DDoS saldırıları nedir? SYN flood, UDP flood, DNS amplifikasyon, şirket internet hattını ve sunucuları DDoS tehditlerine karşı koruma yöntemleri rehberi.
Hızlı Özet (TL;DR)
DDoS (Distributed Denial of Service - Dağıtık Hizmet Engelleme), siber saldırganların binlerce virüslü bilgisayar, sunucu ve IoT cihazından oluşan zombi ordularını (Botnet) kullanarak bir hedefin internet hattına, güvenlik duvarına veya web sunucusuna kapasitesinin çok üzerinde sahte trafik göndermesi eylemidir. Amaç doğrudan sistemden veri çalmak değil; ağ bant genişliğini tüketerek veya sunucu donanım kaynaklarını (CPU, RAM, durum tabloları) kilitleyerek şirketin internetini tamamen felç etmek ve ticari operasyonları durdurmaktır. Günümüzde imalat tesisleri, e-ticaret platformları ve B2B kurumsal ağlar; e-Fatura kesememe, uzaktan şube/depo bağlantılarının kopması ve ERP erişiminin durması gibi ağır operasyonel kayıplardan korunmak için hem uç nokta güvenlik duvarı (Firewall) seviyesinde hem de İnternet Servis Sağlayıcı (ISP) omurgasında çok katmanlı DDoS savunma mimarisi kurmak zorundadır.
Kurumsal Ağlarda DDoS Tehdidinin Operasyonel Boyutu
Sanayi tesislerinde ve kurumsal işletmelerde internet erişimi artık yalnızca e-posta okumak veya web sitelerinde gezinmek için kullanılan ikincil bir iletişim kanalı değildir. Modern bir fabrikada bulut tabanlı kurumsal uygulamalar, GİB e-Fatura ve e-İrsaliye entegrasyonları, gümrük beyanname sistemleri, tedarik zinciri portalları, IP santral (VoIP) hatları ve uzak şubelerin merkeze bağlandığı IPSec/SSL VPN tünelleri tamamen kurumsal metro ethernet veya fiber internet hattı üzerinden çalışır.
Bir şirketin dış statik IP adresine yöneltilen DDoS saldırısı başladığında ilk etkilenen bileşen şirketin dış bacak (WAN) bağlantı noktası ve onun arkasında konumlanan sınır güvenlik cihazıdır. Saldırı trafiği hattın fiziksel veya sözleşmesel kapasitesini aştığında, meşru paketler (örneğin sahadaki satış ekibinin sipariş girişi veya müşterinin B2B portal sorgusu) kuyrukta beklemeye başlar ve saniyeler içinde paket kaybı (packet loss) %100 seviyesine ulaşır. Daha da tehlikelisi, saldırganlar bazen DDoS saldırısını bir “sis perdesi” olarak kullanır; bilgi işlem ve güvenlik ekipleri düşen internet hattını ayağa kaldırmaya çalışırken, arka planda hedefli bir sızma veya fidye yazılımı (ransomware) operasyonu yürütülebilir.
OSI Katmanlarına Göre En Yaygın DDoS Saldırı Türleri
DDoS saldırıları teknik mekanizmalarına ve hedef aldıkları ağ katmanlarına göre üç ana sınıfta incelenir: Hacimsel (Volumetric) saldırılar, Protokol (State-Exhaustion) saldırıları ve Uygulama Katmanı (Layer 7) saldırıları. Aşağıdaki tablo kurumsal ağları hedef alan temel vektörleri karşılaştırmaktadır:
| Saldırı Türü | Hedef Katman | Teknik Mekanizma | Kurumsal Ağa ve Sunuculara Etkisi | Savunma Katmanı |
|---|---|---|---|---|
| SYN Flood | Taşıma Katmanı (Katman 4) | Sahte kaynak IP’lerle binlerce TCP SYN paketi gönderip ACK yanıtını tamamlamama | Firewall ve sunucu bağlantı durum (state) tablosu dolar, yeni meşru oturum açılamaz | NGFW/UTM SYN Cookie ve TCP zaman aşımı sıkılaştırması |
| UDP / ICMP Flood | Ağ ve Taşıma (Katman 3/4) | Hedef portlara veya ICMP protokolüne yüksek hacimli anlamsız veri paketleri basma | Şirketin 100 Mbps Metro Ethernet hattı 1 Gbps+ sahte trafikle fiziksel olarak tıkanır | ISP Scrubbing (Trafik Temizleme) ve WAN ICMP engelleme |
| HTTP/S Flood | Uygulama Katmanı (Katman 7) | Gerçek tarayıcıları taklit ederek ağır SQL sorguları tetikleyen URL’lere istek atma | Bant genişliği dolmasa bile Web/ERP sunucusu CPU ve RAM kullanımı %100’e vurur | WAF (Web Application Firewall), Rate Limiting, Bot Yönetimi |
| DNS / NTP Amplifikasyon | Yansıtma ve Çarpan (Katman 3/4) | Hedefin IP’sini kaynak göstererek açık DNS/NTP sunucularına küçük sorgu atıp dev yanıt üretme | 10 Mbps’lik bir botnet gücü 50 kat büyütülerek hedefe 500 Mbps trafik olarak çarpar | Operatör seviyesinde BGP Flowspec ve Anti-Spoofing (BCP 38) |
| Slowloris / RUDY | Uygulama Katmanı (Katman 7) | HTTP başlıklarını çok yavaş ve eksik göndererek web sunucusu soketlerini uzun süre meşgul etme | Az sayıda bağlantıyla bile IIS, Nginx veya Apache iş parçacıkları (worker) tükenir | Ters Vekil (Reverse Proxy) bağlantı hızı ve minimum veri eşiği |
Hacimsel (Volumetric) ve Amplifikasyon Saldırıları
Hacimsel saldırıların tek amacı, hedef şirketin internet borusunu (bant genişliğini) tamamen doldurmaktır. Saldırganlar bu noktada “Yansıtma ve Çarpan” (Reflection & Amplification) tekniğinden yararlanır. Örneğin açık bırakılmış bir DNS sunucusuna veya yapılandırılmamış bir NTP (Ağ Zaman Protokolü) sunucusuna, kaynak IP adresi kısmına hedef şirketin statik IP adresi yazılarak (IP Spoofing) 60 baytlık küçük bir sorgu gönderilir. Sunucu bu küçük sorguya 3.000 baytlık dev bir yanıt paketiyle döner ve yanıtı doğrudan hedef şirketin IP adresine gönderir. Binlerce sunucu üzerinden aynı anda yapılan bu işlem, şirketin 50 Mbps veya 100 Mbps olan internet hattını saniyeler içinde birkaç Gigabitlik çöp veriyle boğar.
Protokol ve Durum Tablosu (State-Exhaustion) Saldırıları
Güvenlik duvarları (Firewall) ve yük dengeleyiciler (Load Balancer), üzerlerinden geçen her aktif bağlantıyı hafızalarındaki bir durum tablosunda (Session / State Table) tutar. TCP SYN Flood saldırısında saldırgan, üçlü el sıkışma (Three-Way Handshake) sürecini suistimal eder. Sunucuya veya güvenlik duvarına sürekli SYN paketi gönderir; cihaz SYN-ACK ile yanıt verip karşıdan ACK paketini beklemek üzere hafızasında bir oturum kaydı açar. Ancak kaynak IP sahte olduğu için ACK paketi hiçbir zaman gelmez. Binlerce yarım açık (half-open) bağlantı güvenlik duvarının oturum limitini doldurduğunda cihaz kilitlenir ve içerideki kullanıcıların bile internete çıkışı durur.
Uygulama Katmanı (Katman 7) Saldırıları
Ağ yöneticileri tarafından tespit edilmesi en zor saldırı türü Katman 7 (Uygulama Katmanı) saldırılarıdır. Çünkü bu saldırılarda paketler TCP el sıkışmasını kurallara uygun şekilde tamamlar ve trafik hacmi oldukça düşüktür; hattınız 100 Mbps ise saldırı sadece 5 Mbps trafik üretiyor olabilir. Ancak saldırgan, şirketinizin dışarıya açık B2B sipariş portalındaki arama fonksiyonuna, PDF katalog indirme bağlantısına veya giriş (login) ekranına saniyede binlerce HTTP GET ve POST isteği gönderir. Her istek arka planda veritabanında (SQL Server, PostgreSQL vb.) ağır bir sorgu çalıştırdığı için disk G/Ç (I/O) ve işlemci kaynakları tükenir, sistem hizmet veremez hale gelir.
Şirket İnternet Hattını ve Sunucuları DDoS Saldırılarından Koruma Yöntemleri
Kurumsal bir ağda DDoS direnci tek bir kutu veya tek bir ayar ile sağlanamaz; uç noktadan buluta uzanan katmanlı bir savunma mimarisi (Defense-in-Depth) uygulanmalıdır.
1. Güvenlik Duvarı (NGFW/UTM) Üzerinde DoS/DDoS Koruma Profilleri
Şirket ağının sınır bekçisi olan güvenlik duvarında mutlaka DoS koruma politikaları devreye alınmalıdır. Yerli ve kurumsal ağlarda yaygın olarak konumlandırdığımız Berqnet Güvenlik Duvarı ve diğer NGFW çözümlerinde şu sıkılaştırmalar standart olarak uygulanır:
- SYN Cookie Mekanizması: Gelen
SYNpaketleri için oturum tablosunda hemen yer ayırmak yerine, kriptografik bir çerez (cookie) ile doğrulama yapılır. Yalnızca gerçekACKyanıtı dönen meşru istemciler durum tablosuna alınır. - Kaynak IP Bazlı Hız Sınırlandırma (Rate Limiting): Tek bir dış IP adresinden saniyede açılabilecek maksimum TCP/UDP oturum sayısı sınırlandırılır (örneğin saniyede maksimum 50 yeni bağlantı). Eşiği aşan IP adresleri otomatik olarak geçici kara listeye (Quarantine / Blacklist) alınır.
- WAN Bacağında ICMP (Ping) ve Gereksiz Portların Kapatılması: Dış dünyadan güvenlik duvarının WAN IP adresine gelen ICMP Echo (Ping) istekleri kapatılır. Böylece hem ICMP Flood saldırıları hem de saldırganların hattın aktifliğini ölçen keşif taramaları engellenir.
- Coğrafi IP Kısıtlama (Geo-IP Blocking): Sadece Türkiye içindeki bayilere veya belirli Avrupa ülkelerine hizmet veren bir ERP/B2B sunucunuz varsa, saldırıların yoğun kaynaklandığı uzak coğrafyalardan gelen bağlantı talepleri doğrudan ülke bazında düşürülür.
2. DMZ Mimarisi, Ters Vekil (Reverse Proxy) ve WAF Kullanımı
Dış dünyaya açık web siteleri, B2B bayi portalları veya mobil uygulama API sunucuları asla doğrudan yerel ağ (LAN) içerisinde barındırılmamalı ve doğrudan dış IP’ye Port Yönlendirme (DNAT) ile açılmamalıdır. Sunucular izole bir DMZ (Arındırılmış Bölge) VLAN’ına yerleştirilmeli ve önlerine bir Ters Vekil (Reverse Proxy) veya Web Uygulama Güvenlik Duvarı (WAF) konumlandırılmalıdır. Statik içerikler (görseller, CSS, JS) önbellekten (cache) sunularak arka uç sunucusunun yükü azaltılmalı, şüpheli bot trafiği CAPTCHA veya JavaScript Challenge doğrulamalarıyla daha sunucuya ulaşmadan elenmelidir. Ayrıca kurumsal web projelerinizde saldırı yüzeyini daraltan modern statik ve hibrit mimariler için Kurumsal Web Tasarım ve SEO Çözümleri yaklaşımımızdan yararlanabilirsiniz.
3. Servis Sağlayıcı (ISP) Seviyesinde Cloud DDoS / Scrubbing Hizmeti
Fiziksel bir gerçeği unutmamak gerekir: Şirketinizin internet hattı 100 Mbps kapasitedeyse ve saldırganlar bu hatta 2 Gbps büyüklüğünde hacimsel (UDP/Amplifikasyon) bir trafik gönderiyorsa, şirket içindeki güvenlik duvarınız ne kadar güçlü olursa olsun hat operatör santralinden itibaren dolacağı için internetiniz kesilecektir. Bu senaryoda koruma, trafik şirketinizin fiber kablosuna girmeden önce, yani İnternet Servis Sağlayıcı (Türk Telekom, Turkcell Superonline, Vodafone vb.) veya küresel CDN/Scrubbing merkezleri (Cloudflare, Akamai vb.) üzerinde yapılmalıdır. Operatör seviyesindeki Anti-DDoS (Temiz İnternet / Scrubbing) servisleri, BGP yönlendirmesi ile kirli trafiği dev veri merkezlerindeki yıkama kümelerine çeker; saldırı paketlerini süzer ve şirketinize yalnızca temizlenmiş meşru trafiği iletir.
4. Yedekli İnternet Hattı (Multi-WAN) ve Trafik Ayrıştırma
Kritik üretim ve lojistik operasyonları yürüten işletmelerde tüm trafiği tek bir internet hattı ve tek bir statik IP üzerinden geçirmek büyük bir tasarım hatasıdır. İdeal mimaride:
- Dışarıya yayın yapan sunucular (Web, Mail, VPN) ile içerideki personelin ve üretim sistemlerinin internete çıktığı hatlar fiziksel veya mantıksal olarak ayrıştırılmalıdır.
- Farklı altyapılardan (örneğin biri fiber metro ethernet, diğeri alternatif operatör veya kurumsal 5G/Radyolink) beslenen Multi-WAN (Yedekli Hat) yapısı kurulmalıdır. Birincil hat DDoS saldırısı altında kaldığında, kritik ERP ve e-Fatura trafiği güvenlik duvarı üzerindeki SD-WAN kurallarıyla saniyeler içinde ikincil temiz hatta aktarılmalıdır.
Güvenlik duvarı tabanlı saldırı koruma çözümleri, Multi-WAN yük dengeleme ve ağ sıkılaştırma mimarisi için Güvenlik Duvarı Altyapısı sayfamızı ziyaret edin. Ayrıca mevcut dış IP adreslerinizin ve sunucularınızın DDoS ve uygulama katmanı saldırılarına karşı ne kadar dayanıklı olduğunu ölçümlemek için Sızma Testi ve Güvenlik Denetimi hizmetimizden faydalanabilirsiniz.
Sıkça Sorulan Sorular
Şirketimizdeki güvenlik duvarı (Firewall) tek başına her türlü DDoS saldırısını engelleyebilir mi?
Hayır, tek başına her senaryoyu engelleyemez. Güvenlik duvarı cihazları; SYN Flood, düşük ve orta ölçekli paket saldırıları, port taramaları ve uygulama katmanı (HTTP Flood) saldırılarını şirketinizin internet bant genişliği sınırları dahilindeyken başarıyla engeller. Ancak internet hattınızın fiziksel kapasitesini (örneğin 100 Mbps hattı 5 Gbps trafikle) aşan hacimsel (Volumetric) saldırılarda trafik daha sizin cihazınıza ulaşmadan operatör kablosunu doldurur. Bu nedenle tam koruma için yerleşik NGFW/UTM güvenlik duvarı kuralları, operatör (ISP) seviyesindeki DDoS temizleme servisleriyle veya bulut tabanlı CDN/WAF katmanlarıyla birlikte kullanılmalıdır.
DDoS saldırısına uğradığımızı yavaşlayan normal internet trafiğinden nasıl ayırt edebiliriz?
Normal bir bant genişliği yoğunluğunda (örneğin büyük bir yedekleme veya güncelleme indirilirken) güvenlik duvarı arayüzünde hangi iç IP adresinin hangi meşru servisten veri çektiği açıkça görülür ve oturum (session) sayısı normal sınırlar içindedir. DDoS saldırısında ise güvenlik duvarının aktif oturum tablosunda (State Table) saniyeler içinde on binlerce yarım kalmış bağlantı oluşur, CPU kullanımı ani sıçrama yapar, dış bacak (WAN) ping süreleri yüzlerce milisaniyeye çıkar ve dışarıdan içeriye olan VPN veya web bağlantıları tamamen kopar. Berqnet gibi gelişmiş güvenlik duvarları bu durumu IPS/DoS loglarında gerçek zamanlı alarm olarak raporlar.
Sanayi tesisleri ve KOBİ’ler neden DDoS saldırılarının hedefi haline geliyor?
Saldırganlar her zaman hedefi özel olarak seçmez; çoğu zaman internete açık statik IP bloklarını otomatik botlarla tarayarak açık portları (RDP, VPN, Web, SQL) ve zayıf yapılandırılmış ağ cihazlarını suistimal ederler. Bunun yanı sıra sektörel rekabet, fidye (Ransom DDoS - saldırıyı durdurmak için kripto para talep edilmesi) veya içerideki bir sızma girişimini gizlemek amacıyla KOBİ ve fabrikaların internet hatları hedef alınmaktadır. Özellikle dış dünyaya açık B2B sipariş sistemi, uzak masaüstü veya VPN sunucusu bulunan her işletme potansiyel bir hedeftir.