# DDoS Koruması Nasıl Çalışır? Firewall, WAF, CDN, Anti-DDoS ve Scrubbing Center

**URL:** https://securesys.com.tr/tr/bilgi-merkezi/ddos-simulasyonu/ddos-korumasi-nasil-calisir-waf-cdn-scrubbing

![DDoS Koruması Nasıl Çalışır? Firewall, WAF, CDN, Anti-DDoS ve Scrubbing Center](/images/bilgi-merkezi/covers/cover-ddos-07.webp)

DDoS saldırılarına karşı korunmak için tek bir güvenlik ürününe güvenmek çoğu zaman yeterli değildir.

Çünkü DDoS saldırıları farklı katmanları hedefleyebilir.

Bir saldırı internet hattını doldurabilir.

Başka bir saldırı firewall üzerindeki session table'ı tüketebilir.

Bir diğeri web uygulamasının login veya API servislerini hedefleyebilir.

Bu nedenle etkili bir **DDoS Protection – DDoS Koruma** mimarisi katmanlı olmalıdır.

Kurumsal yapılarda DDoS savunması genellikle şu bileşenlerin birlikte çalışmasıyla oluşturulur:

- Firewall
- Anti-DDoS
- Scrubbing Center
- CDN
- WAF
- Bot Management
- Rate Limiting
- DNS Protection
- NDR
- SIEM ve SOC

Buradaki temel yaklaşım şudur:

**Saldırı trafiğini mümkün olduğunca erken tespit etmek, mümkün olduğunca dış katmanda filtrelemek ve meşru kullanıcıların hizmet almaya devam etmesini sağlamak.**

Bu nedenle DDoS koruması bir cihazdan çok bir **DDoS Mitigation Architecture – DDoS Azaltma Mimarisi** olarak ele alınmalıdır.

#### DDoS Koruması Nedir?

**DDoS Protection**, bir sistemin Distributed Denial of Service saldırıları altında erişilebilirliğini korumak için kullanılan teknik ve operasyonel kontrollerin bütünüdür.

Amaç yalnızca saldırı trafiğini engellemek değildir.

Asıl hedef;

- hizmet erişilebilirliğini sürdürmek,
- saldırı etkisini sınırlandırmak,
- gerçek kullanıcıları korumak,
- kritik servisleri önceliklendirmek,
- saldırıyı hızlı tespit etmek,
- saldırı sonrasında hızlı toparlanmak

olmalıdır.

Bu nedenle DDoS koruması doğrudan **Cyber Resilience – Siber Dayanıklılık** kavramıyla ilişkilidir.

### DDoS Protection ile DDoS Mitigation Arasındaki Fark Nedir?

Bu iki kavram çoğu zaman birbirinin yerine kullanılır.

Ancak küçük bir ayrım yapılabilir.

#### DDoS Protection

DDoS saldırılarına karşı kullanılan bütün güvenlik mimarisini ifade eder.

#### DDoS Mitigation

Saldırı başladıktan sonra saldırı trafiğinin etkisini azaltmaya veya ortadan kaldırmaya yönelik aktif müdahale sürecidir.

Örneğin;

Anti-DDoS hizmeti kullanmak protection stratejisinin bir parçasıdır.

Saldırı sırasında trafiğin Scrubbing Center'a yönlendirilmesi ise mitigation faaliyetidir.

### DDoS Koruma Mimarisi Nasıl Olmalıdır?

Genel bir kurumsal DDoS savunma mimarisi şu şekilde düşünülebilir:

#### Internet

↓

#### ISP / Upstream Protection

↓

#### Anti-DDoS / Scrubbing Center

↓

#### CDN / Edge Security

↓

#### Firewall

↓

#### WAF / Bot Protection / Rate Limiting

↓

#### Load Balancer

↓

#### Application / API

↓

#### Database / Backend

Bu zincirde her katman farklı saldırı türlerine karşı görev alır.

Volumetric saldırılar mümkün olduğunca upstream seviyede durdurulmalıdır.

Layer 7 saldırılar ise uygulamaya daha yakın katmanlarda analiz edilmelidir.

### Firewall DDoS Korumasında Ne İşe Yarar?

Firewall, network güvenliğinin temel bileşenlerinden biridir.

DDoS açısından firewall;

IP filtering,

protocol filtering,

connection limiting,

SYN protection,

rate limiting,

session control

gibi mekanizmalar sağlayabilir.

Örneğin belirli bir kaynaktan anormal miktarda bağlantı geliyorsa firewall bunu sınırlandırabilir.

Ancak önemli bir sınır vardır:

**Firewall'a ulaşan trafik, kurumun internet hattını zaten geçmiş demektir.**

Eğer saldırı internet hattının kapasitesini tüketiyorsa firewall saldırıyı engellese bile kullanıcı yine hizmete ulaşamayabilir.

Bu nedenle firewall, özellikle volumetric DDoS saldırılarında tek başına yeterli değildir.

### Firewall DDoS Saldırısında Kendisi Hedef Haline Gelebilir mi?

Evet.

Stateful firewall'lar aktif bağlantılar için session bilgisi tutar.

Yoğun saldırı sırasında;

session table,

NAT table,

CPU,

memory,

packet processing

kaynakları tüketilebilir.

Bu durumda firewall güvenlik kontrolü olmaktan çıkıp darboğaz haline gelebilir.

Bu nedenle DDoS kapasitesi değerlendirilirken firewall'un sadece throughput değeri değil;

PPS,

CPS,

concurrent session,

CPU,

memory

kapasitesi de incelenmelidir.

### Stateful Firewall ile Stateless Filtering Arasındaki Fark

**Stateful Firewall**, bağlantının durumunu takip eder.

Örneğin TCP session'ın hangi aşamada olduğunu bilir.

**Stateless Filtering** ise paketleri bağlantı durumunu takip etmeden belirli kriterlere göre filtreleyebilir.

Yüksek hacimli saldırılarda state takibi ek kaynak tüketebilir.

Bu nedenle bazı DDoS mitigation altyapılarında saldırı trafiğinin mümkün olduğunca erken ve düşük maliyetli filtrelerle engellenmesi tercih edilir.

### WAF DDoS Korumasında Ne İşe Yarar?

**Web Application Firewall – WAF**, özellikle **Layer 7 DDoS** saldırılarına karşı önemli bir savunma katmanıdır.

WAF HTTP ve HTTPS trafiğini uygulama seviyesinde inceleyebilir.

Örneğin;

URL,

HTTP method,

header,

cookie,

session,

request frequency,

client behavior

gibi bilgileri analiz edebilir.

Bu sayede;

HTTP Flood,

login abuse,

API request flood,

bot traffic

gibi davranışları tespit etmeye yardımcı olabilir.

### WAF ile Firewall Arasındaki Fark Nedir?

Firewall daha çok network ve transport layer seviyesinde çalışır.

WAF ise web uygulaması trafiğini analiz eder.

Basit olarak:

#### Firewall: Kim bağlanabilir?

#### WAF: Gelen HTTP isteği ne yapmaya çalışıyor?

Bu nedenle ikisi birbirinin alternatifi değildir.

DDoS koruma mimarisinde farklı görevleri vardır.

### WAF Layer 3/4 DDoS'u Durdurabilir mi?

Genellikle tek başına hayır.

Örneğin kurumun internet bağlantısı 2 Gbps ise ve 20 Gbps UDP saldırısı geliyorsa trafik WAF'a ulaşmadan önce upstream bağlantıyı tüketebilir.

Bu durumda WAF'ın Layer 7 analiz kabiliyeti işe yaramaz.

Bu nedenle yüksek hacimli DDoS saldırılarında:

#### Upstream Anti-DDoS + Scrubbing

gibi mekanizmalar gerekir.

WAF daha çok uygulama katmanı saldırılarında devreye girer.

### CDN DDoS Korumasında Nasıl Çalışır?

**Content Delivery Network – CDN**, web içeriğini dağıtık edge noktaları üzerinden kullanıcıya ulaştırır.

Bu yapı DDoS dayanıklılığı açısından birkaç avantaj sağlar.

Birincisi trafik tek bir data center üzerinde toplanmaz.

İkincisi cache edilebilir içerikler origin sunucuya ulaşmadan edge üzerinde cevaplanabilir.

Üçüncüsü büyük CDN platformları çok geniş network kapasitesine sahip olabilir.

Bu nedenle CDN özellikle web tabanlı servislerde DDoS etkisini azaltabilir.

### CDN Her DDoS Saldırısını Engeller mi?

Hayır.

CDN sadece CDN üzerinden geçen trafik için koruma sağlar.

Eğer saldırgan;

origin IP,

VPN,

mail server,

DNS,

API'nin farklı endpoint'i

gibi CDN dışında kalan servislere ulaşabiliyorsa saldırı devam edebilir.

Bu nedenle CDN kullanırken en önemli güvenlik konularından biri **Origin Protection**'dır.

### Origin Protection Nedir?

**Origin Server**, web uygulamasının gerçek backend sunucusudur.

CDN önünde çalışıyorsa kullanıcıların doğrudan origin'e erişmemesi tercih edilir.

Örneğin origin yalnızca CDN'in IP bloklarından gelen trafiği kabul edebilir.

Böylece saldırgan CDN'i bypass ederek doğrudan sunucuya ulaşamaz.

Eğer origin IP internette açık şekilde bulunabiliyorsa CDN koruması büyük ölçüde etkisiz hale gelebilir.

Bu nedenle DDoS güvenliğinde:

#### Origin IP Exposure

önemli bir risk alanıdır.

### Origin IP Nasıl Açığa Çıkabilir?

Origin IP farklı nedenlerle dışarıdan görülebilir.

Örneğin;

eski DNS kayıtları,

mail servisleri,

subdomain'ler,

SSL sertifika geçmişi,

eski hosting kayıtları,

aynı IP üzerinde başka servisler

origin adresi hakkında ipucu verebilir.

Bu nedenle CDN geçişinden sonra yalnızca DNS değiştirmek yeterli değildir.

Geçmiş saldırı yüzeyi de değerlendirilmelidir.

### Anti-DDoS Nedir?

**Anti-DDoS**, DDoS saldırılarını tespit etmek ve kötü amaçlı trafiği filtrelemek için kullanılan özel güvenlik çözümlerinin genel adıdır.

Anti-DDoS platformları;

traffic anomaly detection,

signature,

behavior analysis,

rate analysis,

protocol validation,

traffic filtering

gibi mekanizmalar kullanabilir.

Anti-DDoS çözümleri;

on-premise,

cloud-based,

hybrid

mimarilerde uygulanabilir.

### On-Premise Anti-DDoS Nedir?

**On-Premise Anti-DDoS**, kurumun kendi data center veya network edge noktasında çalışan koruma sistemidir.

Avantajları;

düşük latency,

yerel trafik üzerinde detaylı görünürlük,

hızlı detection

olabilir.

Ancak kritik bir dezavantaj vardır.

Saldırı kurumun internet hattını dolduruyorsa trafik on-premise Anti-DDoS sistemine ulaşmadan önce bağlantıyı tüketmiş olabilir.

Bu nedenle on-premise koruma özellikle düşük ve orta hacimli saldırılar için etkili olabilirken yüksek volumetric saldırılarda cloud scrubbing ile birlikte kullanılması gerekebilir.

### Cloud Anti-DDoS Nedir?

**Cloud-Based Anti-DDoS**, saldırı trafiğinin geniş kapasiteli cloud veya servis sağlayıcı altyapısında filtrelenmesini sağlar.

Avantajı saldırı trafiğinin kurumun kendi internet hattına ulaşmadan temizlenebilmesidir.

Bu yaklaşım özellikle;

volumetric attack,

large-scale botnet,

reflection/amplification

saldırıları açısından önemlidir.

### Hybrid DDoS Protection Nedir?

**Hybrid DDoS Protection**, on-premise ve cloud Anti-DDoS sistemlerinin birlikte kullanılmasıdır.

Normal durumda on-premise sistem;

düşük hacimli saldırıları,

application anomalies,

lokal trafik davranışlarını

tespit edebilir.

Saldırı kapasitesi yükseldiğinde trafik cloud Scrubbing Center'a yönlendirilebilir.

Bu model iki yaklaşımın avantajlarını birleştirmeyi amaçlar.

### Scrubbing Center Nedir?

**Scrubbing Center**, saldırı trafiğini analiz ederek kötü amaçlı paketleri temizleyen ve yalnızca meşru trafiği hedef sisteme ileten yüksek kapasiteli altyapıdır.

Temel çalışma modeli şöyledir:

#### Internet Traffic

↓

#### Scrubbing Center

↓

**Attack Traffic → Drop**

**Legitimate Traffic → Clean Traffic**

↓

#### Customer Infrastructure

Bu nedenle Scrubbing Center özellikle volumetric DDoS saldırılarında kritik rol oynar.

### Scrubbing Center Nasıl Devreye Girer?

Mimariye göre farklı yöntemler kullanılabilir.

Örneğin;

BGP route advertisement,

traffic diversion,

DNS routing,

proxy architecture

üzerinden trafik Scrubbing Center'a yönlendirilebilir.

Burada en kritik metriklerden biri:

#### Time to Mitigate – TTM

değeridir.

Saldırı başladıktan sonra trafiğin temizlenmeye başlaması ne kadar sürüyor?

### Traffic Scrubbing Ne Demektir?

**Traffic Scrubbing**, saldırı trafiği ile meşru trafiğin birbirinden ayrılması sürecidir.

Örneğin sistem;

packet characteristics,

source behavior,

protocol compliance,

rate,

reputation,

known attack signature

gibi özellikleri analiz edebilir.

Amaç sadece yüksek trafiği kesmek değildir.

Gerçek kullanıcıların bağlantılarının korunması gerekir.

### False Positive Scrubbing'de Neden Kritiktir?

Bir Anti-DDoS platformu saldırı trafiğinin tamamını engelleyebilir.

Ancak gerçek kullanıcıların önemli bölümünü de engelliyorsa başarılı değildir.

Örneğin;

mobil operatör NAT IP'leri,

kurumsal proxy kullanıcıları,

yüksek trafik oluşturan gerçek API müşterileri

yanlışlıkla saldırgan olarak sınıflandırılabilir.

Bu nedenle mitigation başarısı:

#### Attack Block Rate

ile birlikte

#### Legitimate Traffic Success Rate

üzerinden değerlendirilmelidir.

### Always-On DDoS Protection Nedir?

**Always-On DDoS Protection** modelinde trafik sürekli olarak DDoS koruma altyapısından geçebilir veya sürekli analiz edilebilir.

Avantajı saldırı başladığında ek route değişikliği beklenmemesidir.

Mitigation daha hızlı gerçekleşebilir.

Özellikle çok kritik ve sürekli erişilebilir olması gereken servislerde tercih edilebilir.

### On-Demand DDoS Protection Nedir?

**On-Demand DDoS Protection** modelinde trafik normal şartlarda doğrudan kurumun altyapısına ulaşır.

Saldırı tespit edildiğinde trafik Scrubbing Center'a yönlendirilir.

Bu yaklaşım;

daha düşük normal operasyon maliyeti,

farklı routing yapısı

avantajları sunabilir.

Ancak saldırı sırasında detection ve diversion süresi kritik hale gelir.

### Always-On ile On-Demand Arasındaki Fark

Temel fark mitigation'ın ne kadar hızlı devreye girdiğidir.

#### Always-On

Trafik zaten koruma altyapısındadır.

#### On-Demand

Saldırı sonrası trafik yönlendirilir.

Kurum seçim yaparken;

kritiklik,

latency,

maliyet,

network mimarisi,

RTO

gibi faktörleri değerlendirmelidir.

### BGP DDoS Mitigation'da Nasıl Kullanılır?

**Border Gateway Protocol – BGP**, internet üzerindeki routing sisteminin temel protokollerinden biridir.

Cloud-based scrubbing hizmetlerinde kurumun IP prefix'leri belirli durumlarda DDoS sağlayıcısı üzerinden advertise edilebilir.

Böylece internet trafiği önce Scrubbing Center'a gider.

Temiz trafik daha sonra kuruma iletilir.

Bu mimari yüksek hacimli DDoS saldırılarında kritik olabilir.

### GRE Tunnel DDoS Korumasında Ne İşe Yarar?

Bazı Scrubbing Center mimarilerinde temizlenen trafik kuruma **GRE Tunnel** üzerinden iletilebilir.

Genel akış:

Internet

↓

Scrubbing Center

↓

Traffic Cleaning

↓

GRE Tunnel

↓

Customer Network

şeklinde olabilir.

Bu yaklaşım özellikle on-demand cloud DDoS servislerinde görülebilir.

### Anycast DDoS Savunmasında Neden Güçlüdür?

**Anycast** mimarisinde aynı IP adresi farklı coğrafi lokasyonlardan duyurulabilir.

Trafik farklı edge noktalarına dağıtılabilir.

DDoS saldırısında tek bir data center'ın tüm trafiği alması yerine saldırı global altyapıya yayılabilir.

Bu nedenle büyük CDN ve Anti-DDoS platformlarında Anycast önemli bir mimari avantajdır.

Ancak Anycast kötü trafiği kendiliğinden temizlemez.

Dağıtık kapasite ve routing avantajı sağlar.

### DNS DDoS Protection Nasıl Sağlanır?

DNS kritik bir availability bileşenidir.

Web sunucusu tamamen sağlıklı olabilir.

Ancak kullanıcı domain'i çözemiyorsa servise ulaşamaz.

Bu nedenle DNS için;

Anycast DNS,

multiple authoritative servers,

geo-distributed infrastructure,

rate limiting,

DNS-specific DDoS protection

kullanılabilir.

Tek noktadaki authoritative DNS yapısı availability açısından risk oluşturabilir.

### Secondary DNS Neden Önemlidir?

Tek bir DNS sağlayıcısına bağımlılık belirli riskler oluşturabilir.

Bazı kurumlar secondary DNS veya multi-provider DNS kullanabilir.

Amaç bir DNS altyapısı erişilemez hale geldiğinde diğerinin hizmet vermeye devam etmesidir.

Bu yaklaşım DDoS resilience ve genel availability açısından değerlidir.

### Bot Management DDoS Korumasında Neden Önemlidir?

Volumetric saldırılarda trafik daha kolay anormal görünebilir.

Layer 7 DDoS'ta ise botlar gerçek browser gibi davranabilir.

Bu nedenle **Bot Management** özellikle HTTP Flood ve API abuse için önemlidir.

Bot Management;

client behavior,

browser fingerprint,

TLS özellikleri,

session,

JavaScript execution,

request pattern

gibi sinyalleri analiz edebilir.

### Good Bot ile Bad Bot Arasındaki Fark

Botların tamamı kötü değildir.

Örneğin;

Googlebot,

monitoring systems,

partner integrations

meşru olabilir.

Kötü botlar ise;

credential stuffing,

scraping,

DDoS,

fraud

amacıyla kullanılabilir.

Bu nedenle bot management'ın amacı her otomatik trafiği engellemek değil, **istenmeyen otomasyonu ayırmaktır.**

### Rate Limiting DDoS Korumasında Nasıl Kullanılır?

**Rate Limiting**, belirli bir kaynağın veya kullanıcının belirli sürede yapabileceği işlem sayısını sınırlar.

Örneğin;

bir IP → 100 request/minute

bir kullanıcı → 10 login/minute

bir API key → 1.000 request/minute

şeklinde limitler uygulanabilir.

Özellikle Layer 7 ve API DDoS saldırılarında etkilidir.

### IP Rate Limiting Neden Tek Başına Yeterli Değildir?

Dağıtık saldırıda binlerce farklı IP olabilir.

Her IP saniyede yalnızca birkaç request gönderirse IP başına limit aşılmayabilir.

Ancak toplam trafik uygulamayı yine tüketebilir.

Bu nedenle;

IP,

session,

user,

device,

API token,

behavior

birlikte değerlendirilmelidir.

### Adaptive Rate Limiting Nedir?

**Adaptive Rate Limiting**, sabit sınırlar yerine trafik davranışına göre dinamik eşikler uygular.

Örneğin sistem;

normal RPS,

mevsimsel trafik,

kullanıcı davranışı

üzerinden threshold belirleyebilir.

Bu yaklaşım gerçek kampanya yoğunluğu ile saldırı trafiğini ayırmaya yardımcı olabilir.

### Challenge Mekanizmaları Nasıl Çalışır?

Şüpheli istemcilere ek doğrulama uygulanabilir.

Örneğin;

JavaScript challenge,

CAPTCHA,

browser validation

kullanılabilir.

Ama her trafik türünde uygun değildir.

Örneğin API istemcileri browser challenge tamamlayamayabilir.

Bu nedenle challenge mekanizmaları servis tipine göre uygulanmalıdır.

### API Gateway DDoS Korumasında Ne İşe Yarar?

API Gateway;

authentication,

rate limiting,

quota,

request validation,

routing

işlevleri sağlayabilir.

DDoS açısından özellikle;

per-client rate limit,

API key quota,

request size limit,

concurrency limit

değerlidir.

Ancak API Gateway'in kendisinin de kapasite sınırı vardır.

Bu nedenle test edilmelidir.

### Load Balancer DDoS Protection Sağlar mı?

Load balancer trafiği farklı backend sistemlere dağıtır.

Bu sayede tek sunucunun yük altında kalması önlenebilir.

Ancak load balancer bir saldırı filtreleme sistemi değildir.

Kendi;

CPS,

connection,

throughput,

TLS processing

limitleri bulunur.

Bu nedenle DDoS mimarisinde load balancer destekleyici availability bileşenidir.

### Autoscaling DDoS Koruması mıdır?

Autoscaling yoğun trafik altında yeni kaynakların devreye alınmasını sağlar.

Bu sistemin erişilebilir kalmasına yardımcı olabilir.

Ancak saldırganın trafik üretmesi devam ederse cloud kaynakları da sürekli büyüyebilir.

Bu nedenle autoscaling:

**Resilience mekanizmasıdır.**

Tek başına:

**Security filtering mekanizması değildir.**

### EDoS Neden Önemlidir?

**Economic Denial of Sustainability – EDoS**, cloud servislerinde saldırganın uygulamayı tamamen çökertmek yerine maliyeti artırmasını hedefleyen risk modelidir.

Örneğin sistem saldırı altında otomatik scale olur.

Servis ayakta kalır.

Ancak yüzlerce yeni instance çalışmaya başlar.

Bu nedenle cloud DDoS korumasında;

budget alerts,

maximum scaling limits,

rate limits,

WAF policies

de önemlidir.

### NDR DDoS Koruma Mimarisi İçinde Nerede Kullanılır?

**Network Detection and Response – NDR**, network davranışını analiz eder.

DDoS sırasında;

bandwidth anomaly,

PPS anomaly,

protocol distribution,

source diversity,

flow behavior

gibi veriler değerlendirilebilir.

NDR özellikle saldırıyı anlamak ve network visibility sağlamak açısından değerlidir.

### SIEM DDoS Savunmasında Ne İşe Yarar?

SIEM saldırıyı doğrudan engellemek yerine farklı güvenlik kontrollerinden gelen olayları ilişkilendirir.

Örneğin:

Anti-DDoS alarmı

Firewall CPU artışı

WAF HTTP Flood alarmı

Application 503 hataları

aynı saldırının parçaları olabilir.

SIEM bunları tek incident altında birleştirebilir.

### SOC DDoS Saldırısında Ne Yapar?

SOC'un görevi sadece alarmı görmek değildir.

DDoS Incident Response sürecinde SOC;

alarmı doğrular,

saldırı tipini sınıflandırır,

etkilenen servisleri belirler,

Network ekibini bilgilendirir,

Anti-DDoS sağlayıcısı ile koordinasyon sağlar,

SIEM üzerinden diğer saldırı belirtilerini araştırır,

olayın başka saldırılarla ilişkili olup olmadığını kontrol eder.

Bu nedenle DDoS, sadece network operasyonu değildir.

### DDoS Saldırısı Dikkat Dağıtma Amaçlı Kullanılabilir mi?

Evet.

Bazı saldırılar güvenlik ekiplerinin dikkatini erişilebilirlik problemine çekmek amacıyla gerçekleştirilebilir.

Aynı sırada başka bir güvenlik olayı yaşanıyor olabilir.

Örneğin;

credential compromise,

data exfiltration,

unauthorized access

gibi aktiviteler ayrıca araştırılmalıdır.

Bu nedenle DDoS sırasında SOC'un diğer güvenlik telemetry'sini tamamen göz ardı etmemesi gerekir.

### DDoS Mitigation Playbook Nedir?

DDoS saldırısı sırasında yapılacak işlemlerin önceden tanımlandığı dokümana **DDoS Mitigation Playbook** denilebilir.

Örneğin:

#### \1. Detection

Saldırı doğrulanır.

#### \2. Classification

Volumetric, L3/L4 veya L7 ayrımı yapılır.

#### \3. Escalation

Network ve uygulama ekipleri bilgilendirilir.

#### \4. Mitigation

Scrubbing, WAF rule veya rate limit devreye alınır.

#### \5. Monitoring

Gerçek kullanıcı erişimi kontrol edilir.

#### \6. Recovery

Sistem normal duruma döndürülür.

#### \7. Post-Incident Review

Olay analiz edilir.

Bu süreç müdahale süresini azaltabilir.

### DDoS Protection Test Edilmeli mi?

Kesinlikle.

Bir kurumun;

Anti-DDoS aboneliği,

CDN,

WAF,

Scrubbing Center

kullanıyor olması sistemin gerçek saldırıda çalışacağını garanti etmez.

Yanlış route olabilir.

Threshold yüksek olabilir.

Origin açık olabilir.

WAF yanlış tune edilmiş olabilir.

SOC alarmı görmüyor olabilir.

Bu nedenle kontrollü **DDoS saldırı simülasyonu** ile savunma zinciri doğrulanmalıdır.

### DDoS Protection Testinde Ne Ölçülmelidir?

Örneğin;

#### Detection Time

Saldırı ne kadar sürede fark edildi?

#### Time to Mitigate

Filtreleme ne kadar sürede başladı?

#### Attack Traffic Block Rate

Kötü trafik ne oranda engellendi?

#### Legitimate Traffic Success Rate

Gerçek kullanıcıların ne kadarı hizmet almaya devam etti?

#### Application Response Time

Saldırı altında servis performansı ne oldu?

#### False Positive Rate

Kaç gerçek kullanıcı yanlış engellendi?

#### Recovery Time

Sistem ne kadar sürede normal duruma döndü?

Bu metrikler DDoS savunmasının gerçek etkinliğini gösterir.

### Anti-DDoS Kapasitesi Nasıl Değerlendirilmelidir?

Sadece:

**“1 Tbps koruma sağlıyor.”**

ifadesine bakmak yeterli değildir.

Ayrıca şu sorular sorulmalıdır:

#### PPS kapasitesi nedir?

#### CPS kapasitesi nedir?

#### Layer 7 koruma sağlıyor mu?

#### DNS koruması var mı?

#### Scrubbing lokasyonları nerede?

#### Time to Mitigate nedir?

#### Always-On seçeneği var mı?

#### API ve portal görünürlüğü sağlıyor mu?

#### SOC entegrasyonu var mı?

Bu sorular hizmetin gerçek kapsamını gösterir.

### DDoS Korumasında Vendor Seçerken Nelere Bakılmalıdır?

Tek kriter saldırı kapasitesi olmamalıdır.

Kurum;

global network capacity,

scrubbing location,

local peering,

latency,

L3/L4 protection,

Layer 7 protection,

WAF integration,

Bot Management,

DNS protection,

reporting,

SLA,

SOC support

gibi özellikleri değerlendirebilir.

Özellikle kurumun kullanıcı kitlesinin bulunduğu coğrafyaya yakın scrubbing ve edge noktaları latency açısından önemli olabilir.

### Managed DDoS Protection Nedir?

Bazı kurumlar DDoS sistemlerini kendi ekipleriyle yönetmek yerine **Managed DDoS Protection Service** kullanabilir.

Bu modelde servis sağlayıcı;

monitoring,

attack analysis,

mitigation,

incident support,

reporting

gibi süreçleri yönetebilir.

Özellikle 7/24 network security ekibi bulunmayan kurumlar için değerli olabilir.

Ancak sorumluluk ve escalation süreçleri SLA içerisinde net tanımlanmalıdır.

### DDoS SLA Nasıl Olmalıdır?

DDoS hizmetinde SLA yalnızca uptime taahhüdü olmamalıdır.

Örneğin;

detection time,

mitigation time,

support response time,

scrubbing availability,

attack notification

gibi metrikler de tanımlanabilir.

Özellikle kritik servislerde **Time to Mitigate SLA** önemli bir kriterdir.

### Multi-Layer DDoS Protection Nedir?

En güçlü DDoS savunması tek bir katmana bağlı değildir.

Örneğin:

#### L3/L4

Anti-DDoS / Scrubbing.

#### Layer 7

WAF / Bot Management / Rate Limiting.

#### Content

CDN / Cache.

#### DNS

Anycast DNS / Secondary DNS.

#### Infrastructure

Firewall / Load Balancer.

#### Operations

SOC / SIEM / Incident Response.

Bu yapı **Defense in Depth – Katmanlı Savunma** yaklaşımıdır.

### Defense in Depth DDoS İçin Neden Önemlidir?

Bir savunma katmanı başarısız olabilir.

Örneğin saldırı CDN'i geçebilir.

WAF bunu yakalayabilir.

WAF'ı aşarsa application rate limiting devreye girebilir.

Böylece tek bir kontrolün başarısız olması tüm sistemi savunmasız bırakmaz.

DDoS güvenliğinde katmanlı savunmanın temel değeri budur.

### DDoS Korumasında Zero Trust Kullanılır mı?

Zero Trust doğrudan DDoS mitigation teknolojisi değildir.

Ancak kimlik doğrulamalı uygulamalarda;

authenticated access,

device trust,

identity-based controls

ile anonim saldırı yüzeyi azaltılabilir.

Özellikle yönetim panelleri ve kritik uygulamaların genel internete açık tutulmaması DDoS ve abuse riskini azaltabilir.

### DDoS Protection ile Business Continuity Arasındaki İlişki

DDoS koruma teknolojilerinin nihai amacı teknik olarak “paket engellemek” değildir.

Amaç iş hizmetini sürdürmektir.

Örneğin e-ticaret platformu saldırı altında olsa bile;

login,

shopping cart,

payment

servislerinin erişilebilir kalması gerekir.

Bu nedenle DDoS protection kararları iş öncelikleriyle birlikte verilmelidir.

### Kritik Servis Önceliklendirmesi Nasıl Yapılır?

Bütün servislerin aynı seviyede korunması gerekmez.

Örneğin saldırı sırasında;

marketing site,

blog,

raporlama sistemi

geçici olarak sınırlandırılabilir.

Ancak;

payment API,

customer login,

transaction service

korunabilir.

Bu yaklaşım **Graceful Degradation ve Load Shedding** mekanizmalarıyla birlikte kullanılabilir.

### DDoS Korumasının Başarısı Nasıl Ölçülür?

Başarı sadece:

**“Saldırıyı engelledik.”**

değildir.

Asıl başarı:

**“Saldırı sırasında gerçek kullanıcılarımız hizmet almaya devam etti.”**

sonucudur.

Bu nedenle en kritik metriklerden biri **Service Availability Under Attack** olabilir.

Teknik olarak DDoS mitigation çalışıyor olsa bile kullanıcı deneyimi bozuluyorsa savunma geliştirilmelidir.

### Kurumsal DDoS Protection Checklist

Bir kurum DDoS hazırlık seviyesini değerlendirirken şu sorulara cevap verebilir:

- Kritik internet servisleri belirlendi mi?
- Origin IP'ler korunuyor mu?
- Volumetric Anti-DDoS var mı?
- L3/L4 koruması bulunuyor mu?
- Layer 7 WAF koruması var mı?
- Bot Management uygulanıyor mu?
- API rate limiting aktif mi?
- DNS redundant mı?
- Scrubbing Center erişimi var mı?
- Always-On veya On-Demand modeli belli mi?
- SOC alarm entegrasyonu yapıldı mı?
- DDoS Playbook hazır mı?
- ISP iletişim süreci belli mi?
- DDoS dayanıklılık testi yapıldı mı?
- Recovery planı doğrulandı mı?

Bu soruların herhangi birine “hayır” cevabı verilmesi mutlaka zafiyet anlamına gelmez.

Ancak değerlendirilmesi gereken bir risk alanını gösterebilir.

### Sonuç: DDoS Koruması Tek Bir Cihaz Değildir

DDoS saldırılarının farklı katmanları hedeflemesi nedeniyle tek bir güvenlik teknolojisinin bütün senaryoları çözmesi mümkün değildir.

Firewall network güvenliği sağlar.

WAF web uygulaması trafiğini analiz eder.

CDN yükü dağıtır.

Anti-DDoS volumetric ve protocol saldırılarını filtreler.

Scrubbing Center saldırı trafiğini kurumun hattına ulaşmadan temizler.

Bot Management otomasyon davranışlarını ayırır.

Rate Limiting kaynak tüketimini sınırlar.

DNS Protection kritik isim çözümleme altyapısını korur.

SOC ve SIEM ise bütün bu sistemlerden gelen sinyalleri bir araya getirir.

Bu nedenle kurumsal DDoS savunması şu denklemle düşünülmelidir:

**DDoS Protection = Network Capacity + Traffic Filtering + Application Protection + Visibility + Incident Response + Recovery**

Ve en önemli nokta:

**Bu zincirin tamamı test edilmelidir.**

Çünkü kurumun 1 Tbps Anti-DDoS hizmeti olabilir.

Ama origin IP açıksa saldırgan doğrudan sisteme gidebilir.

WAF güçlü olabilir.

Ama DNS tek noktadaysa kullanıcı hizmete ulaşamayabilir.

Firewall güçlü olabilir.

Ama upstream hat 1 Gbps ise volumetric saldırıda hat doygunluğa ulaşabilir.

Bu nedenle DDoS güvenliği ürün bazlı değil, **uçtan uca mimari ve iş sürekliliği** üzerinden değerlendirilmelidir.

Ancak günümüzde birçok kurum klasik data center mimarisinden cloud ortamlarına geçiyor.

Azure, AWS, Google Cloud ve SaaS tabanlı yapılar yaygınlaşıyor.

Bu durum şu soruyu ortaya çıkarıyor:

#### Cloud'a geçmek DDoS problemini çözer mi?

Cevap her zaman evet değildir.

Cloud altyapıları yüksek ölçeklenebilirlik sağlar ancak;

API,

public IP,

load balancer,

autoscaling,

cloud cost

gibi yeni risk alanları oluşturabilir.