DDoS Atak Önleme İçin Doğru Koruma Nasıl Seçilir?

DDoS atak önleme için tek bir güvenlik ayarına güvenmek yerine, trafiğin hangi katmanda hedef alındığını ve korumanın saldırıyı sunucuya ulaşmadan durdurup durdurmadığını değerlendirmek gerekir. Küçük bir web sitesi için CDN ve web uygulaması güvenlik duvarı yeterli olabilirken, doğrudan IP adresine yönelen büyük hacimli saldırılarda ağ seviyesinde filtreleme ve sağlayıcı müdahalesi gerekir.

DDoS atak önleme kapsamını saldırı katmanına göre belirleyin

DDoS, çok sayıda kaynaktan gelen istek veya paketlerle hizmetin kapasitesini tüketmeye çalışan saldırıların genel adıdır. Ancak bütün saldırılar aynı şekilde gerçekleşmez. Ağ ve taşıma katmanındaki saldırılar, bağlantı kapasitesini, paket işleme gücünü veya TCP bağlantı tablolarını zorlayabilir. Uygulama katmanındaki saldırılar ise normal bir HTTP isteğine benzeyerek giriş, arama veya ürün sayfası gibi pahalı işlemleri tekrarlayabilir.

Karar verirken önce saldırı belirtisini tanımlayın. İnternet bağlantısı doluyor, farklı hizmetler aynı anda erişilemez oluyor veya sunucuya giden trafik olağan dışı büyüyorsa ağ seviyesinde koruma önceliklidir. Yalnızca belirli URL'ler yavaşlıyor, web sunucusunun işlemci kullanımı yükseliyor ve istekler geçerli tarayıcı trafiğine benziyorsa oran sınırlama, WAF kuralları ve önbellekleme gibi uygulama katmanı kontrolleri daha anlamlıdır. İlk durumda CDN tek başına yeterli olmayabilir; ikinci durumda ise yalnızca yüksek bant genişliği sunmak saldırının uygulama kaynaklarını tüketmesini engellemeyebilir.

CDN, WAF ve ağ temizleme arasındaki fark

CDN, içeriği kullanıcıya yakın noktalardan sunarak origin sunucunuza giden istek sayısını azaltabilir. WAF, HTTP isteklerinin yapısını inceleyip belirli kurallara uymayan veya olağandışı davranan istekleri engellemeye yarar. Ağ temizleme hizmeti ise trafiği veri merkezinizden önce analiz ederek uygun paketleri sunucunuza iletmeyi amaçlar. Bu hizmetlerin kapsamı sağlayıcıya ve kullanılan plana göre değiştiğinden, “DDoS koruması var” ifadesinin hangi katmanları içerdiğini ayrıca doğrulamak gerekir.

Barındırma türüne göre uygun çözümü seçin

Paylaşımlı hostingde kullanıcı genellikle ağ cihazlarını veya upstream yönlendirmesini yönetemez. Bu ortamda sağlayıcının ortak ağ koruması, trafik filtreleme politikası ve saldırı sırasında hesabın nasıl ele alındığı önemlidir. Site yalnızca HTTP veya HTTPS üzerinden çalışıyor ve origin IP adresi dışarıya açılmıyorsa CDN tabanlı koruma değerlendirilebilir. Ancak sağlayıcı origin adresini kolayca gizleyemiyor veya e-posta gibi başka servisler aynı IP'de çalışıyorsa çözümün kapsamı sınırlı kalabilir.

VPS ya da fiziksel sunucuda daha fazla kontrol bulunur; fakat bu, büyük bir saldırıyı sunucunun kendi güvenlik duvarıyla çözebileceğiniz anlamına gelmez. Trafik bağlantınıza ulaştıktan sonra işletim sistemi üzerinde engellenen paketler bile bant genişliğini tüketmiş olabilir. Bu nedenle doğrudan IP'ye yönelen saldırılar için veri merkezinin upstream filtreleme kapasitesini, trafik karşılama sürecini ve hangi hizmetlerin korunabildiğini sorun. Yönetilen bir hizmette müdahale sağlayıcıya ait olabilir; yönetilmeyen sunucuda kuralları ve uygulama davranışını sizin tasarlamanız gerekebilir.

Uygulamanız yalnızca web trafiği alıyorsa ve saldırı belirli endpoint'lerde yoğunlaşıyorsa WAF, bot davranışı analizi ve oran sınırlama kombinasyonu mantıklıdır. Buna karşılık oyun sunucusu, VPN, DNS veya özel TCP/UDP hizmetleri çalıştırıyorsanız HTTP odaklı bir WAF bu trafiği korumayabilir; L3/L4 desteği ve ilgili protokollerin açıkça listelenmesi gerekir.

Bir koruma teklifini teknik olarak nasıl değerlendirmelisiniz?

Önce korumanın devreye girme biçimini netleştirin: Trafik otomatik olarak mı filtreleniyor, yoksa saldırı anında destek talebi mi gerekiyor? Otomatik filtreleme daha kısa tepki süresi sağlayabilir; ancak hatalı pozitifler, yani gerçek kullanıcıların engellenmesi, kuralların nasıl ayarlanabildiğine bağlıdır. Manuel müdahale sunuluyorsa çalışma saatlerini değil, olayın kimin tarafından ve hangi kanaldan ele alındığını öğrenin.

Ardından şu maddeleri ayrı ayrı karşılaştırın:

• Korunan katmanlar: L3/L4 ve L7 desteğinin yanı sıra TCP, UDP veya yalnızca HTTP(S) trafiğinin mi kapsandığını gösterir.
• Origin gizleme: DNS kaydı dışında eski sunucu IP'si, posta servisi veya doğrudan erişilebilir bir alt alan adı origin'i açığa çıkarıyorsa CDN'nin arkasındaki koruma atlanabilir.
• Kural kontrolü: WAF kuralı, oran sınırı, izin listesi ve acil engelleme gibi ayarların kim tarafından ve hangi erişim düzeyinde yönetildiğini belirtir.
• Kanıt ve bildirim: Engellenen isteklerin zamanı, hedefi ve sınıflandırması görülebilmeli; böylece gerçek kullanıcı hatası ile saldırı davranışı birbirine karıştırılmamalıdır.

Diyelim ki bir haber sitesi yalnızca HTTPS yayımlıyor, origin sunucusuna doğrudan erişim kapatılabiliyor ve sorun belirli bir arama URL'sindeki yoğun isteklerle ortaya çıkıyor. Bu durumda CDN önbelleği, WAF oran kuralı ve origin erişiminin yalnızca koruma katmanından kabul edilmesi uygun bir başlangıç olabilir. Aynı site ayrıca doğrudan UDP hizmeti çalıştırıyorsa bu seçim o hizmeti korumaz; UDP desteği olan ayrı bir ağ koruması gerekir.

İlk kullanımdan önce güvenli bir değerlendirme yapın

Koruma satın almadan veya etkinleştirmeden önce normal trafiğin kabul ölçütlerini yazılı hale getirin: Ana sayfa ve kritik işlemler açılmalı, giriş yapan gerçek kullanıcıların isteği gereksiz yere engellenmemeli ve origin sunucusuna doğrudan erişim politikası beklenen şekilde çalışmalıdır. DNS değişikliği yapılacaksa mevcut kayıtları ve önceki yapılandırmayı saklayın; tek seferde bir değişiklik yaparak hangi etkinin hangi ayardan kaynaklandığını ayırt edin.

İlk kontrolde koruma panelindeki olay zamanını kendi sunucu veya uygulama günlüklerinizle karşılaştırın. Koruma katmanında engellenen bir istek origin günlüğünde görünmüyorsa trafik muhtemelen sunucuya ulaşmadan durdurulmuştur; bu beklenen bir sonuç olabilir. Buna karşılık saldırı olarak işaretlenen trafik origin günlüğünde hâlâ yoğun biçimde görünüyorsa origin IP'si açığa çıkmış, DNS önbelleği henüz yenilenmemiş veya kural yalnızca raporlama modunda olabilir. Önce bu ayrımı yapın, sonra yalnız ilgili ayarı değiştirin.

Değişiklikten sonra aynı normal sayfa ve işlem akışını yeniden deneyin; yeni zaman aralığındaki olay kayıtlarında gerçek isteğin kabul edildiğini, origin'e beklenmeyen doğrudan istek gelmediğini ve hata oranının artmadığını kontrol edin. Sorun sürerse korumayı bütünüyle kapatmak yerine son değişikliği geri alın, kaydettiğiniz önceki değere dönün ve hangi katmanın eksik kaldığını sağlayıcıya somut zaman damgalarıyla bildirin. Kimlik bilgilerini veya erişim anahtarlarını günlüklerle birlikte paylaşmayın.

Sonraki adım olarak sitenizin kullandığı protokolleri ve origin erişim noktalarını listeleyip sağlayıcının kapsamıyla karşılaştırın. Teknik barındırma seçeneklerini incelerken İyibirNet üzerindeki ilgili hizmet bilgilerini de değerlendirebilirsiniz; koruma kapsamını ayrıca yazılı olarak doğrulamanız gerekir.