DDoS Saldırısı Nedir, Nasıl Korunulur?

Sunucu sağlam, uygulama hatasız, disk boş; buna rağmen site açılmıyor ve bağlantı sayısı normalin yüz katı. DDoS saldırısı nedir sorusunun en kısa yanıtı budur: sisteminizi kırmaya değil, meşru ziyaretçilere yer bırakmayacak kadar doldurmaya yönelik bir saldırı.

Bu yazıda saldırı türlerini, sunucunuzda saldırıyı birkaç komutla nasıl fark edeceğinizi, katman katman korunma yöntemlerini ve saldırı anındaki müdahale sırasını anlatıyoruz. Örnekler Linux tabanlı VDS sunucu ve VPS ortamları içindir; paylaşımlı hosting kullanıcıları için de geçerli notlar bulunuyor.

DDoS saldırısı nedir, DoS’tan farkı ne?

DoS (Denial of Service), tek bir kaynaktan gelen ve hedef sistemi hizmet veremez hâle getiren trafiktir; tek IP olduğu için engellenmesi kolaydır. DDoS (Distributed Denial of Service) ise aynı işi binlerce, bazen milyonlarca farklı kaynaktan yapar. Kaynaklar genellikle ele geçirilmiş bilgisayarlar, yönlendiriciler, kameralar ve sunuculardan oluşan bir botnet’tir; sahipleri saldırıya katıldıklarını bilmez.

Dağıtık olmasının iki sonucu vardır. Birincisi, tek bir IP’yi engellemek işe yaramaz; trafiği örüntüsüne göre ayırt etmek gerekir. İkincisi, saldırı hacmi tek bir sunucunun bant genişliğini kolayca aşabilir; bu durumda savunma sunucuda değil, sunucunun önündeki ağda yapılmak zorundadır.

Saldırının hedefi her zaman büyük kurumlar değildir: rakipler, fidye isteyen gruplar ya da yalnızca deneme yapan kişiler küçük e-ticaret sitelerini de hedef alır. Uptime taahhütlerinde DDoS’un neden çoğu zaman kapsam dışı tutulduğunu hosting uptime ve SLA yazısında açıkladık.

Saldırı türleri: hangi katmanı hedefliyor?

Türü bilmek savunmayı belirler: hacimsel saldırı sunucuda çözülemez, uygulama katmanı saldırısı ise çoğu zaman sunucu üzerinde önlemlerle hafifletilebilir.

Belirtiler ve terminalden teşhis

Saldırıyı ani trafik artışından (kampanya, haber, bot taraması) ayırmak için birkaç komut yeterlidir. SSH ile bağlanabiliyorsanız sırayla çalıştırın:

# Yük ve bağlantı özeti
uptime
ss -s

# Yarım kalan TCP bağlantıları (SYN flood belirtisi)
ss -ant | grep -c SYN-RECV

# En çok bağlantı açan IP adresleri
ss -ntu | awk "{print $6}" | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

# Web günlüğünde en çok istek yapan IP’ler (Nginx örneği)
tail -n 5000 /var/log/nginx/access.log | cut -d " " -f1 | sort | uniq -c | sort -rn | head -20

Yorumlama ipuçları:

1. Bağlantı sayısı yüksek, bant genişliği düşük ve SYN-RECV çoksa protokol saldırısı.
2. Günlükte aynı URL’ye (arama sayfası, giriş formu) binlerce istek varsa uygulama katmanı saldırısı.
3. SSH bağlanamıyor ve sağlayıcının trafik grafiği tavan yapmışsa hacimsel saldırı; sunucuda yapacak bir şey yoktur, sağlayıcıyı arayın.
4. İstekler gerçek tarayıcılardan, farklı sayfalara ve makul aralıklarla geliyorsa büyük olasılıkla saldırı değil, gerçek trafik artışıdır.

Sürekli izleme kurulu ise saldırıyı ilk dakikada bildirim olarak alırsınız; kurulum için sunucu izleme ve uptime takibi yazısına bakın.

Katmanlı koruma: sunucudan ağa

Tek bir ürün DDoS’u çözmez; her katmanda bir önlem gerekir.

• Ağ katmanı (sağlayıcı): Hacimsel saldırılar ancak veri merkezi girişinde filtrelenebilir. Sunucu seçerken sağlayıcının DDoS filtreleme kapasitesini ve saldırı anındaki prosedürünü sorun.
• CDN ve web uygulama güvenlik duvarı: Siteyi bir CDN’in arkasına almak, uygulama katmanı saldırılarının büyük bölümünü sunucuya ulaşmadan emer ve gerçek IP’nizi gizler; ayrıntı CDN nedir, ne işe yarar yazısında.
• Sunucu katmanı: Güvenlik duvarında bağlantı hızı sınırlama (rate limiting), SYN cookie’lerin açık olması, Nginx/Apache’de istek sınırlama modülleri, Fail2Ban ile tekrar eden IP’lerin geçici engellenmesi; Plesk’te kurulum Plesk güvenlik ayarları rehberinde.
• Uygulama katmanı: Pahalı işlemleri (arama, rapor, giriş) önbelleğe alın ya da doğrulama (CAPTCHA, oran sınırı) arkasına koyun; gereksiz açık portları kapatın.
• Kaynak ayrımı: Paylaşımlı hostingde komşu bir siteye yapılan saldırı sizi de etkiler. VDS ve fiziksel sunucuda kaynaklar yalnızca size ayrıldığı için komşu etkisi yoktur; ayrıntı paylaşımlı hosting vs VPS karşılaştırmasında.

Saldırı anında müdahale sırası

1. Teşhis edin (5 dakika): Yukarıdaki komutlarla türü belirleyin; hacimselse doğrudan üçüncü adıma geçin.
2. Sunucuda hafifletin: En çok istek yapan IP bloklarını geçici engelleyin, istek sınırlarını sıkılaştırın, pahalı sayfaları geçici olarak statik bir sayfaya yönlendirin, gereksiz servisleri durdurun.
3. Sağlayıcıyı bilgilendirin: Müşteri panelinden acil destek talebi açın; saldırı başlangıç saati, hedef IP ve gözlemlediğiniz türü paylaşın. Ağ katmanı filtreleme ancak bu bilgiyle hızlı devreye girer.
4. CDN/WAF devreye alın: Henüz kullanmıyorsanız DNS’i CDN’e yönlendirin; “saldırı altında” modu çoğu serviste tek tıkla açılır.
5. İletişim: Müşterilere durum sayfası ya da sosyal medya üzerinden kısa bilgi verin; sessizlik, kesintiden daha çok güven kaybettirir.
6. Sonrası: Günlükleri saklayın, saldırı süresini ve etkisini yazın, kalıcı önlemleri web sitesi güvenliği kontrol listesi üzerinden planlayın.

Fidye talebi içeren e-postalara yanıt vermeyin ve ödeme yapmayın; ödeme, hedef listesinde kalmanızı garanti eder.

Önleyici kontrol listesi

Saldırı gelmeden önce tamamlanması gereken maddeler:

• Sağlayıcının DDoS filtreleme kapasitesi ve acil destek prosedürü biliniyor.
• Site CDN ya da WAF arkasında; gerçek sunucu IP’si yalnızca CDN’e açık.
• Güvenlik duvarında yalnızca gerekli portlar açık; SSH için IP kısıtı ya da anahtar tabanlı giriş.
• Rate limiting ve Fail2Ban etkin, eşikler normal trafiğe göre ayarlanmış.
• Sunucu ve site bir dakikalık aralıkla dışarıdan izleniyor, uyarılar telefona düşüyor.
• Müşteri iletişimi için hazır bir durum mesajı şablonu mevcut.

Listenin tamamı bir günde tamamlanabilir; DDoS saldırısı nedir sorusunu saldırı sırasında değil, öncesinde yanıtlamış olursunuz.