DDoS Saldırı Türleri Nelerdir? Volumetric, Protocol ve Application Layer DDoS Saldırıları

Bir DDoS saldırısında milyonlarca paket gönderilebilir.

Başka bir saldırıda ise çok daha düşük trafik hacmiyle uygulama kullanılamaz hale gelebilir.

Bir saldırı internet hattını doldururken başka bir saldırı firewall üzerindeki bağlantı tablosunu tüketebilir.

Bir diğeri doğrudan web uygulamasının login, arama veya API servislerini hedefleyebilir.

Bu nedenle:

“DDoS saldırısı aldık.”

ifadesi teknik açıdan tek başına yeterli değildir.

Asıl sorulması gereken şudur:

Hangi tür DDoS saldırısıyla karşı karşıyayız ve saldırı altyapının hangi katmanını hedefliyor?

Kurumsal DDoS güvenliğinde saldırıların doğru sınıflandırılması son derece önemlidir. Çünkü Volumetric DDoS, Protocol DDoS ve Application Layer DDoS saldırıları farklı kaynakları hedefler ve farklı savunma mekanizmaları gerektirebilir.

Genel olarak DDoS saldırıları üç temel kategoride incelenebilir:

Volumetric Attacks – Hacimsel Saldırılar

Protocol Attacks – Protokol Saldırıları

Application Layer Attacks – Uygulama Katmanı Saldırıları

Bunlara ek olarak Reflection, Amplification, Multi-Vector DDoS, DNS Flood ve botnet tabanlı saldırılar modern DDoS tehdit ortamını daha karmaşık hale getirir.

Kurum açısından önemli olan sadece saldırı trafiğinin büyüklüğü değildir.

Saldırının hangi kaynağı tükettiği ve hizmeti hangi noktadan kesintiye uğratabildiği daha önemlidir.

DDoS Saldırı Türleri Nelerdir?

DDoS saldırıları kullanılan yönteme ve hedeflenen kaynağa göre farklı kategorilere ayrılır.

En yaygın sınıflandırma şöyledir:

Volumetric DDoS

Hedefin veya internet servis sağlayıcısının bant genişliğini tüketmeye çalışır.

Protocol DDoS

Firewall, load balancer, network stack veya bağlantı tabloları gibi altyapı kaynaklarını hedefler.

Application Layer DDoS

Web uygulaması, API, DNS veya uygulama servislerinin işlem kapasitesini tüketmeye çalışır.

Bu saldırılar OSI modeli açısından da değerlendirilebilir.

Özellikle;

Layer 3 – Network Layer

Layer 4 – Transport Layer

Layer 7 – Application Layer

DDoS güvenliğinde sık kullanılan kavramlardır.

Ancak saldırıların her zaman tek bir kategori içerisinde kalması gerekmez.

Modern saldırılarda birden fazla DDoS vektörü aynı anda kullanılabilir.

Bu yaklaşım Multi-Vector DDoS Attack olarak adlandırılır.

Volumetric DDoS Saldırısı Nedir?

Volumetric DDoS Attack, hedef sistemin veya bağlantının kullanılabilir bant genişliğini yüksek miktarda trafik oluşturarak tüketmeyi amaçlayan saldırı türüdür.

Bu saldırılarda temel amaç genellikle hedef sistemin işlemcisini değil, network kapasitesini tüketmektir.

Örneğin kurumun internet bağlantısı:

2 Gbps

kapasiteye sahip olsun.

Saldırganın ürettiği trafik bunun çok üzerine çıktığında kurumun bağlantısı doygunluğa ulaşabilir.

Bu durumda içerideki;

firewall,

WAF,

web server,

application server

çalışıyor olsa bile gerçek kullanıcılar hizmete ulaşamayabilir.

Bu nedenle volumetric DDoS saldırılarında en önemli savunma noktalarından biri kurumun kendi veri merkezinden önceki upstream network olabilir.

Volumetric DDoS Nasıl Ölçülür?

Volumetric saldırılarda sık kullanılan metriklerden biri:

Bits Per Second – bps

değeridir.

Pratikte;

Mbps,

Gbps,

Tbps

şeklinde ifade edilebilir.

Ancak DDoS kapasitesi değerlendirilirken yalnızca Gbps değerine bakmak doğru değildir.

Aynı zamanda;

Packets Per Second – PPS

ve bazı durumlarda;

Connections Per Second – CPS

de önemlidir.

Çünkü iki saldırı aynı bant genişliğini kullanmasına rağmen network cihazları üzerinde tamamen farklı yük oluşturabilir.

Bu nedenle profesyonel DDoS dayanıklılık testlerinde:

Bandwidth + PPS + CPS

birlikte değerlendirilmelidir.

UDP Flood Nedir?

UDP Flood, yaygın volumetric ve network-level DDoS saldırılarından biridir.

UDP, bağlantı kurulumu gerektirmeyen bir protokoldür.

Bu özelliği nedeniyle yüksek miktarda paket üretilebilmesi mümkündür.

UDP Flood sırasında hedef sisteme veya belirli portlara yoğun UDP trafiği yönlendirilebilir.

Bu durum;

internet bağlantısını,

firewall packet processing kapasitesini,

network cihazlarını,

hedef sunucuyu

etkileyebilir.

Savunma açısından önemli nokta şudur:

Kurumda UDP trafiğinin tamamını engellemek mümkün olmayabilir.

Çünkü;

DNS,

VoIP,

VPN,

streaming

gibi meşru servisler UDP kullanabilir.

Bu nedenle DDoS mitigation mekanizmasının meşru UDP trafiği ile saldırı trafiğini ayırt edebilmesi önemlidir.

ICMP Flood Nedir?

ICMP Flood, hedef sisteme yüksek miktarda ICMP paketi gönderilmesini temel alan bir DoS/DDoS yaklaşımıdır.

ICMP normal network operasyonları için gereklidir.

Örneğin network troubleshooting sırasında kullanılan bazı mekanizmalar ICMP'den yararlanır.

Ancak yoğun ve kötü amaçlı trafik;

network kaynaklarını,

bant genişliğini,

packet processing kapasitesini

tüketebilir.

Burada yine temel güvenlik prensibi ortaya çıkar:

Bir protokolün meşru olması kötüye kullanılamayacağı anlamına gelmez.

Reflection DDoS Nedir?

Reflection Attack – Yansıtma Saldırısı, saldırganın doğrudan hedefe trafik göndermek yerine üçüncü taraf sistemleri kullanarak hedefe trafik yönlendirmesi yaklaşımıdır.

Temel mantık şöyledir:

Saldırgan üçüncü taraf servise bir istek gönderir.

Ancak kaynak IP adresini hedefin IP adresi gibi gösterir.

Üçüncü taraf servis cevabı saldırgana değil hedef sisteme gönderir.

Böylece saldırgan farklı internet servislerini birer trafik yansıtıcısı olarak kullanabilir.

Bu nedenle saldırı trafiğinin kaynakları saldırganın gerçek altyapısını doğrudan göstermeyebilir.

Amplification DDoS Nedir?

Amplification Attack – Trafik Büyütme Saldırısı, saldırganın küçük miktarda istek göndererek hedefe daha büyük miktarda yanıt yönlendirmeye çalışmasıdır.

Örneğin:

Saldırganın gönderdiği istek küçük olabilir.

Ancak servis tarafından oluşturulan yanıt çok daha büyük olabilir.

Bu fark Amplification Factor olarak değerlendirilebilir.

Bu yöntem saldırganın sahip olduğu kapasiteden daha büyük trafik etkisi oluşturmasına yardımcı olabilir.

Reflection ve Amplification teknikleri çoğu zaman birlikte kullanılabilir.

DNS Amplification Attack Nedir?

DNS Amplification, DDoS dünyasında en bilinen reflection/amplification örneklerinden biridir.

DNS altyapısındaki belirli özellikler kötüye kullanılarak küçük sorguların daha büyük yanıtlar oluşturması sağlanabilir.

Kaynak IP spoofing kullanıldığında DNS yanıtları saldırgan yerine kurban sisteme gönderilebilir.

Bu yöntem çok sayıda sistem üzerinden gerçekleştirildiğinde ciddi trafik oluşturabilir.

DNS güvenliği açısından kurumların yalnızca kendi DNS sunucularını değil, dış dünyadaki servis mimarisini de değerlendirmesi gerekir.

Özellikle;

authoritative DNS,

recursive DNS,

DNS redundancy,

Anycast DNS

gibi kavramlar DDoS dayanıklılığı açısından önemlidir.

NTP Amplification Nedir?

Network Time Protocol – NTP, sistemlerin zaman senkronizasyonunda kullanılan önemli bir protokoldür.

Geçmişte yanlış yapılandırılmış veya kötüye kullanılabilen NTP servisleri amplification saldırılarında kullanılmıştır.

Bu örnek DDoS güvenliğinde önemli bir noktayı gösterir:

Saldırganın hedeflediği protokol doğrudan kurumun sunduğu hizmet olmak zorunda değildir.

İnternet üzerindeki üçüncü taraf altyapılar saldırının büyütülmesi için kullanılabilir.

Benzer şekilde farklı UDP tabanlı servisler de tarihsel olarak reflection/amplification saldırılarında kullanılmıştır.

Protocol DDoS Saldırısı Nedir?

Protocol DDoS Attack, network ve transport layer protokollerinin çalışma biçimlerini hedefleyen saldırıları ifade eder.

Bu saldırılarda amaç yalnızca internet hattını doldurmak olmayabilir.

Hedef;

firewall connection table,

load balancer,

server TCP stack,

NAT table,

state table

gibi sınırlı kaynaklar olabilir.

Bu nedenle protocol saldırısı çok yüksek Gbps oluşturmadan da hizmet kesintisine neden olabilir.

SYN Flood Nedir?

SYN Flood, en bilinen Layer 4 DDoS saldırılarından biridir.

TCP bağlantısı normalde üç aşamalı handshake süreci kullanır:

SYN → SYN/ACK → ACK

İstemci bağlantı isteği gönderir.

Sunucu cevap verir.

İstemci bağlantıyı tamamlar.

SYN Flood saldırısında çok sayıda bağlantı başlatılarak bunların tamamlanmaması hedeflenebilir.

Sunucu veya network cihazı bu yarım bağlantılar için kaynak ayırabilir.

Çok sayıda bağlantı oluştuğunda;

connection table,

memory,

network stack

üzerinde baskı oluşabilir.

Sonuç olarak gerçek kullanıcıların yeni bağlantı kurması zorlaşabilir.

SYN Flood Neden Hâlâ Önemlidir?

Modern işletim sistemleri ve güvenlik cihazlarında SYN Flood'a karşı çeşitli korumalar bulunur.

Ancak saldırının etkisi;

hacim,

PPS,

firewall kapasitesi,

load balancer kapasitesi,

sunucu yapılandırması

gibi faktörlere bağlıdır.

Ayrıca saldırgan tek bir teknik kullanmak zorunda değildir.

SYN Flood başka saldırı vektörleriyle aynı anda uygulanabilir.

Bu nedenle kurumun sadece:

“Firewall'umuz SYN Flood korumasını destekliyor.”

demesi yeterli değildir.

Gerçek kapasitenin kontrollü DDoS simülasyonlarıyla doğrulanması gerekir.

ACK Flood Nedir?

ACK Flood, yüksek miktarda TCP ACK paketinin hedef sisteme veya network cihazlarına yönlendirilmesini temel alan saldırı yaklaşımıdır.

Özellikle stateful güvenlik cihazlarının trafik işleme kapasitesi hedeflenebilir.

Firewall gelen paketlerin mevcut bağlantıya ait olup olmadığını kontrol etmek zorunda kalabilir.

Yüksek PPS değerlerinde bu durum cihaz kaynakları üzerinde baskı oluşturabilir.

Bu nedenle Layer 4 dayanıklılık testlerinde sadece SYN paketleri değil, farklı TCP flag kombinasyonları ve network davranışları da değerlendirilmelidir.

TCP Connection Flood Nedir?

Bazı saldırılarda yarım bağlantılar yerine çok sayıda gerçek TCP bağlantısı kurulmaya çalışılabilir.

Bu durum TCP Connection Flood olarak değerlendirilebilir.

Amaç;

concurrent connection limit,

server worker,

load balancer,

application connection pool

gibi kaynakları tüketmektir.

Bu saldırılar normal bağlantılara daha fazla benzeyebilir.

Dolayısıyla yalnızca SYN Flood koruması yeterli olmayabilir.

Layer 3 DDoS ile Layer 4 DDoS Arasındaki Fark Nedir?

Bu iki kavram çoğu zaman birlikte L3/L4 DDoS Protection şeklinde kullanılır.

Ancak teknik olarak farklı katmanları ifade ederler.

Layer 3 – Network Layer

IP tabanlı network iletişimine odaklanır.

Layer 4 – Transport Layer

TCP ve UDP gibi transport protokollerine odaklanır.

Kurumsal Anti-DDoS çözümleri genellikle bu katmanları birlikte korumayı hedefler.

Buradaki temel amaç:

Saldırı trafiğinin uygulamaya ulaşmadan önce filtrelenmesidir.

Application Layer DDoS Nedir?

Application Layer DDoS, OSI modelinin Layer 7 seviyesindeki servisleri hedefleyen saldırıları ifade eder.

Bu saldırılar volumetric DDoS saldırılarından önemli ölçüde farklı olabilir.

Saldırganın amacı internet hattını doldurmak yerine uygulamayı yormaktır.

Örneğin;

web server,

API,

authentication service,

search engine,

database backend

gibi bileşenler hedeflenebilir.

Bu nedenle Layer 7 DDoS saldırısı düşük bant genişliğinde bile ciddi etki oluşturabilir.

Layer 7 DDoS Neden Tespit Edilmesi Zordur?

Çünkü saldırı trafiği gerçek kullanıcı davranışına benzeyebilir.

Örneğin gerçek kullanıcı:

GET /products

isteği gönderir.

Bot da aynı isteği gönderebilir.

Gerçek kullanıcı:

POST /login

gönderir.

Saldırgan da aynı endpoint'i hedefleyebilir.

Dolayısıyla network açısından paketler tamamen geçerli olabilir.

HTTPS kullanılıyor olabilir.

TCP bağlantısı normal kurulmuş olabilir.

HTTP request geçerli olabilir.

Sorun isteğin amacı, hacmi ve davranışıdır.

Bu nedenle Layer 7 DDoS savunması davranış analizi gerektirir.

HTTP Flood Nedir?

HTTP Flood, web uygulamasına çok sayıda HTTP request gönderilerek uygulama kaynaklarının tüketilmesini amaçlayan DDoS saldırısıdır.

Saldırı;

GET,

POST

ve farklı HTTP işlemleri üzerinden gerçekleşebilir.

Ama bütün URL'lerin sistem üzerinde aynı maliyeti yoktur.

Örneğin statik:

/logo.png

isteği çok az kaynak tüketebilir.

Ancak:

/search

/login

/report

/api/query

gibi endpoint'ler;

database query,

authentication,

backend processing,

external API

gibi ek işlemler oluşturabilir.

Saldırgan açısından az trafikle daha fazla kaynak tüketmek mümkün olabilir.

GET Flood ve POST Flood Nedir?

HTTP Flood saldırıları kullanılan request türüne göre farklılaşabilir.

GET Flood

Web sayfaları veya API endpoint'lerine yoğun GET request gönderilmesini içerir.

POST Flood

Sunucu üzerinde işlem gerçekleştiren POST request'lerinin yoğunlaştırılmasını içerir.

Örneğin;

login,

arama,

form gönderme,

API işlemleri

yüksek maliyetli olabilir.

Bu nedenle DDoS koruması sadece saniyedeki request sayısını değil, endpoint cost kavramını da dikkate almalıdır.

API DDoS Nedir?

Modern kurumlarda kullanıcılar artık yalnızca web sayfaları üzerinden hizmet almaz.

Mobil uygulamalar ve üçüncü taraf sistemler yoğun şekilde API kullanır.

Bu nedenle API DDoS giderek daha önemli bir risk alanıdır.

Örneğin;

authentication API,

payment API,

search API,

customer API,

reporting API

hedeflenebilir.

Bir API isteği arka planda çok sayıda database veya microservice işlemi tetikleyebilir.

Dolayısıyla küçük bir HTTP isteğinin backend üzerindeki maliyeti çok yüksek olabilir.

Bu nedenle API Security ile DDoS Protection birlikte ele alınmalıdır.

GraphQL ve DDoS Riski

GraphQL gibi modern API teknolojilerinde istemciler daha esnek sorgular oluşturabilir.

Bu esneklik doğru güvenlik kontrolleri uygulanmadığında kaynak tüketimi riskleri oluşturabilir.

Örneğin karmaşık sorgular;

çok sayıda resolver,

database query,

backend operation

tetikleyebilir.

Bu nedenle API dayanıklılığında;

query complexity,

rate limiting,

resource limits,

authentication,

WAF/API protection

gibi kontroller önemlidir.

Buradaki temel prensip şudur:

DDoS koruması yalnızca network trafiğini değil, bir isteğin uygulama üzerindeki maliyetini de anlamalıdır.

Slow HTTP Attack Nedir?

Her Application Layer saldırısı çok sayıda request göndermek zorunda değildir.

Bazı saldırılar bağlantıları yavaş şekilde açık tutarak sunucu kaynaklarını tüketmeye çalışabilir.

Bu saldırılar genel olarak Slow HTTP Attack kategorisinde değerlendirilebilir.

Örneğin;

Slowloris,

Slow POST

benzeri yaklaşımlar düşük trafik hacmiyle connection kaynaklarını hedefleyebilir.

Bu nedenle sadece bandwidth grafiğine bakarak DDoS tespiti yapmak yeterli değildir.

DNS Flood Nedir?

DNS servisleri kurumların internet erişilebilirliği açısından kritik altyapılardır.

Web sunucusu çalışıyor olsa bile DNS servisi cevap vermiyorsa kullanıcılar hizmete ulaşamayabilir.

DNS Flood, DNS altyapısına yoğun sorgu göndererek servis kaynaklarını tüketmeye çalışan saldırı yaklaşımıdır.

Burada hedef;

DNS server CPU,

query processing,

network capacity,

upstream DNS infrastructure

olabilir.

Bu nedenle kurumsal DDoS planlarında DNS mutlaka ayrı değerlendirilmelidir.

DNS Flood ile DNS Amplification Aynı Şey midir?

Hayır.

Bu iki kavram karıştırılabilir.

DNS Flood

Doğrudan DNS hizmetini yoğun sorgularla hedefleyebilir.

DNS Amplification

DNS sunucularını başka bir hedefe trafik büyütmek için kullanabilir.

Birinde DNS altyapısı doğrudan kurban olabilir.

Diğerinde DNS altyapısı saldırının yansıtıcı/büyütücü parçası olabilir.

Bu ayrım doğru mitigation stratejisinin belirlenmesi açısından önemlidir.

Random Subdomain Attack Nedir?

DNS altyapısını hedefleyen saldırılardan biri Random Subdomain Attack veya bazı bağlamlarda DNS Water Torture Attack olarak adlandırılan davranıştır.

Saldırgan sürekli farklı ve rastgele subdomain'ler için sorgular oluşturabilir.

Örneğin;

a1.example.com

b928.example.com

random123.example.com

gibi daha önce cache'lenmemiş isimler kullanılabilir.

Amaç recursive veya authoritative DNS altyapısında daha fazla işlem oluşturmak olabilir.

Bu saldırılar klasik DNS query flood'dan farklı davranış gösterebilir.

Botnet Tabanlı DDoS Nedir?

DDoS saldırılarının “distributed” olmasını sağlayan en önemli yapılardan biri botnet'lerdir.

Botnet, saldırgan tarafından kontrol edilen çok sayıda ele geçirilmiş cihazdan oluşan ağdır.

Botnet içerisinde;

IoT cihazları,

router'lar,

sunucular,

bilgisayarlar

bulunabilir.

Bu sistemler dünyanın farklı noktalarına dağılmış olabilir.

Bu durum saldırı trafiğini gerçek kullanıcı trafiğinden ayırmayı zorlaştırabilir.

Özellikle IoT cihazlarının zayıf güvenlik yapılandırmaları büyük botnet'lerin oluşmasına katkıda bulunabilir.

Multi-Vector DDoS Nedir?

Modern saldırganın tek bir saldırı türü kullanması gerekmez.

Örneğin saldırı aynı anda;

UDP Flood,

SYN Flood,

HTTP Flood

içerebilir.

Bu modele Multi-Vector DDoS Attack denir.

Amaç savunmanın farklı katmanlarını aynı anda zorlamaktır.

Network ekibi volumetric saldırıyla uğraşırken uygulama katmanında HTTP Flood devam edebilir.

Bu nedenle DDoS savunmasının yalnızca tek vektörü engellemesi yeterli değildir.

Adaptive DDoS Attack Nedir?

Daha gelişmiş saldırılarda saldırgan savunma sisteminin davranışına göre saldırı tekniğini değiştirebilir.

Örneğin;

UDP filtrelenir.

Saldırgan TCP'ye geçer.

TCP sınırlandırılır.

Layer 7 başlar.

Belirli endpoint korunur.

Başka endpoint hedeflenir.

Bu tür dinamik saldırılar adaptive veya multi-stage DDoS yaklaşımıyla ilişkilendirilebilir.

Bu nedenle otomatik mitigation ile insan analizi birlikte önemlidir.

DDoS Saldırısında IP Engellemek Yeterli midir?

Çoğu durumda hayır.

Tek bir IP'den gelen saldırıda IP blocking işe yarayabilir.

Ancak dağıtık botnet saldırısında binlerce farklı IP kullanılabilir.

Ayrıca;

NAT,

proxy,

CGNAT,

cloud service

gibi yapılar nedeniyle tek bir IP arkasında çok sayıda gerçek kullanıcı bulunabilir.

Agresif IP blocking meşru kullanıcıların da engellenmesine neden olabilir.

Bu nedenle modern DDoS protection;

IP reputation,

behavior,

rate,

fingerprint,

session,

geolocation,

protocol characteristics

gibi farklı sinyalleri birlikte değerlendirebilir.

Rate Limiting DDoS Saldırısını Engeller mi?

Rate Limiting, belirli bir kullanıcı, IP, session veya endpoint için kabul edilen istek miktarını sınırlar.

Özellikle Application Layer DDoS ve API güvenliğinde çok değerlidir.

Örneğin normal kullanıcı saniyede birkaç login isteği gerçekleştirirken tek bir istemcinin yüzlerce istek göndermesi şüpheli olabilir.

Ancak sabit IP başına rate limiting dağıtık saldırılarda tek başına yeterli olmayabilir.

Binlerce bot düşük hızda istek gönderirse her biri belirlenen limitin altında kalabilir.

Bu nedenle distributed low-rate attacks daha gelişmiş davranış analizi gerektirir.

WAF Hangi DDoS Saldırılarına Karşı Etkilidir?

Web Application Firewall – WAF, özellikle HTTP/HTTPS tabanlı Layer 7 saldırılarında değerlidir.

WAF;

request rate,

URI,

header,

cookie,

client behavior,

session pattern

gibi özellikleri değerlendirebilir.

Ancak çok yüksek hacimli UDP saldırısının kurumun internet hattını doldurması durumunda WAF'a trafik ulaşamayabilir.

Bu nedenle WAF:

Layer 7 savunmasının önemli parçasıdır.

Ancak:

Tek başına bütün DDoS savunması değildir.

Anti-DDoS Hangi Katmanda Çalışır?

Anti-DDoS çözümleri mimariye göre farklı yetenekler sağlayabilir.

Genellikle;

volumetric attack mitigation,

L3/L4 filtering,

traffic anomaly detection,

scrubbing

gibi özellikler bulunur.

Bazı platformlar Layer 7 koruması da sunabilir.

Bu nedenle Anti-DDoS hizmeti değerlendirilirken sadece:

“Kaç Gbps destekliyor?”

sorusu sorulmamalıdır.

Ayrıca;

PPS kapasitesi,

CPS kapasitesi,

Layer 7 yetenekleri,

mitigation süresi,

scrubbing mimarisi,

telemetry,

SOC entegrasyonu

de değerlendirilmelidir.

DDoS Saldırısında CDN Ne İşe Yarar?

CDN, web içeriğini dağıtık edge altyapılar üzerinden sunarak origin sistem üzerindeki yükü azaltabilir.

Özellikle cache edilebilir içerikler için önemli avantaj sağlar.

Ancak saldırgan origin IP'yi biliyorsa CDN katmanını atlayarak doğrudan origin sisteme ulaşmaya çalışabilir.

Bu nedenle:

Origin Protection

kritik bir DDoS güvenliği konusudur.

Origin sistem mümkün olduğunca yalnızca yetkili CDN veya reverse proxy altyapısından gelen trafiği kabul etmelidir.

DDoS Saldırı Türü Nasıl Tespit Edilir?

SOC ve Network ekiplerinin saldırı sırasında farklı telemetry kaynaklarını değerlendirmesi gerekir.

Örneğin;

Bandwidth çok yüksekse

volumetric saldırı ihtimali olabilir.

PPS çok yüksek ancak bandwidth görece düşükse

packet flood düşünülebilir.

SYN sayısı hızla artıyorsa

SYN Flood ihtimali araştırılabilir.

HTTP request sayısı artıyorsa

Layer 7 saldırı değerlendirilebilir.

Belirli endpoint aşırı yükleniyorsa

application-targeted DDoS olabilir.

DNS query sayısı anormal artıyorsa

DNS Flood değerlendirilebilir.

Ancak tek bir metriğe göre karar verilmemelidir.

DDoS Monitoring İçin Hangi Metrikler İzlenmelidir?

Kurumsal DDoS monitoring için en azından şu metrikler değerlendirilebilir:

Bandwidth – Mbps/Gbps

Network üzerindeki toplam trafik.

Packets Per Second – PPS

Saniyedeki paket miktarı.

Connections Per Second – CPS

Yeni bağlantı oranı.

Concurrent Connections

Aynı anda açık bağlantılar.

SYN Rate

Yeni TCP bağlantı girişimleri.

HTTP Requests Per Second – RPS

Uygulama katmanı istek yoğunluğu.

DNS Queries Per Second – QPS

DNS sorgu yoğunluğu.

Application Response Time

Uygulamanın cevap süresi.

Error Rate

4xx/5xx hata oranları.

CPU / Memory

Backend kaynak tüketimi.

Bu metriklerin birlikte değerlendirilmesi saldırının hangi katmanı etkilediğini anlamayı kolaylaştırır.

Normal Trafik Artışı ile DDoS Nasıl Ayrılır?

Bu soru özellikle e-ticaret, medya ve kampanya dönemlerinde önemlidir.

Black Friday,

bilet satışı,

ürün lansmanı,

haber gündemi

nedeniyle gerçek kullanıcı trafiği aniden artabilir.

Bu duruma Flash Crowd denilebilir.

Flash Crowd ile DDoS dışarıdan benzer görünebilir.

İkisinde de trafik artar.

Ancak davranış farklıdır.

Gerçek kullanıcılar;

farklı sayfaları ziyaret eder,

normal session oluşturur,

ürün inceler,

login olur,

ödeme yapar.

Bot trafiği ise belirli pattern'ler gösterebilir.

Bu nedenle davranış analizi DDoS protection açısından kritik öneme sahiptir.

En Tehlikeli DDoS Türü Hangisidir?

Bu sorunun tek bir cevabı yoktur.

En tehlikeli saldırı:

Kurumun en zayıf olduğu katmanı hedefleyen saldırıdır.

Bir kurumun 100 Gbps volumetric koruması olabilir.

Ancak uygulamadaki pahalı bir API endpoint'ine karşı yeterli rate limiting bulunmayabilir.

Başka bir kurumda güçlü WAF bulunabilir.

Ancak internet bağlantısı düşük kapasiteli olabilir.

Bir diğerinde hem network hem uygulama koruması güçlüdür ancak authoritative DNS tek noktadan hizmet veriyor olabilir.

Bu nedenle DDoS güvenliği ürün listesinden değil, attack surface ve bottleneck analizinden başlamalıdır.

DDoS Dayanıklılık Testinde Farklı Saldırı Türleri Neden Kullanılır?

Sadece tek bir UDP Flood testi gerçekleştirip:

“DDoS testini geçtik.”

demek doğru değildir.

Profesyonel bir DDoS saldırı simülasyonu, kurumun mimarisine göre farklı saldırı kategorilerini kontrollü biçimde değerlendirmelidir.

Örneğin;

Volumetric Simulation,

UDP Flood,

TCP/SYN Flood,

Connection Exhaustion,

HTTP Flood,

API Load,

DNS Query Flood

gibi farklı senaryolar düşünülebilir.

Her senaryoda farklı güvenlik kontrolü sınanır.

DDoS Simülasyonunda Amaç Sistemi Çökertmek midir?

Hayır.

Profesyonel testin amacı mümkün olduğunca büyük trafik gönderip sistemi çökertmek değildir.

Amaç dayanıklılık sınırlarını kontrollü biçimde ölçmektir.

Örneğin test düşük seviyede başlayabilir.

Trafik kontrollü olarak artırılabilir.

Belirli eşiklerde;

latency,

packet loss,

CPU,

firewall session,

WAF alarm,

Anti-DDoS mitigation,

application response

izlenebilir.

Böylece hizmet kesintisine neden olmadan kritik eşikler belirlenebilir.

DDoS Testinde Stop Condition Nedir?

Stop Condition, test sırasında belirlenen güvenlik durdurma koşuludur.

Örneğin;

response time belirlenen değeri aşarsa,

packet loss kritik seviyeye çıkarsa,

CPU belirli eşiğe ulaşırsa,

gerçek kullanıcı deneyimi etkilenirse

test otomatik veya manuel olarak durdurulabilir.

Bu yaklaşım özellikle production ortamlarında yapılan kontrollü DDoS testleri için önemlidir.

DDoS Saldırı Türleri Neden Yönetim İçin de Önemlidir?

Yönetimin SYN, UDP veya HTTP paket detaylarını bilmesine gerek olmayabilir.

Ancak şu farkı anlaması önemlidir:

Network kapasitesine yönelik saldırı

ile

kritik dijital uygulamaya yönelik saldırı

aynı risk değildir.

Birincisi ISP ve Anti-DDoS kapasitesi gerektirebilir.

İkincisi uygulama mimarisi, WAF ve scaling yatırımı gerektirebilir.

Dolayısıyla doğru saldırı sınıflandırması güvenlik yatırımının doğru alana yapılmasını sağlar.

Kurumsal DDoS Savunması Nasıl Katmanlandırılmalıdır?

İdeal mimari kurumun yapısına göre değişir ancak genel yaklaşım şu şekilde düşünülebilir:

Internet

↓

Upstream / ISP Protection

↓

Anti-DDoS / Scrubbing

↓

CDN / Edge Security

↓

Firewall

↓

WAF / Bot Protection

↓

Load Balancer

↓

Application / API

↓

Database / Backend

Bu zincirin herhangi bir noktasındaki kapasite problemi hizmet kesintisine neden olabilir.

Bu nedenle DDoS dayanıklılığı:

En güçlü güvenlik katmanınız kadar değil, en zayıf darboğazınız kadar güçlüdür.

Sonuç: Her DDoS Saldırısı Aynı Değildir

DDoS saldırıları yalnızca internete devasa trafik göndermekten ibaret değildir.

Bir saldırgan;

bandwidth'i,

packet processing kapasitesini,

TCP connection table'ı,

firewall'u,

DNS'i,

web uygulamasını,

API'yi,

backend servislerini

hedefleyebilir.

Bu nedenle DDoS güvenliğinde saldırının türünü doğru anlamak ilk adımdır.

Volumetric DDoS bant genişliğini hedefleyebilir.

Protocol DDoS network ve transport kaynaklarını tüketebilir.

Application Layer DDoS ise gerçek kullanıcı trafiğine benzeyen isteklerle uygulamayı zorlayabilir.

Bunlara;

Reflection,

Amplification,

DNS saldırıları,

Botnet,

Multi-Vector DDoS

eklenince savunma daha karmaşık hale gelir.

Bu nedenle kurumların temel sorusu:

“Anti-DDoS ürünümüz var mı?”

olmamalıdır.

Daha doğru soru şudur:

“Farklı DDoS saldırı türlerine karşı hangi katmanda, ne kadar süre ve hangi kapasitede dayanabiliyoruz?”

Bu sorunun cevabı tahmin edilmemelidir.

Ölçülmelidir.

Bunun için de kontrollü bir Kurumsal DDoS Saldırı Simülasyonu ve DDoS Dayanıklılık Testi gerekir.

Çünkü güvenlik mimarisinin kağıt üzerinde doğru görünmesi ile gerçek trafik altında çalışması aynı şey değildir.