DDoS Saldırısı Nedir?

DDoS Saldırısı Nedir?

DDoS saldırısı, bir web sitesi, sunucu, oyun sunucusu, ağ altyapısı veya internet hizmetini çok fazla sahte trafikle meşgul ederek normal kullanıcıların erişimini engellemeye çalışan siber saldırı türüdür. DDoS, İngilizce Distributed Denial of Service ifadesinin kısaltmasıdır. Türkçede Dağıtılmış Hizmet Engelleme Saldırısı olarak ifade edilebilir.

Basit anlatımla DDoS saldırısında hedef sistemin kaldırabileceğinden çok daha fazla istek veya trafik gönderilir. Sunucu bu yoğunluğu karşılayamazsa yavaşlar, cevap veremez, bağlantılar kopar veya tamamen erişilemez hale gelir. Cloudflare, DDoS’u hedef sunucu, hizmet veya ağı internet trafiğiyle boğarak normal trafiği kesintiye uğratmaya yönelik kötü niyetli girişim olarak tanımlar.

DDoS saldırıları özellikle web siteleri, hosting firmaları, oyun sunucuları, e-ticaret siteleri, banka sistemleri, kamu siteleri, DNS servisleri ve kritik ağ altyapıları için ciddi risk oluşturur. Saldırının amacı her zaman veri çalmak değildir. Çoğu DDoS saldırısında hedef, hizmeti erişilemez hale getirmek, sistemi yavaşlatmak, itibar kaybı oluşturmak veya karşı tarafa maddi zarar verdirmektir.


DDoS ve DoS Arasındaki Fark

DoS ve DDoS kavramları birbirine benzer ama aynı şey değildir. DoS, tek bir kaynaktan yapılan hizmet engelleme saldırısıdır. DDoS ise birçok farklı kaynaktan aynı hedefe trafik gönderilmesiyle yapılır. DDoS saldırıları bu yüzden daha zor engellenir.

Basit fark:

• DoS: Tek kaynaktan saldırı yapılır.
• DDoS: Çok sayıda farklı kaynaktan saldırı yapılır.
• DoS daha sınırlı olabilir.
• DDoS daha büyük ve karmaşık olabilir.
• DDoS’ta botnet kullanılabilir.
• DDoS trafiği farklı ülkelerden ve farklı IP’lerden gelebilir.

DDoS saldırılarında saldırgan genellikle kendi bilgisayarından doğrudan saldırı yapmaz. Bunun yerine ele geçirilmiş cihazlardan oluşan bir botnet ağı kullanabilir. Bu botnet içinde bilgisayarlar, sunucular, modemler, kameralar, IoT cihazları veya zayıf güvenlikli sistemler bulunabilir.

DDoS Saldırısı Nasıl Çalışır?

DDoS saldırısının çalışma mantığı, hedef sistemi kapasitesinin üzerinde trafik veya istekle boğmaktır. Bir web sitesi normal şartlarda belirli sayıda kullanıcıya hizmet verebilir. Ancak aynı anda milyonlarca sahte istek gelirse sunucu, firewall, bağlantı hattı, veritabanı veya uygulama katmanı zorlanabilir.

Genel çalışma süreci şu şekildedir:

• Saldırgan hedef belirler.
• Botnet veya kiralık saldırı altyapısı kullanır.
• Çok sayıda cihaz hedefe trafik göndermeye başlar.
• Hedef sunucu veya ağ yoğun istek altında kalır.
• Gerçek kullanıcıların istekleri gecikir veya cevap alamaz.
• Site, oyun sunucusu veya hizmet yavaşlar.
• Koruma yoksa hizmet tamamen erişilemez hale gelebilir.

DDoS saldırısında amaç sisteme giriş yapmak değil, sistemi çalışamaz hale getirmektir. Bu nedenle DDoS saldırısı bazen güvenlik açığı kullanmadan da yapılabilir. Sadece yüksek trafik veya yoğun istek bile hizmeti etkileyebilir.

DDoS Saldırılarında Botnet Nedir?

Botnet, saldırganın kontrol ettiği çok sayıda cihazdan oluşan ağdır. Bu cihazlar genellikle kullanıcıların haberi olmadan zararlı yazılım veya zayıf güvenlik nedeniyle ele geçirilir. Saldırgan bu cihazları toplu şekilde yönlendirerek hedefe trafik gönderebilir.

Botnet içinde şunlar bulunabilir:

• Ele geçirilmiş bilgisayarlar
• Zayıf şifreli sunucular
• Güvensiz IP kameralar
• Modemler
• IoT cihazları
• Eski yazılımlı sistemler
• Zararlı yazılım bulaşmış cihazlar

CISA, büyük botnetlerin küresel internete yayılmış sistemlerden önemli miktarda trafik üretebildiğini ve geçmişte yüksek profilli DDoS saldırılarında botnetlerin kullanıldığını belirtmektedir.

Botnet kullanımı DDoS saldırılarını tehlikeli hale getirir. Çünkü saldırı tek bir IP’den gelmez. Binlerce veya milyonlarca farklı kaynaktan gelebilir. Bu nedenle sadece bir IP engellemek çoğu zaman yeterli olmaz.

DDoS Saldırısı Ne Amaçla Yapılır?

DDoS saldırılarının amacı farklı olabilir. Bazı saldırılar rekabet, bazıları şantaj, bazıları siyasi nedenler, bazıları eğlence veya zarar verme amacıyla yapılabilir. Oyun sunucuları ve hosting firmaları gibi alanlarda rakip engelleme veya hizmeti çökertme amacı da görülebilir.

DDoS saldırılarının olası amaçları:

• Web sitesini erişilemez hale getirmek
• Oyun sunucusunu düşürmek
• Rakibe zarar vermek
• Şantaj yapmak
• Fidye istemek
• Marka itibarına zarar vermek
• Hizmet kesintisi oluşturmak
• Dikkat dağıtmak
• Politik veya ideolojik mesaj vermek
• Güvenlik ekibini başka yöne çekmek
• Altyapı kapasitesini test etmek

Bazı durumlarda DDoS saldırısı başka bir saldırının üzerini örtmek için de kullanılabilir. Örneğin güvenlik ekibi DDoS ile uğraşırken farklı bir yerden yetkisiz erişim denenebilir. Bu yüzden DDoS yalnızca trafik problemi olarak görülmemelidir.

DDoS Saldırısı Türleri

DDoS saldırıları farklı katmanları hedef alabilir. Her saldırı aynı şekilde çalışmaz. Bazıları internet hattını doldurmaya çalışır, bazıları sunucunun bağlantı tablosunu tüketir, bazıları ise web uygulamasını yoğun isteklerle yorar.

Genel olarak DDoS saldırıları üç ana başlıkta incelenebilir:

• Hacimsel saldırılar
• Protokol saldırıları
• Uygulama katmanı saldırıları

Bu ayrım önemlidir çünkü her saldırı türüne karşı alınacak önlem farklı olabilir. Sadece yüksek bant genişliği almak her saldırıyı çözmez. Bazen WAF, rate limit, cache, firewall kuralı veya uygulama optimizasyonu gerekir.

Hacimsel DDoS Saldırıları

Hacimsel saldırılar, hedefin internet hattını veya ağ kapasitesini doldurmayı amaçlar. Bu saldırılarda çok yüksek miktarda trafik gönderilir. Hedef sunucunun işlemci gücü yeterli olsa bile internet hattı dolarsa gerçek kullanıcılar erişemez.

Hacimsel saldırılara örnekler:

• UDP flood
• ICMP flood
• DNS amplification
• NTP amplification
• Memcached amplification
• Reflection/amplification saldırıları

Bu tür saldırılarda trafik hacmi çok yüksek olabilir. Küçük bir sunucu veya standart hosting altyapısı bu trafiği karşılayamayabilir. Bu nedenle hacimsel saldırılarda genellikle upstream DDoS koruması, CDN, scrubbing center veya sağlayıcı seviyesinde filtreleme gerekir.

Protokol Katmanı Saldırıları

Protokol saldırıları, sunucunun veya ağ cihazlarının bağlantı yönetimi kaynaklarını tüketmeyi hedefler. Bu saldırılar genellikle Layer 3 ve Layer 4 seviyesinde görülür. Hedef firewall, router, load balancer veya sunucu network stack’i olabilir.

Protokol saldırılarına örnekler:

• SYN flood
• ACK flood
• TCP connection flood
• Fragmented packet attack
• Ping of death benzeri saldırılar
• GRE flood
• UDP tabanlı bazı saldırılar

Bu saldırılarda amaç sadece trafik hacmi oluşturmak değil, hedef sistemin bağlantı takip tablolarını, CPU’sunu veya ağ işleme kapasitesini zorlamaktır. Bu yüzden firewall ve kernel ayarları, SYN cookie, connection limit ve upstream filtreleme önemlidir.

Uygulama Katmanı DDoS Saldırıları

Uygulama katmanı saldırıları, web sitesi veya uygulamanın kendisini hedef alır. Bu saldırılar genellikle HTTP/HTTPS istekleriyle yapılır. Trafik hacmi çok büyük görünmeyebilir, ancak istekler pahalı işlemleri tetikliyorsa sunucu zorlanabilir.

Uygulama katmanı saldırılarına örnekler:

• HTTP GET flood
• HTTP POST flood
• Login sayfası flood
• Arama sayfası flood
• Sepet/ödeme sayfası flood
• API endpoint flood
• WordPress xmlrpc saldırıları
• Ağır PHP veya veritabanı sorgusu tetikleyen istekler

Bu saldırılar bazen gerçek kullanıcı trafiğine benzediği için tespiti daha zordur. Cloudflare dokümanları, HTTP/HTTPS yani Layer 7 servislerinde uygulama katmanı DDoS korumasının önemli olduğunu ve DDoS sistemlerinin saldırı tipine göre paketleri, DNS sorgularını veya HTTP isteklerini düşürebildiğini, sınırlayabildiğini ya da challenge uygulayabildiğini belirtir.

DNS DDoS Saldırıları

DNS, alan adlarını IP adreslerine çeviren sistemdir. DNS çalışmazsa kullanıcılar web sitesinin IP adresine ulaşamaz. Bu yüzden DNS altyapısı DDoS saldırılarında sık hedef alınır.

DNS saldırıları şu şekillerde olabilir:

• DNS sunucusuna aşırı sorgu gönderme
• DNS amplification saldırısı
• Authoritative DNS’i hedefleme
• Recursive DNS kötüye kullanımı
• DNS kayıtlarına erişimi engelleme

DNS DDoS saldırısında web sunucusu çalışıyor olsa bile kullanıcılar siteye ulaşamayabilir. Bu yüzden DNS hizmetinin de DDoS dayanıklı olması gerekir. Özellikle büyük sitelerde tek bir küçük DNS sunucusuna bağlı kalmak risklidir.

Oyun Sunucularında DDoS

Oyun sunucuları DDoS saldırılarında sık hedef alınır. Özellikle PvP oyunlar, rekabetçi sunucular, özel oyun sunucuları, turnuva sistemleri ve yüksek oyuncu kitlesi olan projeler saldırıya uğrayabilir. Web sitelerinden farklı olarak oyun sunucuları genellikle TCP/UDP portları üzerinden çalışır ve klasik web CDN koruması her zaman yeterli olmaz.

Oyun sunucularında görülen saldırılar:

• UDP flood
• TCP flood
• Login server saldırısı
• Game port flood
• Query flood
• Bot bağlantıları
• Paket tabanlı protokol saldırıları
• Oyuncu girişlerini engelleyen saldırılar

Oyun sunucularında koruma için sadece Cloudflare benzeri web CDN yeterli olmayabilir. Oyun trafiği için özel DDoS korumalı network, firewall, rate limit, oyun protokolü filtreleme ve upstream koruma gerekebilir.

Hosting Firmaları İçin DDoS Riski

Hosting firmaları DDoS saldırılarından doğrudan etkilenebilir. Bir müşteriye yapılan saldırı, aynı fiziksel sunucudaki veya aynı ağdaki diğer müşterileri de etkileyebilir. Buna komşu etki denebilir. Özellikle paylaşımlı hosting, reseller hosting, VDS node ve nested sanallaştırma yapılarında bu risk önemlidir.

Hosting firmaları için DDoS riskleri:

• Hedef müşterinin sitesi kapanır.
• Aynı sunucudaki diğer siteler etkilenir.
• Network portu dolar.
• CPU ve RAM yükü artar.
• Web server bağlantı sayısı şişer.
• Firewall kaynakları tükenir.
• IP null route’a alınabilir.
• Hizmet kesintisi oluşur.
• Destek talepleri artar.
• İtibar kaybı yaşanabilir.

Bu yüzden hosting sağlayıcılarının DDoS koruması, trafik izleme, otomatik alarm, firewall politikaları, müşteri izolasyonu ve upstream sağlayıcı desteği olması önemlidir.

DDoS Saldırısı Nasıl Anlaşılır?

DDoS saldırısı bazen normal yoğun trafikle karıştırılabilir. Bir kampanya, haber, sosyal medya paylaşımı veya reklam çalışması sonrası trafik artabilir. Ancak DDoS saldırılarında trafik genellikle anormal desenler gösterir.

DDoS belirtileri:

• Site aniden yavaşlar.
• Sunucu erişilemez hale gelir.
• CPU veya network trafiği anormal yükselir.
• Aynı URL’ye çok fazla istek gelir.
• Aynı ülke veya ağlardan yoğun trafik gelir.
• Çok sayıda farklı IP benzer istek atar.
• Web server connection sayısı şişer.
• Firewall loglarında yoğun paket görülür.
• SSH veya panel erişimi yavaşlar.
• Oyun sunucusunda ping yükselir.
• Oyuncular bağlantıdan düşer.
• Modem veya router kaynakları dolar.
• Bant genişliği grafiğinde ani sıçrama olur.

DDoS tespiti için sadece “site yavaşladı” demek yeterli değildir. Loglar, trafik grafikleri, firewall kayıtları, web server istatistikleri, CDN paneli ve network monitörleri birlikte incelenmelidir.

DDoS ile Normal Yoğun Trafik Nasıl Ayırt Edilir?

Normal yoğun trafik genellikle anlamlı davranışlar gösterir. Kullanıcılar farklı sayfalara girer, tarayıcı bilgileri tutarlıdır, oturum davranışı doğaldır ve dönüşüm olabilir. DDoS trafiği ise çoğu zaman tekdüze, tekrarlı veya anormaldir.

Normal trafik özellikleri:

• Kullanıcı davranışı çeşitlidir.
• Farklı sayfalar ziyaret edilir.
• Trafik kaynakları anlamlıdır.
• Reklam, sosyal medya veya haber etkisi olabilir.
• Sunucu yükü artsa da istekler doğal görünür.
• Kullanıcı ajanları daha tutarlıdır.

DDoS trafiği özellikleri:

• Aynı endpoint’e aşırı istek gelir.
• Çok fazla başarısız bağlantı oluşur.
• User-agent bilgileri sahte veya tekrarlı olabilir.
• İstekler çok kısa aralıklarla gelir.
• Çerez davranışı normal değildir.
• Login, search veya API endpointleri hedeflenebilir.
• Trafik bot benzeri davranır.
• Ülke ve ASN dağılımı anormal olabilir.

Bu ayrım önemlidir çünkü yanlış müdahale gerçek kullanıcıların engellenmesine neden olabilir.

DDoS Saldırısı Verileri Çalar mı?

DDoS saldırısının temel amacı veri çalmak değildir. DDoS genellikle hizmeti erişilemez hale getirmeyi hedefler. Ancak bu, DDoS saldırısının tamamen zararsız olduğu anlamına gelmez. DDoS sırasında sistemler zorlanır, loglar şişer, hizmet kesilir ve güvenlik ekipleri meşgul olur.

DDoS saldırısının doğrudan etkileri:

• Hizmet kesintisi
• Site yavaşlaması
• Oyun sunucusunda kopma
• Gelir kaybı
• İtibar kaybı
• Destek yoğunluğu
• Sunucu kaynak tüketimi
• Trafik maliyeti
• Log şişmesi

Dolaylı riskler:

• Güvenlik ekibini oyalama
• Başka saldırıları gizleme
• Zayıf yapılandırmaları ortaya çıkarma
• Sunucu kaynaklarını tüketerek hataya zorlama
• Acil müdahalede yanlış ayar yaptırma

Bu nedenle DDoS saldırısı yaşanırken sadece trafiği durdurmaya değil, sistem güvenliğini ve logları da takip etmeye dikkat edilmelidir.

DDoS Saldırısı Hukuken Suç mu?

DDoS saldırısı izinsiz şekilde bir hizmeti çalışamaz hale getirmeye yönelik olduğu için hukuki açıdan ciddi sonuçlar doğurabilir. Kişinin kendi sistemi üzerinde kontrollü test yapması ile başkasına ait sisteme saldırı yapmak aynı şey değildir. Başkasının web sitesine, sunucusuna, oyun sunucusuna veya ağına DDoS saldırısı yapmak hukuki ve cezai sorumluluk doğurabilir.

Ayrıca “IP stresser”, “booter” veya “test servisi” adıyla sunulan hizmetler çoğu zaman kötüye kullanılır. Kendi altyapısı dışında bir hedefe trafik göndermek yasal değildir. Güvenlik testi yapılacaksa yazılı izin, kontrollü kapsam ve profesyonel test süreci gerekir.


DDoS Saldırılarından Nasıl Korunulur?

DDoS saldırılarından korunmak için tek bir yöntem yeterli değildir. Koruma, saldırı türüne göre farklı katmanlarda yapılmalıdır. Web sitesi için CDN ve WAF işe yararken, oyun sunucusu için özel network koruması gerekebilir. Sunucu firewall ayarları tek başına büyük hacimli saldırıları durduramaz çünkü trafik sunucuya ulaşana kadar hattı doldurmuş olabilir.

Genel korunma yöntemleri:

• DDoS korumalı hosting veya network kullanmak
• CDN kullanmak
• WAF kullanmak
• Rate limiting uygulamak
• Bot koruması açmak
• Origin IP adresini gizlemek
• Firewall kuralları oluşturmak
• Gereksiz portları kapatmak
• DNS altyapısını güçlendirmek
• Log ve trafik izleme yapmak
• Otomatik alarm sistemi kurmak
• Cache kullanımını artırmak
• Uygulama seviyesinde optimizasyon yapmak
• Sunucu kaynaklarını izlemek
• Saldırı anı aksiyon planı hazırlamak

Cloudflare dokümanlarında DDoS koruma sistemlerinin saldırının türüne göre paketleri, DNS sorgularını veya HTTP isteklerini düşürebildiği, rate-limit uygulayabildiği veya challenge kullanabildiği belirtilmektedir.

CDN DDoS’a Karşı Nasıl Yardımcı Olur?

CDN, web sitesine gelen trafiği kendi edge sunucularında karşılayarak origin sunucuyu korumaya yardımcı olabilir. Özellikle statik içerikler CDN’den sunulduğunda ana sunucuya giden trafik azalır. Ayrıca CDN’in WAF, bot koruması ve rate limiting özellikleri saldırı trafiğini filtreleyebilir.

CDN’in DDoS’a katkıları:

• Trafiği geniş ağa yayar.
• Origin sunucuya gelen yükü azaltır.
• Saldırı trafiğini edge seviyesinde filtreler.
• HTTP flood saldırılarını sınırlayabilir.
• Bot trafiğini ayırmaya yardımcı olur.
• Cache ile origin isteklerini azaltır.
• Gerçek IP gizlenirse doğrudan saldırı zorlaşır.
• SSL ve bağlantı yönetimini optimize edebilir.

Ancak CDN’in etkili olması için origin IP gizli olmalıdır. Eğer saldırgan origin IP’yi biliyorsa CDN’i bypass ederek doğrudan sunucuya saldırabilir. Bu nedenle firewall’da sadece CDN IP’lerine izin vermek önemli olabilir.

WAF ve Rate Limit Kullanımı

WAF, web uygulaması güvenlik duvarıdır. DDoS saldırılarında özellikle uygulama katmanındaki şüpheli istekleri filtrelemek için kullanılır. Rate limit ise belirli bir IP, ülke, endpoint veya kullanıcı grubundan gelen istek sayısını sınırlamaya yarar.

WAF ve rate limit şu durumlarda faydalıdır:

• Login sayfasına yoğun istek geliyorsa
• XML-RPC veya API endpoint hedefleniyorsa
• Aynı URL’ye aşırı trafik varsa
• Botlar arama sayfasını zorluyorsa
• Sepet veya ödeme sayfası hedefleniyorsa
• Şüpheli ülkelerden anormal trafik geliyorsa
• User-agent veya header bazlı filtreleme gerekiyorsa

Ancak rate limit dikkatli yapılmalıdır. Çok sert kurallar gerçek kullanıcıları da engelleyebilir. Özellikle e-ticaret, oyun paneli, API veya müşteri paneli gibi alanlarda test edilmeden kural uygulanmamalıdır.

Sunucu Tarafında Alınabilecek Önlemler

Sunucu tarafında bazı önlemler alınabilir, ancak büyük DDoS saldırılarında sunucuya ulaşan trafik zaten hattı doldurmuş olabilir. Bu nedenle sunucu firewall’u tek başına yeterli değildir. Yine de uygulama katmanı ve küçük ölçekli saldırılarda faydalı olabilir.

Sunucu tarafı önlemler:

• Gereksiz portları kapatmak
• SSH portunu korumak
• Web server connection limit ayarlamak
• Rate limit kullanmak
• Fail2Ban benzeri araçlar kullanmak
• Kernel network ayarlarını optimize etmek
• SYN flood korumalarını aktif etmek
• Web server loglarını izlemek
• Cache sistemini güçlendirmek
• PHP ve veritabanı sorgularını optimize etmek
• Reverse proxy kullanmak
• Firewall’da sadece gerekli IP’lere izin vermek
• Origin’e sadece CDN IP’lerinden erişim sağlamak

Bu önlemler iyi bir temel sağlar ama hacimsel saldırılara karşı upstream koruma şarttır. Saldırı trafiği sunucuya gelmeden önce filtrelenmelidir.

DDoS Saldırısı Anında Ne Yapılmalı?

DDoS saldırısı anında panikle rastgele işlem yapmak yerine planlı hareket etmek gerekir. Önce saldırının türü ve hedefi anlaşılmalıdır. Web mi hedefleniyor, DNS mi, oyun portu mu, sunucu network’ü mü, yoksa belirli bir API mi? Buna göre aksiyon alınmalıdır.

Saldırı anında yapılabilecekler:

• Trafik grafiklerini kontrol edin.
• Hangi IP, ülke, ASN veya endpoint hedefleniyor bakın.
• Web server loglarını inceleyin.
• CDN veya DDoS panelini kontrol edin.
• Gerekirse under attack/challenge modunu açın.
• Rate limit uygulayın.
• Gereksiz servisleri kapatın.
• Origin IP’ye doğrudan erişimi engelleyin.
• Hosting veya network sağlayıcısına bildirin.
• DNS’in çalışıp çalışmadığını kontrol edin.
• Sunucu kaynaklarını izleyin.
• Gerçek kullanıcıların etkilenip etkilenmediğini takip edin.
• Saldırı sonrası logları saklayın.

DDoS saldırısında en doğru yaklaşım, saldırı daha başlamadan hazırlıklı olmaktır. Saldırı sırasında yeni koruma planı yapmak genellikle daha zordur.

DDoS Koruması Olmadan Ne Olur?

DDoS koruması olmayan bir sistem saldırı sırasında tamamen erişilemez hale gelebilir. Özellikle küçük hosting paketleri, düşük bant genişliği olan VDS’ler veya korunmasız fiziksel sunucular büyük saldırılarda dayanamaz.

Korumasız sistemde yaşanabilecekler:

• Site açılmaz.
• Sunucu ping’e cevap vermez.
• SSH erişimi kopar.
• Oyun sunucusu düşer.
• Hosting paneli yavaşlar.
• Aynı sunucudaki diğer müşteriler etkilenir.
• IP null route’a alınabilir.
• Trafik limiti dolabilir.
• Veri merkezi bağlantıyı geçici kesebilir.
• Müşteri şikayetleri artar.

Bazı sağlayıcılar yüksek DDoS trafiği geldiğinde tüm ağı korumak için hedef IP’yi geçici olarak null route’a alabilir. Bu durumda saldırı bitene kadar hizmet erişilemez kalabilir.

DDoS Saldırısı Sunucuyu Bozar mı?

DDoS saldırısı genellikle donanımı fiziksel olarak bozmaz. Ancak sunucu kaynaklarını tüketebilir, sistemi kilitleyebilir, servisleri çökertir, logları şişirir ve disk alanını doldurabilir. Çok yoğun saldırılarda cihazlar aşırı yük altında kalabilir.

Olası etkiler:

• CPU kullanımı yükselir.
• RAM dolar.
• Network kartı yoğun çalışır.
• Firewall bağlantı tablosu dolar.
• Web server kilitlenir.
• Log dosyaları büyür.
• Disk alanı dolabilir.
• Veritabanı yavaşlayabilir.
• Servisler restart gerektirebilir.
• Sunucu cevap veremez hale gelebilir.

Bu yüzden DDoS sonrası sadece saldırı bitti mi diye bakmak yeterli değildir. Log dosyaları, disk doluluğu, servis durumları, firewall tabloları ve sistem kaynakları kontrol edilmelidir.

DDoS ile Bot Trafiği Aynı mı?

DDoS ve bot trafiği ilişkili olabilir ama aynı şey değildir. Bot trafiği, otomatik sistemlerden gelen her türlü trafiktir. Arama motoru botları gibi faydalı botlar da vardır. DDoS ise hizmeti bozmak amacıyla yapılan yoğun trafik saldırısıdır.

Farklar:

• Bot trafiği her zaman zararlı değildir.
• DDoS genellikle hizmeti engellemeyi hedefler.
• Zararlı botlar scraping, brute force veya spam yapabilir.
• DDoS botnet ile yapılabilir.
• Bot koruması DDoS etkisini azaltabilir ama tek başına yeterli olmayabilir.

Örneğin Googlebot sitenizi taradığında bu bot trafiğidir ama DDoS değildir. Ancak binlerce sahte bot aynı anda login sayfanızı zorluyorsa bu hem bot saldırısı hem uygulama katmanı DDoS olabilir.

DDoS Küçük Siteleri Hedef Alır mı?

Evet, DDoS sadece büyük kurumlara yapılmaz. Küçük işletme siteleri, oyun sunucuları, forumlar, kişisel projeler, e-ticaret siteleri ve yerel hosting firmaları da hedef olabilir. Hatta küçük sistemler daha zayıf korumaya sahip olduğu için daha kolay etkilenebilir.

Küçük sitelerin riskleri:

• Düşük hosting kaynakları
• Paylaşımlı IP kullanımı
• DDoS koruması olmayan paketler
• Zayıf firewall ayarları
• Origin IP’nin açık olması
• Cache kullanılmaması
• Trafik izleme eksikliği
• Saldırı anında müdahale planı olmaması

Bu yüzden küçük siteler için bile temel CDN, cache, WAF ve yedekleme yaklaşımı faydalıdır.

DDoS Saldırısı Önceden Engellenebilir mi?

DDoS saldırısını yüzde yüz önlemek mümkün değildir. Çünkü saldırgan internet üzerinden trafik göndermeyi deneyebilir. Ancak saldırının etkisini azaltmak mümkündür. Buna DDoS mitigation yani DDoS hafifletme denir.

Önleyici yaklaşım:

• DDoS korumalı altyapı kullanmak
• CDN/WAF kurmak
• Origin IP gizlemek
• DNS’i güçlü sağlayıcıya taşımak
• Gereksiz portları kapatmak
• Trafik izleme kurmak
• Alarm sistemi oluşturmak
• Cache hit oranını artırmak
• API ve login endpointlerini korumak
• Saldırı anı prosedürü hazırlamak
• Sağlayıcı ile acil iletişim kanalı belirlemek

DDoS güvenliğinde amaç saldırganın hiç trafik gönderememesi değil, gönderilen trafiğin hizmeti durdurmasını engellemektir.

Yapılan Yaygın Hatalar

DDoS konusunda yapılan en büyük hata, saldırı başlamadan önce önlem almamaktır. Saldırı başladıktan sonra DNS değiştirmek, CDN kurmak veya firewall yazmak daha zor olabilir. Ayrıca DNS değişikliklerinin yayılması zaman alabilir.

Sık yapılan hatalar:

• CDN kullanıp origin IP’yi açık bırakmak
• Sadece sunucu firewall’una güvenmek
• DNS altyapısını korumasız bırakmak
• Rate limit kurallarını test etmeden uygulamak
• Gerçek kullanıcıları yanlışlıkla engellemek
• Logları izlememek
• Trafik grafiği tutmamak
• Küçük saldırıları önemsememek
• Web CDN’i oyun sunucusu koruması sanmak
• Tüm saldırıları aynı tür sanmak
• Hosting sağlayıcısıyla acil plan yapmamak
• Saldırı sonrası logları temizleyip delil bırakmamak
• Uygulama katmanı saldırılarda cache ve WAF kullanmamak
• DDoS’u veri sızıntısı ile karıştırmak

DDoS koruması katmanlı düşünülmelidir. Network, DNS, web, uygulama, firewall ve monitoring birlikte ele alınmalıdır.

Hangi Kullanıcı İçin Ne Daha Uygun?

Küçük web sitesi sahipleri için CDN, temel WAF, cache ve güçlü DNS sağlayıcısı iyi bir başlangıçtır. Özellikle WordPress sitelerde login, XML-RPC ve admin paneli korunmalıdır.

E-ticaret siteleri için CDN ve WAF dikkatli yapılandırılmalıdır. Ürün görselleri ve statik dosyalar cachelenebilir, ancak sepet, ödeme ve kullanıcı paneli yanlış cachelenmemelidir.

Oyun sunucuları için web CDN yeterli değildir. Oyun trafiği için özel DDoS korumalı network, UDP/TCP filtreleme, game firewall ve sağlayıcı desteği gerekir.

Hosting firmaları için müşteri izolasyonu, DDoS korumalı uplink, trafik izleme, otomatik alarm, null route politikası, CDN entegrasyonu ve acil müdahale prosedürü önemlidir.

Kurumsal sistemler için profesyonel DDoS mitigation, WAF, SIEM/log izleme, olay müdahale planı ve sağlayıcı SLA anlaşmaları düşünülmelidir.

Kısaca:

• Küçük site için: CDN + cache + temel WAF
• WordPress için: Login koruması + XML-RPC kontrolü + CDN
• E-ticaret için: WAF + doğru cache + bot koruması
• Oyun sunucusu için: Özel L3/L4 DDoS korumalı network
• Hosting firması için: Upstream koruma + müşteri izolasyonu
• API servisi için: Rate limit + token kontrolü + monitoring
• Kurumsal altyapı için: Profesyonel DDoS mitigation + olay planı

Sonuç

DDoS saldırısı, bir sunucu, web sitesi, oyun servisi veya ağ altyapısını çok sayıda sahte istek ya da yoğun trafikle meşgul ederek hizmet veremez hale getirmeye çalışan siber saldırıdır. Amaç genellikle veri çalmak değil, hizmeti durdurmak veya yavaşlatmaktır. Ancak DDoS saldırıları ciddi maddi kayıp, itibar kaybı, müşteri şikayeti ve operasyonel sorun oluşturabilir.

DDoS saldırıları hacimsel, protokol katmanı ve uygulama katmanı gibi farklı türlerde olabilir. Her saldırı türüne karşı aynı önlem yeterli değildir. Web siteleri için CDN, WAF, cache ve rate limit önemliyken; oyun sunucuları için özel DDoS korumalı network ve UDP/TCP filtreleme gerekir.

Sonuç olarak DDoS’a karşı en doğru yaklaşım saldırı başlamadan hazırlık yapmaktır. Güçlü DNS, CDN, WAF, origin IP gizleme, firewall, monitoring, trafik analizi, düzenli log takibi ve sağlayıcı desteği birlikte düşünülmelidir. DDoS tamamen yok edilemeyebilir, ancak doğru altyapı ve doğru yapılandırma ile etkisi büyük ölçüde azaltılabilir.