DDoS Koruması Nedir? Katman 3/4 ve Katman 7

DDoS, çok sayıda kaynaktan gelen isteklerle bir sistemi hizmet veremez hale getirme saldırısıdır. İki ana türü vardır: katman 3/4 saldırıları hattı ve ağ ekipmanını doldurur; katman 7 saldırıları ise geçerli görünen HTTP istekleriyle uygulamayı yorar. Birincisi ağ seviyesinde, ikincisi uygulama seviyesinde filtrelenir; tek bir önlem ikisini birden karşılamaz.

İki saldırı katmanı

Belirtileri nasıl ayırt edilir?

• Sunucuya SSH ile bağlanamıyorsanız ve ağ tamamen doluysa katman 3/4 olasıdır.
• Sunucu ayakta ama web sunucusu işlem limitini doldurmuşsa katman 7 akla gelir.
• Kayıtlarda aynı sayfaya çok sayıda benzer istek varsa uygulama seviyesinde saldırı vardır.
• Trafik ani ve açıklanamaz şekilde arttıysa, önce meşru bir kampanya olup olmadığını doğrulayın.

Kaynak limitleri kaynaklı hataların anlamını kaynak limitleri, genel teşhis sırasını sitem açılmıyor yazısında anlattık.

Korunma katmanları

1. Sağlayıcı tarafında ağ filtreleme: Hacimsel saldırılar, trafiğin sunucunuza ulaşmadan temizlenmesiyle engellenir. Bu, tek başınıza yapabileceğiniz bir iş değildir; hizmetin kapsamını sağlayıcınıza sorun.
2. Uygulama önünde filtre (WAF): Bilinen saldırı kalıplarını ve anormal istek desenlerini engeller.
3. Hız sınırı: Aynı kaynaktan gelen istek sayısını sınırlayın; özellikle giriş ve arama uç noktalarında.
4. Önbellek: Önbellekten dönen sayfa PHP ve veritabanı çalıştırmaz; katman 7 saldırılarının etkisini belirgin şekilde azaltır.
5. Bot yönetimi: Arama motoru botlarını ayırt edip zararlı tarayıcıları sınırlayın.
6. Kaynak ayırma: Yönetim paneli ve API uç noktalarını ayrı sınırlarla koruyun.

Saldırı anında yapılacaklar

1. Saldırının türünü belirleyin: ağ mı doldu, uygulama mı yoruldu?
2. Sağlayıcınızla iletişime geçin; ağ seviyesinde müdahale onların tarafındadır.
3. Önbelleği en agresif ayara alın.
4. Saldırı kaynaklarında belirgin bir desen varsa (tek ülke, tek kullanıcı aracısı) geçici kural yazın.
5. Gereksiz uç noktaları geçici olarak kapatın (arama, filtreleme).
6. Olayı kayıt altına alın: başlangıç saati, trafik deseni, etkilenen servisler.

Panik kararlar (sunucuyu yeniden başlatmak, tüm trafiği kapatmak) çoğu zaman kesintiyi uzatır. Önce ölçün, sonra müdahale edin.

Saldırı sonrası

• Hangi katmanın açık verdiğini belirleyin ve kalıcı kural yazın.
• Önbellek ve hız sınırı ayarlarını kalıcı hale getirin.
• İzleme eşiklerini gözden geçirin: olayı ne kadar geç fark ettiniz?
• Sağlayıcıyla, benzer bir olayda izlenecek adımları yazılı hale getirin.
• Kesinti süresini ve etkisini kaydedin; uptime taahhüdü kapsamında talep gerekebilir (uptime ve SLA).

Yanlış bilinenler

Önleyici mimari

Kesinti maliyeti yüksek sistemlerde tek sunucu yerine yedekli bir yapı kurmak, hem arıza hem saldırı senaryosunda dayanıklılık sağlar. Uygulamanın bu yapıya uygun olup olmadığını VPS ile bulut sunucu farkı yazısında ele aldık. Kaynak sunucunun IP adresini gizli tutmak da katman 7 saldırılarında koruma katmanını atlatmayı zorlaştırır.

Netx'te sunucular

Sunucu seçenekleri için VDS, VPS ve dedicated sunucu sayfalarına bakabilirsiniz. Ağ seviyesinde hangi koruma katmanlarının sunulduğunu ve saldırı anında izlenecek süreci satış öncesi danışmanlıkta yazılı olarak isteyin; sözleşmede bakılacak maddeleri hosting sözleşmesi yazısında sıraladık.

Sık sorulan sorular

DDoS ile yoğun trafik nasıl ayırt edilir?

Meşru trafik kademeli artar ve dönüşüm üretir; saldırı trafiği anidir, tek bir uç noktaya yığılır ve dönüşüm üretmez.

Saldırıyı ben durdurabilir miyim?

Katman 7 saldırılarının bir bölümünü hız sınırı ve önbellekle azaltabilirsiniz. Hacimsel saldırılarda müdahale ağ tarafındadır.

Koruma hizmeti şart mı?

Kesinti maliyetinize bağlıdır. Gelir üreten sistemlerde, koruma katmanı sigorta gibi düşünülmelidir.

Site yavaşladı, saldırı mı?

Önce kaynak kullanımına ve kayıtlara bakın; çoğu yavaşlık saldırıdan değil optimizasyon eksikliğinden kaynaklanır.

Saldırı sonrası IP değiştirmeli miyim?

Kaynak adresi hedef alınmışsa faydalı olabilir; bunu sağlayıcınızla birlikte değerlendirin.