Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Related Articles
DDoS — Distributed Denial of Service, yani Dağıtılmış Hizmet Engelleme Saldırısı, bir web sitesi, sunucu, uygulama, API veya ağ altyapısını çok sayıda kaynaktan gelen yoğun trafikle yavaşlatmayı ya da erişilemez hale getirmeyi amaçlayan siber saldırı türüdür.
Kısa tanım:
DDoS = Çok sayıda kaynaktan gelen trafik veya isteklerle hedef sistemin kapasitesini tüketme saldırısıDDoS saldırılarında amaç çoğu zaman veri çalmak değildir.
Amaç:
Hizmeti yavaşlatmak
Servisi erişilemez hale getirmek
Ağ bant genişliğini tüketmek
Sunucu kaynaklarını doldurmak
Uygulama katmanını kilitlemek
Gerçek kullanıcıların erişimini engellemekDoS ve DDoS Arasındaki Fark
DoS — Denial of Service saldırısı genellikle tek kaynaktan yapılır.
DDoS — Distributed Denial of Service saldırısı ise çok sayıda farklı kaynaktan yapılır.
DoS:
Tek kaynak → Hedef
DDoS:
Çok sayıda kaynak → HedefDDoS saldırılarında saldırganlar genellikle ele geçirilmiş cihazlardan oluşan botnet ağlarını kullanır.
Bu cihazlar şunlar olabilir:
Bilgisayarlar
Sunucular
IoT cihazları
Router’lar
Kamera sistemleri
Bulut sunucuları
Zayıf güvenlikli cihazlar1️⃣ DDoS Nasıl Çalışır?
DDoS saldırısında saldırgan önce çok sayıda cihazı kontrol altına alabilir veya hazır botnet altyapısı kullanabilir.
Ardından bu cihazlar aynı anda hedefe trafik gönderir.
Basit akış:
Saldırgan
→ Botnet cihazlarını komutlandırır
→ Binlerce/milyonlarca cihaz hedefe trafik gönderir
→ Hedefin bant genişliği, CPU, RAM, bağlantı tablosu veya uygulama kaynakları tükenir
→ Gerçek kullanıcılar servise erişemezSonuç:
Web sitesi açılmaz.
API cevap vermez.
Sunucu bağlantıları düşer.
Uygulama aşırı yavaşlar.
Firewall veya load balancer kapasitesi dolar.
Gerçek kullanıcılar hizmet alamaz.2️⃣ DDoS Saldırılarının Temel Hedefi
DDoS saldırısının temel hedefi erişilebilirliği bozmaktır.
Bilgi güvenliğinde üç temel prensip vardır:
Confidentiality → Gizlilik
Integrity → Bütünlük
Availability → ErişilebilirlikDDoS doğrudan Availability — Erişilebilirlik prensibini hedef alır.
Yani sistem çalışıyor olsa bile kullanıcı hizmete erişemiyorsa saldırı amacına ulaşmış olabilir.
3️⃣ DDoS Saldırı Türleri
DDoS saldırıları genel olarak üç ana kategoriye ayrılır:
1. Volumetric attacks
2. Protocol / state-exhaustion attacks
3. Application layer attacks1. Hacim Temelli Saldırılar — Volumetric Attacks
Bu saldırılar çok büyük miktarda trafik üreterek hedefin internet hattını veya ağ kapasitesini tüketmeye çalışır.
Amaç:
Bant genişliğini doldurmak
Network link kapasitesini tüketmek
Servis sağlayıcı hattını boğmakÖrnek saldırılar:
UDP Flood
ICMP Flood
DNS Amplification
NTP Amplification
CLDAP Amplification
SSDP Amplification
Memcached AmplificationBu saldırılar genellikle Gbps veya Tbps seviyesinde trafik üretebilir.
Kısa ifade:
Volumetric saldırılar hedefin internet borusunu doldurur.2. Protokol Tabanlı Saldırılar — Protocol / State-Exhaustion Attacks
Bu saldırılar ağ cihazlarının veya sunucuların protokol seviyesindeki kaynaklarını tüketmeye çalışır.
Hedeflenen kaynaklar:
Connection table
State table
Firewall session table
Load balancer connection table
TCP stack
Kernel network resourcesÖrnek saldırılar:
SYN Flood
ACK Flood
TCP Connection Exhaustion
Ping of Death
Fragmentation Attack
Smurf AttackÖrneğin SYN Flood saldırısında hedef sunucu çok sayıda yarım açık TCP bağlantısıyla meşgul edilir.
Kısa ifade:
Protocol saldırıları hedefin bağlantı ve oturum yönetimi kaynaklarını tüketir.3. Uygulama Katmanı Saldırıları — Application Layer Attacks
Bu saldırılar Layer 7 yani uygulama katmanını hedef alır.
Dışarıdan bakıldığında trafik meşru HTTP/HTTPS isteği gibi görünebilir.
Amaç:
Web uygulamasını yormak
API endpoint’lerini kilitlemek
Veritabanı sorgularını artırmak
CPU/RAM tüketmek
Login, search, checkout gibi pahalı işlemleri kötüye kullanmakÖrnek saldırılar:
HTTP GET Flood
HTTP POST Flood
Slowloris
Slow POST
API Flood
Login Flood
GraphQL Abuse
Expensive Search Query FloodApplication layer DDoS saldırıları tehlikelidir çünkü her istek teknik olarak normal görünebilir.
Kısa ifade:
Layer 7 DDoS saldırıları uygulamanın en pahalı fonksiyonlarını kötüye kullanır.4️⃣ Multi-Vector DDoS Nedir?
Modern DDoS saldırıları tek teknikle sınırlı kalmayabilir.
Saldırgan aynı anda birden fazla saldırı tipi kullanabilir.
Örnek:
UDP Flood
+
SYN Flood
+
HTTP FloodBu tür saldırılara multi-vector DDoS denir.
Amaç:
Ağ hattını doldurmak
Firewall state table’ı tüketmek
Uygulama sunucusunu yormak
Savunma ekiplerini aynı anda birden fazla katmanda zorlamakBu nedenle DDoS savunması yalnızca tek cihaz veya tek kural ile çözülemez.
5️⃣ DDoS Trafiği Her Zaman “Sahte” midir?
Hayır.
Bu da sık yapılan teknik hatalardan biridir.
Bazı DDoS saldırıları spoof edilmiş kaynak IP kullanabilir.
Bazıları ise gerçek cihazlardan, gerçek IP’lerden ve meşru görünen isteklerden oluşabilir.
Örnek:
DNS amplification → Spoofed IP kullanılabilir.
HTTP Flood → Gerçek bot cihazlarından gerçek HTTP isteği gelebilir.
Credential stuffing → Gerçek kullanıcı davranışına benzeyen istekler olabilir.Bu yüzden DDoS savunmasında sadece “sahte trafiği engelle” yaklaşımı yeterli değildir.
6️⃣ Botnet Nedir?
Botnet, saldırgan tarafından kontrol edilen çok sayıda ele geçirilmiş cihazdan oluşan ağdır.
Botnet cihazları genellikle kullanıcı farkında olmadan saldırıya katılır.
Botnet kaynakları:
Zararlı yazılım bulaşmış bilgisayarlar
Güvensiz IoT cihazları
Zayıf parolalı router’lar
Ele geçirilmiş VPS/bulut sunucuları
Kamera ve DVR sistemleriBotnet’in gücü, dağıtılmış yapısından gelir.
Tek IP’yi engellemek yeterli olmaz.
Çünkü saldırı binlerce farklı IP’den gelebilir.7️⃣ Reflection ve Amplification Saldırıları
Bazı DDoS saldırılarında saldırgan, hedefe doğrudan trafik göndermek yerine üçüncü taraf servisleri kullanır.
Reflection
Saldırgan, hedef IP adresini kaynak IP gibi göstererek üçüncü taraf sunuculara istek gönderir.
Üçüncü taraf sunucular yanıtı hedefe gönderir.
Saldırgan → Açık DNS/NTP sunucusu
Kaynak IP sahte: Hedef IP
Açık sunucu → Yanıtı hedefe gönderirAmplification
Küçük bir istek, çok daha büyük bir yanıt üretir.
Küçük istek → Büyük yanıtÖrnek protokoller:
DNS
NTP
SSDP
CLDAP
MemcachedKısa ifade:
Amplification saldırılarında saldırgan küçük trafikle hedefe büyük trafik yansıtır.8️⃣ DDoS Saldırısının Belirtileri
DDoS saldırısı sırasında şu belirtiler görülebilir:
Web sitesinin yavaşlaması
API cevap sürelerinin artması
HTTP 502 / 503 / 504 hataları
CPU ve RAM kullanımının yükselmesi
Firewall session table dolması
Load balancer connection limitlerine yaklaşılması
Network bandwidth kullanımının anormal artması
Tek endpoint’e yoğun istek gelmesi
Aynı URL’ye çok sayıda istek
Aynı ASN veya ülkeden anormal trafik
DNS sorgularında artışAncak her yavaşlama DDoS değildir.
Benzer belirtiler şu durumlarda da olabilir:
Uygulama bug’ı
Veritabanı problemi
Yanlış cache ayarı
Kapasite yetersizliği
Kampanya trafiği
Arama motoru botları
Yanlış yapılandırılmış monitoringBu nedenle analiz şarttır.
9️⃣ DDoS’tan Korunma Yöntemleri
DDoS koruması çok katmanlı tasarlanmalıdır.
Tek bir firewall kuralı veya tek bir WAF politikası yeterli değildir.
1. Trafik İzleme ve Baseline
Önce normal trafik bilinmelidir.
İzlenmesi gereken metrikler:
Normal RPS değeri
Normal bandwidth kullanımı
Normal concurrent connection sayısı
Normal kullanıcı ülkeleri
Normal ASN dağılımı
Normal URL/endpoint dağılımı
Normal HTTP method oranı
Normal hata kodlarıNormal bilinmezse anormal tespit edilemez.
Kısa ifade:
Baseline yoksa DDoS tespiti zayıf kalır.2. Anti-DDoS Servisleri
Büyük hacimli saldırılara karşı upstream koruma gerekir.
Örnek yaklaşımlar:
Cloudflare
AWS Shield
Azure DDoS Protection
Google Cloud Armor
Akamai
Radware
Imperva
Arbor / NETSCOUT
ISP DDoS scrubbing serviceBu hizmetler trafiği hedefe ulaşmadan önce filtreleyebilir.
Özellikle volumetric saldırılarda hedefin kendi internet hattı dolduktan sonra içerideki firewall’ın yapabileceği çok az şey kalır.
3. CDN ve Anycast Kullanımı
CDN ve Anycast mimarileri trafiği farklı edge noktalarına dağıtarak saldırı etkisini azaltabilir.
Avantaj:
Trafik tek veri merkezine yığılmaz.
Edge lokasyonlarda filtreleme yapılabilir.
Statik içerik cache’lenir.
Origin sunucu daha az yük alır.Örnek akış:
Kullanıcı / Saldırı Trafiği
→ CDN / Anycast Edge
→ Filtreleme
→ Sadece temiz trafik Origin’e gider4. Rate Limiting
Rate limiting, belirli bir IP, kullanıcı, token, endpoint veya davranış için istek sayısını sınırlar.
Örnek:
Bir IP 1 dakikada 100’den fazla login isteği gönderirse sınırla.
Bir API token 10 saniyede 500 istek atarsa engelle.
Bir endpoint’e olağan dışı yoğunluk gelirse challenge uygula.Rate limiting özellikle Layer 7 saldırılarda faydalıdır.
Ancak dikkat:
NAT arkasındaki gerçek kullanıcılar aynı IP’den gelebilir.
Çok agresif rate limit meşru kullanıcıları etkileyebilir.5. WAF ve Bot Management
Application layer DDoS saldırılarında WAF önemli rol oynar.
WAF şu kontrolleri sağlayabilir:
HTTP flood tespiti
Bot challenge
CAPTCHA
JavaScript challenge
Cookie validation
Bad bot reputation
URL bazlı rate limit
Header ve User-Agent analiziAncak WAF tek başına volumetric DDoS’u çözmez.
Doğru konumlandırma:
DDoS Protection / CDN
→ WAF
→ Load Balancer
→ Application6. Network-Level Koruma
Layer 3/4 saldırılarda network seviyesinde kontroller gerekir.
Örnek:
ACL
RTBH
FlowSpec
uRPF
SYN cookies
Connection limit
Firewall session tuning
Load balancer SYN protection
ISP blackhole / scrubbingÖzellikle büyük volumetric saldırılarda ISP veya upstream sağlayıcıyla koordinasyon kritik hale gelir.
7. Kapasite Planlaması
DDoS’a karşı kapasite artırmak faydalı olabilir ama tek başına çözüm değildir.
Planlanması gerekenler:
Internet bandwidth
Firewall throughput
Session table capacity
Load balancer concurrent connection
SSL TPS
Web server worker sayısı
Database connection pool
Cache kapasitesi
DNS kapasitesiKısa ifade:
Kapasite dayanıklılık sağlar.
Ama DDoS temizleme mekanizmasının yerine geçmez.8. DNS Güvenliği
DDoS saldırılarında DNS de hedef olabilir.
Koruma adımları:
Authoritative DNS’i yedekli kullanmak
Anycast DNS tercih etmek
DNS provider DDoS koruması kullanmak
Düşük kaliteli tek DNS sunucusuna bağımlı kalmamak
Zone yapılandırmasını güvenli yapmakDNS çökerse web sunucusu ayakta olsa bile kullanıcılar servise erişemeyebilir.
9. Cache Kullanımı
Cache, özellikle application layer saldırıların etkisini azaltabilir.
Örnek:
Statik içerik CDN üzerinde cache’lenir.
Sık kullanılan API cevapları cache’lenir.
Ağır database sorguları azaltılır.Cache sayesinde origin sunucuya daha az istek gider.
10. Olay Müdahale Planı
DDoS sırasında panik yerine önceden hazırlanmış runbook kullanılmalıdır.
Runbook içinde şunlar olmalıdır:
Kim bilgilendirilecek?
ISP ile kim iletişime geçecek?
DDoS sağlayıcı portalına kim erişecek?
Hangi servisler öncelikli korunacak?
Hangi IP/URL kritik?
Hangi trafik kesilebilir?
Hangi rate limit devreye alınacak?
Müşteri iletişimi nasıl yapılacak?DDoS anında en büyük hata, herkesin ne yapacağını o anda belirlemeye çalışmasıdır.
🔟 DDoS Savunma Mimarisi Örneği
Sağlam bir web uygulaması için örnek mimari:
Internet
→ DDoS Protection / CDN / Anycast
→ WAF / Bot Management
→ Load Balancer
→ Web / API Servers
→ Cache
→ DatabaseBu mimaride:
DDoS Protection:
Volumetric ve L3/L4 saldırıları azaltır.
CDN:
Trafiği edge noktalara dağıtır.
WAF:
HTTP/HTTPS saldırılarını analiz eder.
Rate Limit:
Aşırı istekleri sınırlar.
Load Balancer:
Trafiği backend sunuculara dağıtır.
Cache:
Origin yükünü azaltır.
Monitoring:
Anormallikleri görünür yapar.1️⃣1️⃣ DDoS Saldırısı Sırasında Ne Yapılmalı?
DDoS saldırısı başladığında uygulanabilecek temel adımlar:
1. Trafik artışını doğrula.
2. Etkilenen servisleri belirle.
3. Saldırı tipini ayır: L3/L4 mü, L7 mi?
4. ISP veya DDoS sağlayıcısını bilgilendir.
5. CDN / WAF / DDoS koruma modlarını devreye al.
6. Kritik endpoint’lere rate limit uygula.
7. Gereksiz trafiği blokla veya challenge uygula.
8. Logları ve metrikleri merkezi topla.
9. Kullanıcı iletişimini yönet.
10. Olay sonrası rapor ve iyileştirme çıkar.1️⃣2️⃣ DDoS Saldırısı Sonrası Yapılacaklar
Saldırı bittikten sonra analiz yapılmalıdır.
Sorulması gerekenler:
Saldırı ne zaman başladı?
Hangi katmanı hedef aldı?
Maksimum trafik ne kadardı?
Hangi servisler etkilendi?
Hangi kontroller işe yaradı?
Hangi kontroller yetersiz kaldı?
Rate limit yeterli miydi?
WAF doğru çalıştı mı?
ISP müdahalesi ne kadar sürdü?
Müşteri etkisi ne oldu?Olay sonrası çıkarılacak aksiyonlar:
Runbook güncelle
Rate limit ayarlarını iyileştir
WAF kurallarını güncelle
CDN cache stratejisini gözden geçir
DDoS sağlayıcı kapsamını artır
DNS yedekliliğini iyileştir
Kapasite planını güncelle
Monitoring alarmlarını düzelt1️⃣3️⃣ Sık Yapılan Hatalar
1️⃣ Sadece Firewall ile DDoS Engellemeye Çalışmak
Büyük volumetric saldırılarda trafik firewall’a gelmeden upstream seviyede temizlenmelidir.
2️⃣ Bant Genişliğini Tek Çözüm Sanmak
Daha geniş hat faydalı olabilir ama büyük saldırılarda yine dolabilir.
3️⃣ WAF’ı Tüm DDoS Türlerine Çözüm Sanmak
WAF Layer 7 tarafında güçlüdür; ancak L3/L4 volumetric saldırılar için yeterli değildir.
4️⃣ Rate Limit’i Plansız Uygulamak
Yanlış rate limit meşru kullanıcıları engelleyebilir.
5️⃣ DNS’i Unutmak
DNS erişilemez hale gelirse servis ayakta olsa bile kullanıcı domain’e erişemez.
6️⃣ Log ve Metrik Toplamamak
Saldırı sonrası analiz için veri yoksa savunma iyileştirilemez.
7️⃣ ISP ve DDoS Sağlayıcı İletişimini Önceden Planlamamak
Saldırı anında kimin aranacağı belli değilse müdahale gecikir.
1️⃣4️⃣ 48s Mini-PoC Planı
Bu PoC kesinlikle yalnızca izinli ve kontrollü lab ortamında yapılmalıdır.
- Küçük bir test web uygulaması kurun.
- Uygulama önüne reverse proxy veya WAF koyun.
- Basit monitoring metrikleri oluşturun: RPS, CPU, RAM, latency.
- Normal trafik baseline’ı çıkarın.
- Kontrollü düşük hacimli test trafiği üretin.
- Rate limit kuralı tanımlayın.
- Eşik aşılınca isteklerin sınırlandığını doğrulayın.
- WAF loglarında yoğun istekleri kontrol edin.
- CDN/cache aktifse origin yükünün azaldığını gözlemleyin.
- Alarm tetiklenmesini test edin.
- Runbook üzerinde kim ne yapacak netleştirin.
- Test sonrası metrikleri raporlayın.
Kısa Koruma Kontrol Listesi
DDoS sağlayıcısı var mı?
CDN / Anycast kullanılıyor mu?
WAF aktif mi?
Rate limiting tanımlı mı?
DNS yedekli mi?
ISP iletişim prosedürü hazır mı?
Runbook var mı?
Monitoring metrikleri var mı?
Load balancer kapasitesi yeterli mi?
Firewall session table izleniyor mu?
Loglar SIEM’e gidiyor mu?
Kritik endpoint listesi hazır mı?Kısa Özet
DDoS:
Dağıtılmış kaynaklardan gelen trafikle servisi erişilemez hale getirme saldırısıdır.
Volumetric:
Bant genişliğini tüketir.
Protocol:
Bağlantı ve state kaynaklarını tüketir.
Application Layer:
Web/API uygulamasını yorar.
Botnet:
Ele geçirilmiş cihazlardan oluşan saldırı ağıdır.
Koruma:
CDN, Anycast, DDoS scrubbing, WAF, rate limit, monitoring ve runbook birlikte kullanılmalıdır.Sonuç
DDoS saldırıları küçük web sitelerinden büyük kurumsal yapılara kadar herkesi hedef alabilir.
Etkisi doğrudan erişilebilirlik üzerindedir.
Web sitesi yavaşlar.
API cevap vermez.
Kullanıcılar hizmet alamaz.
Gelir kaybı oluşur.
Marka itibarı zarar görür.
Operasyon ekipleri baskı altına girer.DDoS’a karşı en doğru yaklaşım çok katmanlı savunmadır.
Upstream DDoS koruması
CDN / Anycast
WAF
Rate limiting
DNS dayanıklılığı
Load balancer kapasitesi
Monitoring
SIEM korelasyonu
Olay müdahale runbook’uEn kısa mesaj:
DDoS saldırısı erişilebilirliği hedef alır.
Tek cihazla çözülmez.
Upstream koruma, WAF, rate limit, CDN, monitoring ve runbook birlikte gerekir.Etkili DDoS savunması yalnızca saldırı anında değil, saldırıdan önce hazırlık yapıldığında mümkün olur.
Cem Kemal Erbaş sitesinden daha fazla şey keşfedin
Subscribe to get the latest posts sent to your email.
