DDoS Saldırısı Nedir? Türleri, Belirtileri ve Korunma Yöntemleri

Siteniz bir anda açılmıyor, sunucunuz yanıt vermiyor ve trafik grafiği tavan yapmış: büyük ihtimalle bir DDoS saldırısıyla karşı karşıyasınız. Bu rehberde DDoS saldırısının ne olduğunu, türlerini, belirtilerini ve web sitenizi ya da sunucunuzu bu saldırılara karşı korumanın yollarını anlatıyoruz.

DDoS saldırısı nedir?

DDoS (Distributed Denial of Service - Dağıtık Hizmet Engelleme), bir sunucuyu, web sitesini veya ağı, çok sayıda kaynaktan gelen sahte trafikle boğarak gerçek kullanıcıların erişemez hale getirilmesidir. Saldırılar genellikle ele geçirilmiş binlerce cihazdan (bilgisayar, IoT cihazı, sunucu) oluşan botnet ağları üzerinden yapılır.

DDoS'un amacı veri çalmak değil, hizmeti durdurmaktır. Rakip baskısı, şantaj (fidye), intikam veya başka bir saldırıyı gizleme gibi nedenlerle yapılabilir. Oyun sunucuları, e-ticaret siteleri ve hosting altyapıları en sık hedef alınanlar arasındadır.

DDoS saldırı türleri

1. Hacimsel saldırılar (Katman 3/4)

Amaç, hedefin internet bağlantısını tamamen doldurmaktır. Saniyede gigabitler, hatta terabitler seviyesinde trafik üretilir.

• UDP Flood: Rastgele portlara çok sayıda UDP paketi gönderilir.
• Yansıtma/güçlendirme (Amplification): DNS, NTP veya Memcached gibi açık servislere küçük sorgular gönderilir; bu servisler kurbanın IP adresine çok daha büyük yanıtlar döner.

2. Protokol saldırıları

Sunucunun veya ağ cihazlarının bağlantı tablolarını tüketmeyi hedefler.

• SYN Flood: TCP bağlantı başlatma isteği (SYN) gönderilir ama bağlantı hiç tamamlanmaz; sunucu yarım açık bağlantılarla dolar.
• ACK/RST Flood ve parçalanmış paket saldırıları.

3. Uygulama katmanı saldırıları (Katman 7)

Gerçek kullanıcı isteklerine benzeyen HTTP istekleriyle web uygulamasını yorar. Trafik hacmi düşük olsa bile her istek veritabanı sorgusu ve PHP işlemi gerektirdiği için sunucu kaynakları hızla tükenir.

• HTTP GET/POST Flood: Arama, sepet veya giriş sayfası gibi ağır sayfalara yoğun istek.
• Slowloris: Bağlantıları çok yavaş göndererek açık tutar ve sunucunun bağlantı limitini doldurur.

DDoS saldırısının belirtileri

• Sitenin aniden çok yavaşlaması veya tamamen erişilemez olması.
• Ağ trafiği grafiklerinde açıklanamayan ani sıçramalar.
• Sunucu CPU'sunun veya bağlantı sayısının normalin çok üzerine çıkması.
• Loglarda aynı sayfaya, aynı tarayıcı bilgisiyle veya belirli ülkelerden yoğun istek.
• SSH ile sunucuya bağlanmanın bile zorlaşması.

Sunucuda anlık bağlantıları görmek için:

# Duruma göre bağlantı sayıları
ss -s

# En çok bağlantı açan IP adresleri
ss -ntu | awk 'NR>1 {print $6}' | cut -d: -f1 | sort | uniq -c | sort -nr | head

DDoS'a karşı korunma yöntemleri

1. Ağ seviyesinde DDoS koruması (en önemlisi)

Hacimsel saldırılar, sunucunuzdaki hiçbir yazılımla durdurulamaz; çünkü sunucuya ulaşmadan önce bağlantı hattını doldururlar. Bu saldırılar, trafiği temizleyen (scrubbing) ağ seviyesindeki koruma sistemleriyle filtrelenmelidir. Bu nedenle hosting veya sunucu seçerken sağlayıcının DDoS koruması sunup sunmadığı en kritik kriterlerden biridir.

2. CDN ve WAF kullanımı

Cloudflare gibi bir CDN, sunucunuzun gerçek IP adresini gizler ve uygulama katmanı saldırılarını kendi ağında filtreler. Web Uygulama Güvenlik Duvarı (WAF) ise şüpheli istek kalıplarını engeller. Kurulum için Cloudflare rehberimize bakın.

3. Sunucu seviyesinde sıkılaştırma

• Yalnızca gerekli portları açık bırakın: UFW ve Fail2Ban rehberi.
• Linux'ta SYN cookie korumasının açık olduğundan emin olun: sysctl net.ipv4.tcp_syncookies (değer 1 olmalı).
• Nginx'te istek sınırlaması (limit_req) ve bağlantı sınırlaması (limit_conn) kullanın.
• Ağır sayfaları önbelleğe alın; önbellekten servis edilen sayfa, saldırı sırasında sunucuyu çok daha az yorar.

Nginx için basit bir istek sınırlama örneği:

# http bloğuna
limit_req_zone $binary_remote_addr zone=genel:10m rate=10r/s;

# server veya location bloğuna
limit_req zone=genel burst=20 nodelay;

4. Hazırlıklı olun

• Normal trafik seviyenizi bilin; anormalliği ancak böyle fark edersiniz.
• Sunucu izleme (CPU, bant genişliği, bağlantı sayısı) ve uyarı sistemi kurun.
• Saldırı anında kiminle iletişime geçeceğinizi bilin: sağlayıcınızın 7/24 destek kanalını not edin.

Saldırı altındaysanız ne yapmalısınız?

1. Sorunun saldırı mı, yoksa yazılım hatası ya da gerçek trafik artışı mı olduğunu loglardan kontrol edin.
2. Hosting veya sunucu sağlayıcınızın destek ekibine hemen bilgi verin.
3. Cloudflare kullanıyorsanız geçici olarak Under Attack Mode'u açın.
4. Saldırıyı yapan IP aralıkları veya belirli istek kalıpları belirginse güvenlik duvarı kuralı ekleyin.
5. Saldırı bittikten sonra logları inceleyip kalıcı önlemleri uygulayın.

Sonuç

DDoS saldırılarına karşı en etkili koruma; ağ seviyesinde filtreleme, uygulama katmanında WAF/CDN ve sunucu seviyesinde doğru yapılandırmanın birlikte kullanılmasıdır. Katmanlı DDoS korumasının standart olarak geldiği VDS, performans ve dedicated sunucularımızı inceleyebilirsiniz.