DDoS saldırılarının çoğu size düşmanlık beslendiği için gelmez. Sunucunuz korunmasız olduğu ve saldırganın elindeki kaynağı test etmesi ya da bir rakibin küçük bir ödeme yapması yeterli olduğu için gelir.
Kısa cevap: DDoS saldırısı nedir?
DDoS (Dağıtık Hizmet Engelleme), çok sayıda kaynaktan aynı anda sahte trafik göndererek sunucunun kaynaklarını tüketen ve gerçek ziyaretçilerin siteye erişmesini engelleyen bir saldırı türüdür. Amaç veri çalmak değil, hizmeti durdurmaktır. Bu yüzden "hacklenme" ile karıştırılmamalıdır: sisteme girilmez, kapı önü doldurulur. Küçük siteler de hedef olur, çünkü hedef seçimi genellikle değere değil korumasızlığa göre yapılır.
Saldırı tipleri ve hangisi sizi vurur?
| Tip | Nasıl çalışır? | Belirti | Kimi vurur? |
|---|---|---|---|
| Hacimsel | Bant genişliğini doldurur | Site tamamen erişilemez | Bant genişliği sınırlı her site |
| Protokol | Bağlantı tablosunu tüketir | Bağlantı kurulamıyor, zaman aşımı | Sunucu/güvenlik duvarı katmanı |
| Uygulama katmanı | Pahalı sayfaları tekrar tekrar çağırır | Sunucu ayakta ama site çok yavaş | Dinamik siteler, arama/filtre sayfaları |
Küçük ve orta ölçekli işletmeleri en çok zorlayan üçüncüsüdür. Çünkü trafik hacmi düşük olduğu için "saldırı" gibi görünmez; sunucu kaynakları tükenir ama grafiklerde devasa bir sıçrama olmaz. Ekip "site yavaşladı" diye performans arar, oysa sorun kapasite değil kasıtlı yüktür.
Saldırı altında olduğunuzu nasıl anlarsınız?
Aşağıdaki işaretlerin birkaçı bir aradaysa saldırı ihtimali yükselir:
- Trafik arttı ama dönüşüm artmadı. Ziyaretçi sayısı yükselirken sipariş/form sayısı sabitse gelen trafik gerçek olmayabilir.
- Ziyaretlerin kaynağı anlamsız. Ürününüzle ilgisi olmayan ülkelerden ani yoğunluk.
- Aynı sayfa tekrar tekrar çağrılıyor. Özellikle arama, filtre veya sepet gibi sunucuyu yoran sayfalar.
- Sunucu kaynakları dolu ama analitik sakin. Analitik araçları bot trafiğini saymaz; sunucu ise onlara hizmet eder — bu ikisi arasındaki uçurum güçlü bir işarettir.
- Kesinti belirli saatlerde tekrarlıyor. Otomatik saldırılar genellikle düzenli aralıklarla çalışır.
Koruma katmanları: hangisi neyi durdurur?
Tek bir çözüm bütün saldırı tiplerini karşılamaz; koruma katmanlıdır:
- CDN / trafik dağıtımı: Hacimsel saldırıda ilk savunma hattıdır. Trafik, sunucunuza ulaşmadan geniş bir ağda dağıtılır ve emilir.
- WAF (uygulama güvenlik duvarı): Uygulama katmanı saldırılarında etkilidir; zararlı istek desenlerini tanır ve engeller.
- Hız sınırlama (rate limit): Aynı kaynaktan gelen aşırı isteği yavaşlatır. Basit ama en çok işe yarayan önlemlerden biridir.
- Önbellekleme: Sunucuyu yoran dinamik sayfaları statik hâle getirerek saldırının maliyetini düşürür.
- Kaynak esnekliği: Kısa süreli saldırılarda kapasite artırabilmek, sistemin tamamen durmasını önler.
Bu katmanların hiçbiri tek başına yeterli değildir. Örneğin yalnızca kapasite artırmak, uygulama katmanı saldırısında yalnızca daha pahalı bir hedef olmanızı sağlar.
Saldırı anında müdahale kontrol listesi
- Önce doğrulayın: Bu bir saldırı mı, yoksa gerçek bir trafik dalgası mı? (Bir basın haberi de aynı belirtiyi verir.)
- Log kaynaklarını inceleyin: IP dağılımı, istenen sayfalar, kullanıcı ajanı desenleri.
- Hız sınırlama ve filtreleri devreye alın, gerekiyorsa coğrafi kısıtlama uygulayın.
- Sağlayıcınıza haber verin. Ağ seviyesinde alınabilecek önlemler sizin erişiminizin dışındadır.
- Kritik akışları koruyun: Ödeme ve giriş gibi işlemleri öncelikli tutacak şekilde yapılandırın.
- Kayıt tutun. Saldırı sonrası analiz, tekrarını önlemenin tek yoludur.
Netişlem uzman görüşü: "bizi neden hedef alsınlar?"
Bu soruyu çok duyuyoruz ve cevabı genellikle hayal kırıklığı yaratıyor: çoğu saldırıda sizi hedef alan kimse yok. Otomatik araçlar korumasız sistemleri tarıyor, saldırı kapasitesini test ediyor veya çok düşük bedellerle kiralanan hizmetlerle rastgele hedefler vuruluyor.
Sahada gördüğümüz ikinci nokta şu: işletmelerin çoğu saldırıyı, kesinti başladıktan sonra fark ediyor. Oysa uygulama katmanı saldırıları genellikle önce yavaşlama olarak kendini gösteriyor. O aşamada fark edilirse müdahale çok daha düşük maliyetli oluyor — sonrasında ise kriz yönetimine dönüşüyor.
Üçüncüsü, korumanın pahalı sanılması. Oysa küçük ve orta ölçekli siteler için en etkili üç önlem — önbellekleme, hız sınırlama ve CDN — çoğu durumda büyük bir yatırım gerektirmiyor. Asıl maliyet, bunlar kurulmadığında yaşanan kesintide oluşuyor.
Sık sorulan sorular
DDoS ile hacklenmek aynı şey mi?
Hayır. DDoS hizmeti durdurur, veriye erişmez. Hacklenmede ise sisteme yetkisiz erişim vardır. Ancak DDoS bazen dikkat dağıtmak için kullanılır; bu yüzden saldırı sırasında güvenlik loglarının da izlenmesi önerilir.
Hosting paketim beni korur mu?
Sağlayıcılar genellikle ağ seviyesinde temel bir koruma sunar, ancak bu çoğunlukla hacimsel saldırılara yöneliktir. Uygulama katmanı saldırıları için WAF ve hız sınırlama gibi ek katmanlar gerekir. Sözleşmenizde korumanın kapsamının yazılı olması önemlidir.
Saldırı ne kadar sürer?
Dakikalarla günler arasında değişir. Kısa süreli saldırılar genellikle test amaçlıdır ve tekrarlayabilir; bu yüzden kısa bir kesinti sonrası "geçti" diyerek önlem almamak riskli bir tercih olur.
IP adresimi değiştirmek çözer mi?
Geçici rahatlama sağlayabilir ama kalıcı çözüm değildir; yeni adres kısa sürede tespit edilebilir. Kalıcı çözüm, trafiğin sunucuya ulaşmadan filtrelendiği bir katman kullanmaktır.
Küçük bir tanıtım sitesi için de gerekli mi?
Tanıtım sitelerinde risk daha düşüktür, ancak önbellekleme ve temel hız sınırlama zaten hız için de yapılması gereken şeylerdir. Yani ek maliyet üretmeden koruma sağlarlar.
Sonuç
DDoS'a karşı korunmanın temeli pahalı bir ürün değil, katmanlı bir kurgudur: önbellek, hız sınırlama, CDN ve gerektiğinde WAF. Bu katmanlar aynı zamanda sitenizi normal günlerde de hızlandırır — yani yatırım yalnızca saldırı anında değer üretmez.
Mevcut koruma seviyenizi birlikte değerlendirmemizi isterseniz bize ulaşın. DDoS koruma, WAF ve CDN çözümlerimizi inceleyebilirsiniz.