DDoS Saldırısı Nedir? Katmanları ve Korunma Yolları

DDoS saldırısı, çok sayıda kaynaktan aynı anda istek göndererek bir sunucuyu veya hattı kullanılamaz hale getirme girişimidir. Saldırılar tek tip değildir; hangi katmanı hedef aldığına göre farklı önlem gerektirir.

Layer 3 ve 4: hattı doldurma

Bu saldırılar sunucunun bağlantı hattını ya da bağlantı tablosunu doldurmayı hedefler (UDP flood, SYN flood gibi). Amaç uygulamaya ulaşmak değil, trafiğin sunucuya varmasını engellemektir. Bu katman sunucunun önünde, ağ tarafında filtrelenmek zorundadır; sunucunun içinde alınacak hiçbir önlem dolan bir hattı açamaz.

Layer 7: uygulamayı yorma

Layer 7 saldırısı gerçek HTTP istekleri gönderir. Trafik hacmi düşük olabilir ama her istek veritabanı sorgusu çalıştırır, arama yapar veya sayfa üretir. Sunucu kaynakları tükenir ve site 502/504 hataları vermeye başlar. Bu katmanda ayırt etmek gerekir: gelen istek gerçek bir ziyaretçiden mi yoksa bottan mı geliyor?

Saldırı altında olduğunuzu nasıl anlarsınız?

• Site yavaşlar veya 502/503/504 hataları verir, ancak sunucu kaynakları (CPU) bir anda yükselmiştir.
• Belirli bir adrese (örneğin arama sayfasına) normalin çok üzerinde istek gelir.
• Çok sayıda farklı IP'den, tarayıcı bilgisi eksik veya birbirinin aynısı istekler gelir.
• Oyun sunucusunda oyuncular topluca ping yükselmesi ya da bağlantı kopması yaşar.

Hangi koruma neyi durdurur?

Light Hosting tarafında ne var?

Hizmetlerimizde Layer 3, 4 ve 7 saldırıları sunucunuza ulaşmadan filtrelenir. RouteFence® altyapısı 8 global POP noktası ve 6+ Tbps filtreleme kapasitesi ile çalışır; koruma Always-On'dur, yani saldırı başladığında elle devreye alınması gerekmez. Otomatik port öğrenme sayesinde oyun sunucularının kullandığı portlar da korunur. DDoS koruması VDS, Ryzen VDS ve dedicated sunucu paketlerimizde ücretsiz olarak dahildir.

Saldırı sırasında ne yapmalısınız?

1. Panik yapıp sunucuyu yeniden başlatmayın. Yeniden başlatma saldırıyı durdurmaz, yalnızca kesintiyi uzatır.
2. Gerçekten saldırı mı, onu doğrulayın. Aynı anda birden çok IP'den, aynı adrese, anormal sayıda istek geliyor mu? Yoksa bir kampanya sonrası gerçek ziyaretçi artışı mı?
3. Hangi adresin hedef alındığını bulun. Erişim kayıtlarında en çok istenen adres genelde saldırının hedefidir; arama ve filtre sayfaları sık hedeftir.
4. Koruma seviyesini yükseltin. Yeni ziyaretçilerin tarayıcı doğrulamasından geçtiği bir mod, botların büyük bölümünü eler.
5. Destek talebi açın. Saldırının büyüklüğünü ve hedefini bildirirseniz filtreleme tarafında daha hızlı önlem alınır.

Hangi kayıtlara bakılır?

• Erişim kayıtları (access log): IP, istenen adres ve tarayıcı bilgisi. Aynı tarayıcı bilgisinin yüzlerce IP'den gelmesi bot işaretidir.
• Hata kayıtları (error log): 502/504 hataları kaynakların tükendiğini gösterir.
• Sunucu kaynakları: CPU tavan yapmış ama trafik normalse, saldırı uygulamayı yoran türdendir.

Saldırı bittikten sonra

Koruma seviyesini eski hâline döndürün; gereğinden yüksek bırakılan doğrulama, gerçek ziyaretçileri ve dönüşümü olumsuz etkiler. Saldırının hedef aldığı sayfayı gözden geçirin: sorgusu ağır bir arama sayfasıysa önbellek ekleyin, gereksiz veritabanı sorgularını azaltın. Bir sonraki saldırıda aynı sayfa yine hedef olacaktır.

Kendi tarafınızda yapabilecekleriniz

Sunucunuzda gereksiz portları kapatın, yönetim erişimini (SSH/RDP) sınırlayın, uygulamanızın ağır sayfalarını önbelleğe alın ve veritabanı sorgularınızı indeksleyin. Saldırı anında en çok yorulan yer, optimize edilmemiş dinamik sayfalardır.