DDoS Korumalı Sunucu: Nasıl Çalışır, Ne Zaman Gerekir?

DDoS korumalı sunucu, saldırı trafiğinin sunucunun kendisinde değil, ondan önce gelen ağ katmanında karşılandığı sunucudur: veri merkezinin girişindeki filtreleme sistemleri trafiği inceler, saldırı örüntüsüne uyan paketleri atar ve geri kalanını sunucuya iletir. Böylece saldırı sürerken bile meşru kullanıcılar hizmete ulaşmaya devam edebilir.

DDoS saldırılarının ne olduğu ve saldırı anında terminalden nasıl teşhis edileceği DDoS saldırısı nedir yazısında ayrıntılı olarak anlatılıyor. Bu yazı ise koruma tarafına odaklanıyor: filtreleme nasıl işler, neyi durdurabilir, neyi durduramaz ve bir VDS sunucu ya da fiziksel sunucu seçerken koruma hakkında hangi soruları sormalısınız?

DDoS korumalı sunucu nasıl çalışır?

DDoS korumalı sunucu, trafiği izleyen bir tespit sistemi ile saldırı paketlerini ayıklayan bir filtreleme katmanının birlikte çalışmasıyla korunur. Süreç genellikle üç adımdan oluşur:

1. Tespit: Yönlendiricilerden toplanan akış verileri (NetFlow, sFlow gibi) ve paket örnekleri, hedef IP başına normal trafik profiliyle karşılaştırılır. Paket sayısında, belirli bir protokolde ya da kaynak dağılımında ani bir sapma saldırı olarak işaretlenir.
2. Ayıklama: Şüpheli trafik, kural ve imza tabanlı filtrelerden geçirilir. Sahte kaynaklı paketler, yarım kalan TCP bağlantı denemeleri ya da bilinen yansıtma (amplification) kaynaklarından gelen UDP yanıtları atılır.
3. Teslim: Temizlenen trafik sunucuya iletilir; sunucu yalnızca filtreden geçen paketleri görür.

Koruma iki biçimde çalışabilir. Sürekli açık (always-on) modelde trafik her zaman filtreden geçer ve tepki süresi kısadır. Talep üzerine (on-demand) modelde filtreleme yalnızca saldırı tespit edildiğinde devreye girer; bu da saldırının ilk saniyelerinde kısa bir etki görülebileceği anlamına gelir. Hangi modelin kullanıldığı sağlayıcıya göre değişir.

Hangi saldırı katmanı nerede durdurulur?

Hacimsel (L3) ve protokol (L4) saldırıları ağ kenarında, uygulama katmanı (L7) saldırıları ise büyük ölçüde sunucu ya da uygulama tarafında durdurulur. Aşağıdaki tablo bu iş bölümünü özetler:

Tablonun pratik sonucu şudur: ağ kenarı koruması olmayan bir sunucuda en iyi güvenlik duvarı kuralı bile hacimsel bir saldırıyı durduramaz. Tersine, en güçlü ağ koruması da gerçek tarayıcıları taklit eden ve yavaş yavaş gelen L7 isteklerini her zaman ayırt edemez.

Ağ kenarında filtreleme ile sunucu tarafı koruma arasındaki fark nedir?

Ağ kenarında filtreleme saldırıyı sunucunun bağlantısına girmeden durdurur; sunucu tarafı koruma ise ancak trafik sunucuya ulaştıktan sonra çalışabilir. Sunucunuzun ağ bağlantısı belirli bir kapasiteye sahiptir; bu kapasiteyi aşan bir trafik geldiğinde sorun işlemci ya da güvenlik duvarı kuralı değil, dolmuş bir hattır. iptables ya da nftables kuralları paketleri atabilir, ama paketler o noktaya gelene kadar hat zaten tıkanmıştır.

Bu nedenle ağ kenarı korumasının değeri, veri merkezinin toplam bağlantı kapasitesine ve filtrelemenin bu kapasitenin neresinde yapıldığına bağlıdır. LIONFIN veri merkezimiz toplam 600G upstream kapasitesiyle çalışır; ağ kenarında RouteFence Firewall bulunur ve altyapı 7/24 NOC ve SOC ekipleri tarafından izlenir. Hangi pakette hangi düzeyde koruma bulunduğunu ise paket sayfasındaki güncel özelliklerden kontrol edin.

Sunucu tarafı önlemler yine de gereksiz değildir: ağ filtresinden geçen ya da eşiğin altında kalan saldırılar, sunucudaki iyi ayarlanmış kurallarla karşılanır. İki katman birbirinin yerine değil, birbirini tamamlamak için vardır.

DDoS koruması neleri yapamaz?

DDoS koruması saldırı trafiğini ayıklar, ancak uygulamanızın zayıf noktalarını gidermez ve her senaryoda kesintisizlik sağlamaz. Beklentiyi doğru kurmak için sınırlarını bilin:

• Gerçek kullanıcıyı taklit eden L7 saldırıları: Binlerce farklı IP’den, gerçek tarayıcı başlıklarıyla gelen ve saniyede birkaç istek yapan bir saldırı, ağ düzeyinde normal trafikten ayırt edilemeyebilir.
• Uygulamadaki darboğazlar: Önbelleksiz bir arama sayfası tek başına sunucuyu yorabiliyorsa, az sayıda istek bile hizmeti yavaşlatır. Bu bir yazılım ve yapılandırma sorunudur.
• Yanlış pozitifler: Agresif filtre kuralları, özellikle UDP kullanan oyun ve sesli iletişim servislerinde meşru trafiği de etkileyebilir.
• Kapasiteyi aşan saldırılar: Altyapının kaldırabileceğinden büyük bir saldırıda, diğer müşterileri korumak için hedef IP’ye giden trafiğin geçici olarak tamamen kesilmesi (blackhole, null route) gündeme gelebilir.
• Güvenlik açıkları: DDoS koruması yamalanmamış bir yazılımı ya da zayıf parolayı korumaz.

DDoS korumalı sunucu seçerken sağlayıcıya hangi sorular sorulmalı?

DDoS korumalı sunucu seçerken pazarlama ifadelerinden çok, korumanın nerede, hangi modelde ve hangi koşullarda çalıştığını sorun. Sipariş öncesinde şu soruların yanıtını yazılı olarak almaya çalışın:

1. Filtreleme nerede yapılıyor: veri merkezinin ağ kenarında mı, üst sağlayıcıda mı, yoksa yalnızca sunucu üzerinde mi?
2. Koruma sürekli açık mı, yoksa saldırı tespit edildiğinde mi devreye giriyor? Tespit ve devreye girme ne kadar sürüyor?
3. Kapasite aşılırsa ne oluyor? IP adresi geçici olarak kara deliğe alınıyor mu, ne kadar süreyle?
4. L7 (HTTP) saldırıları kapsamda mı, yoksa yalnızca L3 ve L4 mü korunuyor?
5. Oyun sunucusu gibi UDP ağırlıklı servisler için özel kural setleri var mı?
6. Saldırı başladığında ve bittiğinde bildirim yapılıyor mu, trafik raporu paylaşılıyor mu?
7. Koruma paket fiyatına dahil mi, yoksa saldırı hacmine göre ek ücret doğuyor mu?

Oyun topluluğunuz için sunucu arıyorsanız oyun sunucuları sayfasındaki koruma bilgilerine de bakın; bu servislerde düşük gecikme ile filtrelemenin dengesi ayrıca önemlidir.

Sunucu tarafında hangi tamamlayıcı önlemler alınmalı?

Ağ kenarı korumasını tamamlamak için sunucuda SYN flood’a dayanıklı çekirdek ayarları, web sunucusunda istek sınırlama ve gerekirse uygulamanın önünde bir WAF ya da CDN kullanılmalıdır. Linux’ta SYN cookies çoğu dağıtımda varsayılan olarak açıktır; kontrol etmek için:

sysctl net.ipv4.tcp_syncookies

Çıktı 1 ise etkindir. Nginx’te giriş ya da arama gibi pahalı sayfalara IP başına istek sınırı koymak, küçük çaplı L7 saldırılarının etkisini belirgin biçimde azaltır:

# http bloğu içinde
limit_req_zone $binary_remote_addr zone=hassas:10m rate=5r/s;

# ilgili location bloğu içinde
limit_req zone=hassas burst=10 nodelay;

Değerler örnektir; normal kullanıcı trafiğinizi engellemeyecek bir eşiği günlüklere bakarak belirleyin. Web siteleri için uygulama katmanı filtrelemesinin nasıl çalıştığı WAF nedir yazısında, trafiği dağıtarak sunucuyu rahatlatan yapı ise CDN nedir yazısında anlatılır. Genel sertleştirme adımları için sunucu güvenliği kontrol listesi yazısına göz atın.