DDoS Saldırıları: Nedir, Nasıl Çalışır ve Nasıl Korunulur?

DDoS Saldırıları Nedir, Nasıl Çalışır ve Nasıl Korunulur?

İnternet üzerinden sunulan hizmetlerin erişilebilirliği; kurumların operasyonel sürekliliği, müşteri deneyimi ve hizmet kalitesi açısından kritik öneme sahiptir.

Web siteleri, e-ticaret platformları, API servisleri, DNS hizmetleri, e-posta sistemleri, VPN bağlantıları, oyun sunucuları ve diğer çevrimiçi uygulamalar DDoS saldırılarının hedefi olabilir.

DDoS saldırıları, hedef sistemlere yetkisiz erişim sağlamayı amaçlayan saldırılardan farklı olarak; yoğun ve dağıtık trafik oluşturarak internet bağlantısını, ağ altyapısını, güvenlik cihazlarını, sunucuları veya uygulama kaynaklarını aşırı yüklemeyi ve hizmetlerin erişilebilirliğini olumsuz etkilemeyi hedefler.

Bu içerikte DDoS saldırılarının ne olduğu, nasıl çalıştığı, hangi türlerde görüldüğü, kurumlar üzerindeki etkileri ve DDoS saldırılarına karşı alınabilecek önlemler açıklanmaktadır.

DDoS Nedir?

DDoS, Distributed Denial of Service ifadesinin kısaltmasıdır. Türkçede Dağıtık Hizmet Engelleme veya Dağıtılmış Hizmet Reddi saldırısı olarak adlandırılır.

DDoS saldırısında çok sayıda farklı kaynak, hedef sistem veya hizmete eş zamanlı olarak yoğun trafik gönderebilir. Bu kaynaklar; ele geçirilmiş bilgisayarlar, sunucular, IoT cihazları veya saldırgan tarafından kontrol edilen diğer sistemlerden oluşabilir.

Saldırganlar, çok sayıda cihazı merkezi olarak kontrol etmek amacıyla botnet adı verilen yapıları kullanabilir. Botnet içerisindeki cihazlar aynı anda hedefe trafik gönderdiğinde, saldırının kaynağı çok sayıda farklı IP adresine dağıtılabilir.

DDoS saldırılarının amacı aşağıdakilerden biri veya birkaçı olabilir:

  • İnternet bağlantısının kapasitesini tüketmek,
  • Ağ cihazlarının işlem veya paket işleme kapasitesini zorlamak,
  • Firewall ve güvenlik cihazlarının bağlantı tablolarını doldurmak,
  • Sunucu kaynaklarını tüketmek,
  • Web uygulamalarını veya API servislerini yoğun isteklerle zorlamak,
  • Hizmetlerin yavaşlamasına veya erişilemez hale gelmesine neden olmak.

DDoS Saldırıları Nasıl Çalışır?

DDoS saldırılarında saldırgan, çok sayıda farklı kaynaktan hedef sisteme yoğun trafik veya çok sayıda istek gönderir.

Saldırının etkisi; kullanılan saldırı yöntemi, trafik hacmi, paket oranı, bağlantı sayısı, hedeflenen hizmet ve hedef altyapının kapasitesine göre değişebilir.

Genel saldırı akışı aşağıdaki şekilde özetlenebilir:

Saldırgan → Botnet veya dağıtık kaynaklar → Yoğun saldırı trafiği → İnternet ve ağ altyapısı → Hedef hizmet

Saldırı trafiği, hedef altyapının kapasitesini aşarsa aşağıdaki durumlar oluşabilir:

  • İnternet bağlantısında doygunluk,
  • Ağ gecikmelerinde artış,
  • Paket kaybı,
  • Firewall veya router kaynaklarının tükenmesi,
  • Sunucu işlemci ve bellek kullanımının artması,
  • Uygulama yanıt sürelerinin uzaması,
  • Web sitesi veya çevrimiçi hizmetlerin erişilemez hale gelmesi.

DDoS saldırıları yalnızca yüksek bant genişliği kullanarak gerçekleşmez. Bazı saldırılar düşük trafik hacmine sahip olsa da çok yüksek paket, bağlantı veya uygulama isteği üreterek hedef sistemleri etkileyebilir.

DDoS Saldırı Türleri

DDoS saldırıları genel olarak üç ana kategoride değerlendirilir.

1. Hacimsel DDoS Saldırıları

Hacimsel saldırılar, hedefin internet bağlantısını veya ağ kapasitesini yoğun trafik ile tüketmeyi amaçlar.

Bu saldırılarda yüksek miktarda veri veya trafik hedefe yönlendirilir. Amaç, meşru kullanıcı trafiğinin internet bağlantısından geçmesini zorlaştırmak veya engellemektir.

Örnek saldırılar:

  • UDP Flood,
  • ICMP Flood,
  • DNS Amplification,
  • NTP Amplification,
  • Diğer yansıma ve büyütme saldırıları.

Hacimsel saldırılar genellikle Gbps veya Tbps seviyesindeki trafik hacmi ile değerlendirilir.

2. Ağ ve Protokol Katmanı Saldırıları

Ağ ve protokol katmanı saldırıları; router, firewall, load balancer, sunucu veya diğer ağ bileşenlerinin bağlantı ve işlem kaynaklarını tüketmeyi hedefleyebilir.

Örnek saldırılar:

  • TCP SYN Flood,
  • TCP ACK Flood,
  • TCP bağlantı tüketimine yönelik saldırılar,
  • ICMP tabanlı saldırılar,
  • Anormal veya hatalı paket kullanımına dayalı saldırılar.

Bu saldırılar, trafik hacmi çok yüksek olmasa bile yüksek paket oranı veya çok sayıda bağlantı oluşturarak hedef altyapıyı etkileyebilir.

3. Uygulama Katmanı Saldırıları – Layer 7

Uygulama katmanı saldırıları; web sunucuları, web uygulamaları, API servisleri veya uygulama kaynaklarını hedefler.

Saldırganlar, normal kullanıcı isteklerine benzeyen çok sayıda HTTP veya HTTPS isteği göndererek uygulama kaynaklarını tüketmeye çalışabilir.

Örnek saldırılar:

  • HTTP GET Flood,
  • HTTP POST Flood,
  • API Request Flood,
  • Yoğun oturum veya uygulama isteği oluşturan saldırılar.

Layer 7 saldırıları, trafik hacmi düşük görünse bile uygulama tarafında yüksek işlem yükü oluşturabilir.

DDoS Saldırılarının Nedenleri

DDoS saldırıları farklı amaçlarla gerçekleştirilebilir.

Yaygın nedenler şunlardır:

  • Rekabet: Rakip bir kurumun hizmetlerini erişilemez hale getirmeye çalışma,
  • Fidye: Saldırının durdurulması karşılığında ödeme talep edilmesi,
  • Hacktivizm: Politik, sosyal veya ideolojik mesaj vermek amacıyla hizmetlerin hedef alınması,
  • İntikam veya zarar verme: Bir kurumun veya hizmetin operasyonlarını aksatma amacı,
  • Botnet testi: Saldırı altyapısının kapasitesini veya etkisini ölçme,
  • Dikkat dağıtma: Başka bir siber saldırıyı gizlemek veya güvenlik ekiplerinin dikkatini farklı bir olaya yönlendirmek,
  • Hizmetin hedef alınması: Kritik veya yüksek görünürlüğe sahip bir çevrimiçi hizmetin erişilebilirliğini etkileme.

DDoS Saldırılarının Kurumlar Üzerindeki Etkileri

DDoS saldırıları yalnızca teknik altyapıyı değil, kurumların operasyonel ve ticari süreçlerini de etkileyebilir.

Olası etkiler şunlardır:

Hizmet kesintisi

Web sitesi, müşteri portalı, API, e-posta, VPN veya diğer çevrimiçi hizmetler yavaşlayabilir ya da erişilemez hale gelebilir.

Gelir kaybı

E-ticaret, ödeme, abonelik veya çevrimiçi işlem hizmetlerinde yaşanan erişim sorunları doğrudan gelir kaybına neden olabilir.

Müşteri deneyiminin etkilenmesi

Hizmetlere erişemeyen kullanıcılar müşteri memnuniyetsizliği yaşayabilir ve destek talepleri artabilir.

İtibar kaybı

Uzun süreli veya sık yaşanan erişim sorunları, kurumun hizmet kalitesi ve güvenilirliği hakkındaki algıyı olumsuz etkileyebilir.

Operasyonel maliyet

Saldırının analiz edilmesi, etkilerinin azaltılması ve hizmetlerin normale döndürülmesi ek teknik ve operasyonel kaynak gerektirebilir.

Diğer güvenlik olaylarının gizlenmesi

DDoS saldırısı bazı durumlarda, başka bir siber saldırıyı gizlemek veya güvenlik ekiplerinin dikkatini dağıtmak amacıyla kullanılabilir.

DDoS Saldırılarından Nasıl Korunulur?

DDoS saldırılarına karşı etkili koruma, tek bir güvenlik cihazına veya tek bir yönteme bağlı olmamalıdır.

Koruma yaklaşımı; internet bağlantısı, ağ yönlendirmesi, trafik izleme, DDoS azaltma, güvenlik duvarı, uygulama güvenliği ve olay müdahale süreçlerini kapsayan çok katmanlı bir yapı olarak tasarlanmalıdır.

Başlıca koruma yöntemleri aşağıda yer almaktadır.

Sürekli trafik izleme

Normal trafik davranışının bilinmesi, anormal trafik artışlarının daha hızlı tespit edilmesine yardımcı olur.

Trafik analizinde aşağıdaki bilgiler değerlendirilebilir:

  • Bant genişliği kullanımı,
  • Paket oranı,
  • Bağlantı sayısı,
  • Kaynak ve hedef IP dağılımı,
  • Protokol ve port kullanımı,
  • Olağan dışı trafik değişimleri.

Upstream DDoS azaltma

Yüksek hacimli saldırılarda, saldırı trafiğinin müşteri internet bağlantısına veya veri merkezi altyapısına ulaşmadan önce uygun DDoS azaltma altyapısında değerlendirilmesi önemlidir.

Bu yaklaşım, saldırı trafiğinin bağlantı kapasitesi ve ortak ağ kaynakları üzerindeki etkisini azaltmaya yardımcı olur.

BGP tabanlı trafik yönlendirmesi

BGP tabanlı yönlendirme, koruma kapsamındaki IP prefix’leri için tanımlı trafik politikalarının uygulanmasına yardımcı olabilir.

Saldırının özelliklerine ve ilgili koruma politikasına göre trafik, uygun DDoS azaltma yoluna yönlendirilebilir.

Ağ ve protokol katmanı koruması

Layer 3–Layer 4 seviyesindeki DoS koruma mekanizmaları; anormal paket, bağlantı ve protokol davranışlarının değerlendirilmesine yardımcı olur.

Firewall ve IPS/IDS güvenliği

Firewall, IPS ve IDS sistemleri; güvenlik politikalarının uygulanması, şüpheli trafiğin izlenmesi ve tanımlı kurallara göre zararlı trafiğin engellenmesi için kullanılabilir.

Web uygulaması güvenliği

Web Application Firewall (WAF), HTTP/HTTPS trafiğini uygulama güvenliği politikaları açısından inceleyerek Layer 7 saldırılarının etkisini azaltmaya yardımcı olabilir.

Hız sınırlama ve erişim kontrolleri

Rate limiting, bağlantı sınırları, istek sınırları ve erişim kontrol politikaları; belirli kaynaklardan gelen aşırı trafik veya isteklerin sınırlandırılmasına yardımcı olabilir.

Yedeklilik ve kapasite planlaması

Yedek internet bağlantıları, alternatif ağ yolları, yük dengeleme ve yeterli kapasite planlaması; saldırı veya trafik artışı sırasında hizmetlerin dayanıklılığını artırabilir.

Olay müdahale planı

DDoS saldırısı sırasında uygulanacak teknik ve operasyonel adımlar önceden belirlenmelidir.

Olay müdahale planında aşağıdaki bilgiler yer alabilir:

  • Teknik iletişim sorumluları,
  • NOC ve destek iletişim süreçleri,
  • Kritik hizmetlerin listesi,
  • DDoS koruma hizmeti iletişim bilgileri,
  • BGP yönlendirme ve blackhole prosedürleri,
  • Müşteri bilgilendirme süreçleri,
  • Olay sonrası analiz ve raporlama adımları.

Teknotel DDoS Koruma Hizmeti

Teknotel, müşterilerine tahsis edilen veya koruma kapsamına alınan IP adresleri ve IP prefix’leri için çok katmanlı DDoS koruma hizmeti sunmaktadır.

Trafik; Teknotel’in çoklu upstream internet bağlantıları, BGP özellikli edge yönlendirme altyapısı ve trafik izleme sistemleri üzerinden takip edilmektedir.

DDoS saldırısı veya anormal trafik davranışı tespit edildiğinde, saldırının türüne, hacmine, hedeflenen IP veya prefix’e ve uygulanan koruma politikasına göre uygun DDoS azaltma mekanizmaları devreye alınabilir.

Koruma mimarisinde aşağıdaki bileşenlerden yararlanılmaktadır:

  • Türk Telekom Anti-DDoS,
  • Voxility DDoS Mitigation,
  • FortiDDoS,
  • Flow Analyzer ve trafik izleme sistemleri,
  • BGP tabanlı trafik yönlendirme,
  • Layer 3–Layer 4 DoS koruma mekanizmaları,
  • IPS/IDS güvenlik kontrolleri,
  • FortiGate güvenlik duvarı,
  • WAF Layer 7 koruma mekanizmaları.

Zararlı veya saldırı niteliğindeki trafik uygun koruma katmanlarında filtrelenirken, temiz ve meşru trafiğin müşteri hizmetlerine ulaştırılması hedeflenmektedir.

DDoS koruma hizmeti, saldırıların etkisini azaltmayı ve hizmet erişilebilirliğini desteklemeyi amaçlar. Ancak saldırının hacmi, türü, hedefi, müşteri altyapısının kapasitesi ve uygulanan koruma politikalarına bağlı olarak hizmet performansı etkilenebilir.

DDoS Olaylarının İzlenmesi ve Raporlanması

Teknotel DDoS hizmeti kapsamında müşterilere tanımlanan erişim bilgileri ile DDoS izleme portalı üzerinden ilgili olaylar takip edilebilir.

Portal üzerinden hizmet kapsamına bağlı olarak aşağıdaki bilgiler görüntülenebilir:

  • DDoS olayının başlangıç zamanı,
  • Olayın süresi,
  • Saldırı türü,
  • Saldırının önem veya etki seviyesi,
  • İlgili koruma altyapısı tarafından tespit edilen olaylar.

Mevcut portal yapısında müşteriler, Servisler > DDoS menüsü üzerinden Türk Telekom ve Voxility koruma hizmetlerine ilişkin olayları görüntüleyebilmektedir.

Bu ekranda Türk Telekom ve Voxility seçeneklerine tıklayarak gelen atakları izleyebilir, aynı zamanda bu atakların ne zaman başladığı, ne kadar sürdüğü, atak tipi, ve önem derecesini görüntüyelebilirsiniz.

DDoS Saldırısı Sırasında Ne Yapılmalıdır?

Bir DDoS olayı şüphesinde aşağıdaki bilgilerin kayıt altına alınması ve ilgili teknik ekiplerle paylaşılması faydalı olabilir:

  • Etkilenen IP adresi veya hizmet,
  • Olayın başlangıç zamanı,
  • Hizmette görülen hata veya etki,
  • Etkilenen uygulama veya port,
  • Trafik artışı veya bağlantı sorunları,
  • İlgili sistem ve ağ kayıtları,
  • Son yapılan ağ veya güvenlik değişiklikleri,
  • Teknik iletişim sorumluları.

Saldırı sırasında yetkisiz veya plansız BGP, yönlendirme ya da firewall değişiklikleri yapılmamalıdır. Trafik yönlendirme, DDoS azaltma ve blackhole işlemleri tanımlı operasyon prosedürleri doğrultusunda yürütülmelidir.