Trafiği azaltma özellikli bir CDN arkasına almak, kaynak adresi gizlemek, yönetilen WAF kurallarını açmak ve tek sayfalık planı yazmak. Bu sıra, en yaygın saldırıları en düşük maliyetle karşılar.

Ayrı bir DDoS sağlayıcısına ihtiyacım var mı? Yalnızca kesinti maliyeti sözleşme bedelini aşıyorsa. CDN katmanıyla başlayın, gerçek maruziyetinizi ölçün ve ekonomisi haklı çıkardığında yükseltin.

Mevcut yapılandırmanızı bu katmanların tamamı üzerinden gözden geçirmek ve önceliklendirilmiş bir düzeltme listesi almak isterseniz ekibimizle görüşün.

DDoS saldırılarına karşı katmanlı savunma rehberi