DDoS Atak Önleme İçin Katmanlı Koruma Rehberi

DDoS atak önleme, yalnızca sunucuya daha fazla kaynak eklemekten ibaret değildir. Amaç, kötü niyetli trafik hedef sisteme ulaşmadan önce ağ, uygulama ve sunucu katmanlarında ayırmak; meşru ziyaretçilerin hizmete erişimini sürdürmektir. Bunun için önce saldırının hangi katmanı tükettiği belirlenir, ardından barındırma ortamına uygun filtreleme ve kapasite yaklaşımı seçilir.

DDoS atak önleme hangi problemi çözer?

DDoS, dağıtık hizmet engelleme saldırısıdır. Çok sayıda kaynak, bir web sitesine veya sunucuya aynı anda istek göndererek bant genişliğini, bağlantı tablosunu, işlemciyi ya da uygulamanın işlem kapasitesini tüketmeye çalışır. Trafik her zaman aynı biçimde görünmez: Bazı saldırılar çok büyük veri paketleri üretirken bazıları normal web isteğine benzeyen çok sayıda bağlantı oluşturur.

Bu ayrım önemlidir. Ağ kapasitesini dolduran bir saldırıda sunucunun işlemcisini yükseltmek tek başına etkili olmayabilir; trafik sunucuya ulaşmadan önce hat dolmuştur. Buna karşılık trafik miktarı sınırlı, fakat pahalı veritabanı sorguları üreten isteklerde ağ filtrelemesine ek olarak uygulama önbelleği, istek oranı sınırlama ve kaynak tüketimini azaltan yapılandırmalar gerekir.

Koruma katmanlarını birlikte değerlendirin

Ağ ve taşıma katmanı filtreleme

İlk katman, bağlantıların ve paketlerin hedefe ulaşmadan incelenmesidir. Sağlayıcının omurga kapasitesi, trafik temizleme altyapısı ve saldırı sırasında yönlendirme yapabilmesi burada belirleyicidir. Bu hizmet sağlayıcıya göre değişir; bir sunucunun yüksek port hızına sahip olması, o sunucuya yönelen saldırının otomatik olarak filtreleneceği anlamına gelmez.

İhtiyaç zinciri şöyle kurulabilir: Saldırıda sitenin tamamına erişim kesiliyorsa önce bant genişliği ve sağlayıcının ağ seviyesinde temizleme yeteneği incelenir. Trafik bu katmanda ayıklanabiliyorsa sunucuya ulaşan yük azalır; ayıklanamıyorsa yalnızca sunucu kaynaklarını büyütmek yerine upstream koruması veya ayrı bir trafik filtreleme hizmeti değerlendirilir.

Uygulama katmanı kontrolleri

Web uygulaması katmanındaki saldırılar geçerli görünen HTTP istekleri kullanabilir. Bu durumda istek oranı sınırlama, önbellekleme, pahalı işlemlerin kimlik doğrulama veya ek doğrulama arkasına alınması ve gereksiz uç noktaların daraltılması yardımcı olabilir. Bu kontroller meşru kullanıcıları da etkileyebileceği için eşikler, uygulamanın normal trafik davranışına göre belirlenmelidir.

Belirli bir URL yoğun istek altında yavaşlıyor, ancak ağ kullanımı doymuyorsa önce o URL’nin veritabanı sorgusu, dış servis çağrısı veya önbellek durumuna bakılır. Sorun pahalı bir işlemse tüm siteye aynı sınırı uygulamak yerine ilgili uç noktaya oran sınırı ve önbellek politikası konur. Saldırı yalnızca bağlantı kapasitesini dolduruyorsa uygulama kodunu değiştirmek yerine ağ katmanı ele alınır.

Hosting, VPS ve özel sunucu arasında seçim

Paylaşımlı hosting kullanan bir site için ilk adım genellikle panelde rastgele güvenlik ayarı değiştirmek değil, sağlayıcının DDoS politikasını ve saldırı sırasında hangi müdahalenin sunulduğunu öğrenmektir. Kullanıcının ağ yönlendirmesine erişimi yoksa, korumanın önemli bölümü sağlayıcının altyapısına bağlıdır. Küçük ve düzensiz trafik alan tanıtım sitelerinde bu yaklaşım yeterli olabilir; fakat uygulama özel oran kuralları veya ayrıntılı trafik analizi gerektiriyorsa yönetim yetkileri sınırlı kalabilir.

VPS ya da özel sunucuda daha fazla kontrol bulunur, ancak sorumluluk da artar. Güvenlik duvarı, ters vekil sunucu ve uygulama kuralları yapılandırılabilir; yine de bağlantı hattı dolduktan sonra işletim sistemi üzerindeki kuralın etkisi sınırlı olur. Bu nedenle karar zinciri nettir: Kural bazlı uygulama koruması gerekiyorsa yönetilebilir bir sunucu seçilir; saldırı hacmi ağ hattını etkileyebilecekse bu sunucu, upstream filtreleme sunan bir ağ mimarisiyle birlikte değerlendirilir.

Koruma yaklaşımını güvenli biçimde nasıl değerlendirirsiniz?

Önce normal durumu belgeleyin: yoğun saatlerdeki istek hacmi, yanıt süreleri, bant genişliği kullanımı, hata oranı ve en çok kullanılan URL’ler kaydedilmelidir. Bu veriler olmadan bir eşik seçmek, yoğun fakat meşru bir kampanya trafiğini saldırı sanmaya veya gerçek saldırıyı gözden kaçırmaya yol açabilir. Sağlayıcı panelinde, izleme sisteminde veya uygulamanın erişim kayıtlarında bu göstergelerin hangilerinin bulunduğunu kontrol edin.

Ardından sağlayıcıya şu somut soruları yöneltin: Trafik hangi katmanda filtreleniyor, olay sırasında bildirim nasıl yapılıyor, normal trafik yanlışlıkla engellenirse kural nasıl geri alınabiliyor ve koruma kapsamı hangi protokollerle sınırlı? Yanıt yalnızca “DDoS koruması vardır” düzeyindeyse, kabul ölçütü oluşmuş sayılmaz. Trafik temizlendikten sonra sunucuya ulaşan isteklerin azaldığını, meşru bir test sayfasının açıldığını ve yeni zaman damgalı kayıtlarda uygulamanın beklenmeyen kaynak tüketmediğini görebilmeniz gerekir.

Örneğin, bir çevrim içi katalogda saldırı sırasında yalnızca arama sayfası yavaşlıyor, ana sayfa normal yanıt veriyor ve ağ kullanımı düşük kalıyorsa sorun büyük olasılıkla arama işleminin maliyetindedir; bu durumda tüm sunucunun kapasitesini artırmak yerine arama isteklerini oranlamak ve uygun sonuçları önbelleğe almak daha hedefli bir seçimdir. Aynı gözlemde ağ bağlantıları doluyor ve tüm URL’ler erişilemez hale geliyorsa öncelik sağlayıcının ağ seviyesinde filtreleme kapasitesine verilir. Bu iki sonuç aynı çözümü gerektirmez.

İlk uygulanacak güvenli adımlar

• Normal trafik ölçümlerini ve mevcut güvenlik ayarlarını kaydedin; değişiklik sonrasında karşılaştırma yapabilmek için başlangıç değerleri gerekir.
• Sağlayıcının DDoS koruma kapsamını, müdahale sürecini ve kullanıcıya açık ayarları yazılı olarak doğrulayın; sağlayıcıya bağlı davranışı varsaymayın.
• Uygulama tarafında tek bir pahalı uç noktayı belirleyebiliyorsanız yalnızca o işleme oran sınırı veya önbellek uygulayın; tüm siteyi gereksiz yere kısıtlamayın.
• Her değişiklikten sonra aynı URL ve benzer trafik koşulunu yeniden gözlemleyin. Yeni zaman aralığındaki yanıt süresi, hata oranı ve kaynak kullanımını önceki kayıtla karşılaştırın.

Koruma meşru istekleri engelliyorsa önce eklenen son kuralı, başlangıç değerini referans alarak geri alın; aynı anda başka bir ayarı değiştirmeyin. Belirti sürüyor ve ağ hattı etkileniyorsa uygulama içi ayarları art arda değiştirmek yerine olay zamanını ve sağlayıcı kayıtlarını paylaşarak ağ katmanındaki filtreleme sürecini başlatın. DDoS atak önleme planınızı hizmet türünüzle birlikte gözden geçirmek için İyibirNet üzerindeki ilgili hizmet bilgilerini inceleyebilirsiniz.