DDoS Koruması Nasıl Çalışır? Bilmeniz Gereken 5 Kavram

DDoS saldırıları, sitenizi ya da API’nizi “kullanılamaz” hale getirmeyi hedefler. Ancak koruma, yalnızca bir “kırmızı düğme” değildir; ağ, uygulama ve trafik yönetimi katmanlarının birlikte çalışması gerekir. Bu yazıda DDoS korumasının nasıl işlediğini anlamanız için 5 kritik kavramı net şekilde açıklıyor; ayrıca barındırma (hosting) seçerken nasıl kontrol edeceğinizi maddeler halinde veriyoruz.

1) Trafik temizleme (Scrubbing) nedir?

DDoS korumasında en sık duyduğunuz kavramlardan biri scrubbing (trafik temizleme). Mantık şu: İnternet üzerinden gelen trafiğin tamamı hedefe direkt gitmez. Trafik, saldırı sinyallerini barındıran akımlar açısından analiz edilir ve “temiz” olanlar servis altyapısına iletilir.

Scrubbing noktaları (genelde sağlayıcının veri merkezi/abonelik noktaları) genellikle şu görevleri yapar: - Trafik hacmini ölçer (pps, Mbps/Tbps) - Protokol davranışını inceler (HTTP flood, SYN flood, UDP amplification vb.) - Şüpheli trafiği filtreler veya geciktirir - Temiz trafiği uygulama sunucularına yönlendirir

Scrubbing ile “drop” arasındaki fark

Bazı koruma yöntemlerinde şüpheli trafiğe “anı gelince” hiç yol verilmez (drop/deny). Scrubbing’de ise istenmeyen trafiğin büyük kısmı önce temizlenir; ardından kalan trafik hedefe taşınır. İyi çalışan bir sistem, sadece “engellemekle” kalmaz, yanlış pozitif (normal kullanıcıyı engelleme) oranını düşürmeye çalışır.

2) İmza tabanlı vs anomali tabanlı filtreleme

DDoS saldırıları farklı görünümlerle gelir. Bu yüzden koruma sistemleri iki ana yaklaşımı birlikte kullanır.

İmza tabanlı (signature-based) tespit

Bu yaklaşım, daha önce bilinen saldırı kalıplarına benzer davranışları yakalamaya çalışır. - Örnek: Belirli URL kalıplarıyla aşırı istek, bilinen bot başlık setleri, belirli paket örüntüleri - Artısı: Hızlı ve nispeten düşük maliyetli olabilir - Eksisi: Yeni varyasyonlarda kaçabilir

Anomali/heurstik tabanlı tespit (heuristics)

Burada sistem, “normal davranış” çizgisinden sapan trafiklere odaklanır. - Örnek: Trafik dağılımının saniye bazında ani yükselişi - Artısı: Yeni saldırı türlerinde daha iyi uyum sağlar - Eksisi: Yanlış alarm (false positive) riski yönetilmelidir

Net sonuç: İyi koruma, tek bir tekniğe güvenmez; imza + anomali + trafik oranı analizi kombinasyonu kullanır. Barındırma altyapısında bunu anlamanın pratik yolu; sağlayıcının “hangi katmanda hangi tespitleri” yaptığını açıkça belirtip belirtmediğine bakmaktır.

3) Hız sınırlama (rate limiting) ve oturum/kimlik bazlı kontrol

DDoS’un bazı türleri, saldırı trafiği üretse bile “tek bir IP’den” gelmek zorunda değildir. Yine de hız sınırlama çoğu senaryoda temel savunmadır.

Rate limiting şunu yapar: Belirli bir kaynaktan (IP, ASN, ülke, URL, token, kullanıcı oturumu) belirli periyotlarda gelen istek sayısını sınırlar.

Sadece IP’ye bakmak neden yetmez?

• NAT arkasındaki yüzlerce kullanıcı tek IP paylaşır
• Botnet (çok sayıda kaynak) kullanılır
• CDN arkasında trafiğin dağılımı farklılaşır

Bu nedenle güçlü sistemler, daha zengin sinyaller kullanır: - İstek başına davranış (ör. aynı endpoint’e seri istek) - HTTP/2 veya HTTP/3 akış davranışı - Oturum ve cookie/token tutarlılığı - WAF kurallarıyla birlikte korelasyon (WAF, bir sonraki başlıkla birlikte düşünün)

Hız sınırlama doğru yapılandırılmalı

Aşırı agresif rate limiting; kampanya anında, ödeme sayfalarında veya CDN cache miss dalgalarında normal trafiği de vurabilir. Doğru yapılandırma için şu hedeflenir: - Normal trafiğin piki yakaladığı saatlerde hata üretmemek - Saldırı anında “işi durdurmak” yerine servisi sürdürmek

4) WAF ile ilişkisi: L7 (uygulama katmanı) koruması

DDoS iki ana başlıkta düşünülür: Ağ katmanı (L3/L4) ve uygulama katmanı (L7).

• L3/L4 DDoS: Paket taşması, SYN flood, UDP flood, reflection/amplification
• L7 DDoS: HTTP istekleri, yavaş HTTP (slow), çok sayıda dinamik içerik çağrısı

WAF (Web Application Firewall) burada devreye girer. WAF, uygulama trafiğini HTTP seviyesinde analiz eder ve şüpheli istekleri engeller/filtreler.

WAF DDoS’u “tamamen” çözer mi?

Hayır. WAF, özellikle L7 tarafında etkilidir; ancak L3/L4 hacimsel saldırılarda tek başına yetersiz kalır. Bu yüzden iyi bir mimaride akış şu şekilde kurgulanır: 1. Trafik önce volumetrik (hacimsel) saldırı açısından değerlendirilir 2. Scrubbing ile şüpheli akımlar azaltılır 3. L7 isteklerinde WAF kuralları uygulanır 4. Rate limiting ve bot/kimlik kontrolleri devreye alınır

Uygulama koruması için pratik kontrol listesi

Bir sağlayıcı ile görüşürken şu sorulara net yanıt alın: - WAF hangi kuralla gelir (managed rule set) ve güncelleniyor mu? - Bot trafiği (bot signature) için otomatik koruma var mı? - API endpoint’lerinde aşırı istek için özel kontrol uygulanıyor mu? - Yanlış pozitif durumunda “otomatik bypass / whitelist” nasıl çalışır?

5) Blackhole, null route ve “taşıma” mimarisi

DDoS korumasında bazen en hızlı çözüm, şüpheli trafiği hedefe ulaştırmadan devre dışı bırakmaktır. Bu yaklaşım blackhole / null route olarak bilinir.

• Blackhole: Paketler düşürülür (hedefe iletilmez)
• Null route: Router seviyesinde belirli rotaya trafik düşürülür

Ne zaman kullanılır?

• Volumetrik saldırı çok büyüktür; scrubbing bile yetersiz kalma riski vardır
• Belirli bir kaynak aralığı açıkça saldırı olarak etiketlenir
• Hızlı izolasyon gerekir

Yan etkiler: Kullanıcı etkisi

Blackhole yöntemi, yanlış etiketleme olursa bazı gerçek kullanıcıları da etkileyebilir. Bu yüzden modern çözümler genellikle tek hamle yerine kademeli karar kullanır: - Önce rate limiting / WAF / filtre - Sonra scrubbing ağırlaştırma - Gerekiyorsa belirli kaynakları blackhole’a almak

NetKıyas açısından bakıldığında kritik olan şey şudur: Sağlayıcının “otomatik karar” yaklaşımı ne kadar şeffaf, aksiyonlar nasıl izleniyor? İyi sistemler log/raporlama sunar; saldırı sırasında ve sonrasında ne olduğunu anlamanıza yardımcı olur.

DDoS koruması seçerken 10 net teknik kontrol

DDoS korumasını yalnızca “var/yok” olarak değerlendirmek doğru değildir. Şu maddeleri kontrol edin:

A) Hangi katmanda koruyor?

• L3/L4 için volumetrik koruma var mı?
• L7 için WAF entegrasyonu var mı?
• API trafiğinde özel önlemler var mı?

B) Trafik temizleme nasıl çalışıyor?

• Scrubbing kapasitesi (bandwidth limit) saldırı büyüklüğüne dayanıyor mu?
• Filtreleme anında latency (gecikme) artışı raporlanıyor mu?

C) Yanlış pozitif riski nasıl yönetiliyor?

• Rate limiting eşikleri kaç saniyelik pencerelerle ölçülüyor?
• Whitelist/bypass mekanizması var mı?
• Otomatik kurtarma (attack end) nasıl tetikleniyor?

D) Raporlama ve erişim

• DDoS olay raporları (timeline, pps/Mbps, blocked rules) sağlanıyor mu?
• Olay sırasında IP/URL bazında detay var mı?
• Log saklama süresi ve erişim yöntemi net mi?

E) Failover / akış yedekliliği

• DDoS anında trafik farklı POP/rota üzerinden taşınabiliyor mu?
• Konfigürasyon değişikliği gerekiyorsa süreç nasıl işliyor?

Hosting + DDoS korumasında sık görülen senaryolar

Aşağıdaki senaryolar, hangi kavramların neden önemli olduğunu pratikleştirir.

Senaryo 1: Site “aşırı istek” nedeniyle yavaşlıyor (L7)

Belirtiler: - Yanıt süreleri (TTFB gibi) yükselir - CPU/Ram uygulama tarafında artar

İlgili kavramlar: - WAF kuralları - rate limiting ve endpoint bazlı kontrol - Scrubbing ile L7 şüphelilerin azaltılması

Senaryo 2: Ağ katmanı çökecek gibi oluyor (L3/L4)

Belirtiler: - Uplink doygunluğu - Uygulama sunucusu hiç cevap vermez

İlgili kavramlar: - scrubbing kapasitesi - L3/L4 tespit - Gerekirse blackhole / null route izolasyonu

Senaryo 3: Bot trafiği sayfaları cache dışı bırakıyor

Belirtiler: - Cache miss oranları yükselir - CDN veya uygulama tarafı aşırı dinamik çalışır

İlgili kavramlar: - WAF + bot kimlik tespiti - URL davranışına göre rate limiting - Aşırı dinamik endpoint’lerde koruma politikası

“Özet karar”: Korumayı hangi sırayla düşünmelisiniz?

İyi DDoS koruma mimarisi genelde şu sırayı uygular: 1. Trafik analizi (imza + anomali) 2. Scrubbing ile şüphelileri azaltma 3. L7’de WAF + rate limiting 4. Gerekirse blackhole/null route ile hızlı izolasyon

Böylece hem hacimsel saldırıda servis ayakta kalır hem de uygulama katmanında yanlış istekler kontrol altına alınır.

Sonuç: Aksiyon planı (hemen uygulanabilir)

DDoS korumasını değerlendirirken ilk adım, sağlayıcınızın hangi 5 kavramı somut olarak uyguladığını netleştirmek olmalı: scrubbing, imza/heuristik filtreleme, rate limiting, WAF entegrasyonu ve blackhole/null route. Ardından NetKıyas’ta karşılaştırma yaparken; raporlama, eşik yönetimi ve L3/L4 ile L7 kapsamasını birlikte kontrol edin. Eğer kullandığınız altyapı bu konularda net bilgi vermiyorsa, sonraki adım olarak ölçülebilir talepler isteyin: olay raporu örneği, koruma katmanı detayı ve yanlış pozitif için prosedür.

Bu kontrolleri yaptıktan sonra kararınız daha deterministik olur: “koruma var” demek yerine, hangi saldırı tipinde neyi nasıl yöneteceğini biliyor olursunuz.