# DDoS Saldırısı Nedir? Kurumlar İçin DDoS Riskleri, Saldırı Türleri ve Korunma Yöntemleri

**URL:** https://securesys.com.tr/tr/bilgi-merkezi/ddos-simulasyonu/ddos-saldirisi-nedir-riskler-turler-korunma

![DDoS Saldırısı Nedir? Kurumlar İçin DDoS Riskleri, Saldırı Türleri ve Korunma Yöntemleri](/images/bilgi-merkezi/covers/cover-ddos-01.webp)

Bir şirketin web sitesi çalışıyor olabilir.

Firewall aktif olabilir.

Sunucular güncel olabilir.

WAF devrede olabilir.

SOC ekibi sistemleri 7/24 izliyor olabilir.

Ancak internet bağlantısı veya kritik servisler gelen trafiği karşılayamaz hale geldiğinde bütün bu sistemler kullanıcı açısından erişilemez olabilir.

İşte **DDoS saldırılarının** temel hedefi budur:

**Sisteme sızmak yerine sistemi kullanılamaz hale getirmek.**

Distributed Denial of Service, yani **Dağıtık Hizmet Engelleme (DDoS) saldırısı**, bir web sitesi, sunucu, uygulama, API, DNS servisi veya ağ altyapısının çok sayıda kaynaktan gelen yoğun ya da kaynak tüketici trafikle hedef alınarak meşru kullanıcıların hizmete erişiminin bozulmasını amaçlayan siber saldırı türüdür. CISA da DoS/DDoS saldırılarını hedef sistemin kaynaklarını tüketerek uygulama veya web sitesini meşru kullanıcılar için erişilemez hale getiren saldırılar olarak tanımlar. (CISA)

DDoS saldırısında saldırganın her zaman veri çalması, sisteme zararlı yazılım yüklemesi veya yönetici hesabını ele geçirmesi gerekmez.

Bazen saldırının başarısı tek bir sonuçla ölçülür:

#### Hizmet verilebiliyor mu, verilemiyor mu?

Bu nedenle DDoS güvenliği yalnızca network ekiplerinin konusu değildir.

**Business Continuity, Cyber Resilience, Incident Response, SOC, Network Security, WAF, CDN, DNS Security ve kurumsal risk yönetiminin** ortak konularından biridir.

#### DDoS Nedir?

**DDoS – Distributed Denial of Service**, Türkçede **Dağıtık Hizmet Engelleme Saldırısı** olarak ifade edilir.

Saldırının temel amacı hedef sistemin veya hizmetin kullanılabilirliğini, yani **availability** özelliğini bozmaktır.

Siber güvenliğin temel prensiplerinden biri olan **CIA Triad** üç ana unsurdan oluşur:

#### Confidentiality – Gizlilik

Yetkisiz kişilerin verilere erişmesini önlemek.

#### Integrity – Bütünlük

Verilerin yetkisiz şekilde değiştirilmesini önlemek.

#### Availability – Erişilebilirlik

Sistemlerin ve verilerin ihtiyaç duyulduğunda kullanılabilir olmasını sağlamak.

DDoS saldırıları ağırlıklı olarak üçüncü unsur olan **Availability** üzerinde etki oluşturur.

MITRE ATT&CK de **Network Denial of Service – T1498** tekniğini Impact taktiği altında ele alır ve saldırganların ağ bant genişliği gibi kaynakları tüketerek web, e-posta, DNS ve web tabanlı uygulamaların kullanılabilirliğini azaltabileceğini belirtir. (d3fend.mitre.org)

### DoS ile DDoS Arasındaki Fark Nedir?

DoS ve DDoS kavramları birbirine benzese de aynı değildir.

**DoS – Denial of Service** saldırısında saldırı tek bir sistemden veya sınırlı bir kaynaktan gerçekleştirilebilir.

**DDoS – Distributed Denial of Service** saldırısında ise trafik çok sayıda dağıtık kaynaktan gelebilir.

Bu kaynaklar;

ele geçirilmiş bilgisayarlar,

sunucular,

IoT cihazları,

router'lar,

botnet üyeleri

olabilir.

Dağıtık yapı savunmayı zorlaştırır.

Çünkü tek bir IP adresini engellemek saldırıyı durdurmaya yetmeyebilir.

Binlerce farklı kaynaktan trafik gelebilir.

Bazı durumlarda saldırı trafiği coğrafi olarak dünyanın farklı bölgelerine dağılmış olabilir.

### DDoS Saldırısının Amacı Nedir?

DDoS saldırılarının temel amacı hizmet kesintisi oluşturmaktır.

Ancak saldırganların motivasyonu farklı olabilir.

Örneğin;

#### Şantaj

Saldırgan saldırıyı durdurmak karşılığında ödeme talep edebilir.

#### Hacktivizm

Politik veya ideolojik nedenlerle kurumun servisleri hedef alınabilir.

#### Rekabet veya sabotaj

Kritik dönemlerde dijital hizmetlerin erişilemez hale getirilmesi amaçlanabilir.

#### Dikkat dağıtma

DDoS başka bir siber saldırı yürütülürken güvenlik ekiplerinin dikkatini dağıtmak için kullanılabilir.

#### İtibar kaybı

Müşterilerin hizmete erişememesi hedeflenebilir.

MITRE ATT&CK, Network DoS faaliyetlerinin hacktivizm, şantaj ve başka kötü amaçlı faaliyetleri desteklemek amacıyla da kullanılabildiğini belirtir. (d3fend.mitre.org)

Bu nedenle DDoS olayı sadece:

**“Web sitesi birkaç saat açılmadı.”**

şeklinde değerlendirilmemelidir.

Olayın arkasında başka bir saldırı olup olmadığı da araştırılmalıdır.

### DDoS Saldırısı Nasıl Çalışır?

En basit haliyle bir internet servisini bir işletmenin giriş kapısı gibi düşünebiliriz.

Normal durumda saniyede 1.000 kullanıcı hizmet alabiliyor olsun.

Bir anda yüz binlerce sahte veya kötü amaçlı istek gelmeye başlarsa sistemin;

internet hattı,

firewall kapasitesi,

connection table,

load balancer,

web server,

application server,

CPU,

memory,

database

gibi bileşenlerinden biri veya birkaçı kapasitesini aşabilir.

Sonuçta gerçek kullanıcılar hizmete erişemez.

Ancak modern DDoS saldırıları yalnızca “çok fazla trafik göndermekten” ibaret değildir.

Bazı saldırılar bant genişliğini tüketirken bazıları protokol kaynaklarını veya uygulamanın işlem kapasitesini hedefler.

Bu nedenle DDoS saldırıları farklı katmanlarda incelenmelidir.

### DDoS Saldırı Türleri Nelerdir?

Kurumsal güvenlik açısından DDoS saldırıları genel olarak üç ana grupta değerlendirilebilir:

#### Volumetric Attacks

Yüksek hacimli trafik oluşturarak bant genişliğini tüketmeyi hedefler.

#### Protocol Attacks

Network veya transport layer üzerindeki protokol ve bağlantı kaynaklarını tüketmeye çalışır.

#### Application Layer Attacks

Web uygulaması, API veya diğer uygulama servislerinin kaynaklarını hedefler.

OSI modeli açısından DDoS saldırıları **Layer 3, Layer 4 ve Layer 7** seviyelerinde görülebilir. (Cloudflare Docs)

Bu ayrım önemlidir.

Çünkü her saldırı tipine karşı aynı güvenlik teknolojisi etkili olmayabilir.

### Volumetric DDoS Saldırısı Nedir?

**Volumetric DDoS Attack**, hedefin internet bağlantısını veya network kapasitesini yüksek trafik hacmiyle doldurmayı amaçlayan saldırı türüdür.

Buradaki temel ölçü genellikle trafik hacmidir.

Örneğin:

Mbps,

Gbps,

Tbps

gibi değerlerle ifade edilebilir.

Kurumun internet bağlantısı 1 Gbps kapasiteye sahipse ve upstream altyapıya bunun çok üzerinde saldırı trafiği geliyorsa şirket içerisindeki firewall'un güçlü olması tek başına yeterli olmayabilir.

Çünkü trafik firewall'a ulaşmadan önce internet hattı doygunluğa ulaşabilir.

Bu nedenle yüksek hacimli DDoS saldırılarında **upstream mitigation ve scrubbing** mekanizmaları önem kazanır.

### Protocol DDoS Saldırısı Nedir?

Protocol saldırıları yalnızca bandwidth tüketmek yerine network cihazlarının veya sunucuların bağlantı yönetim kaynaklarını hedefleyebilir.

En bilinen örneklerden biri:

#### SYN Flood

saldırısıdır.

TCP bağlantısının kurulma sürecindeki özelliklerden yararlanılarak hedef sistem üzerinde çok sayıda yarım bağlantı oluşturulmaya çalışılabilir.

Sonuç olarak;

firewall,

load balancer,

server,

connection tracking

gibi bileşenlerin kaynakları tüketilebilir.

Modern DDoS koruma sistemlerinin yalnızca trafik hacmine değil, **packet rate, connection state ve traffic behavior** gibi özelliklere de bakmasının nedenlerinden biri budur.

### SYN Flood Nedir?

TCP bağlantılarında istemci ve sunucu arasında bir bağlantı kurma süreci bulunur.

Bu süreç genel olarak **TCP Three-Way Handshake** olarak bilinir.

Normal bağlantıda;

SYN,

SYN-ACK,

ACK

adımları gerçekleşir.

SYN Flood saldırısında çok sayıda bağlantı başlatılarak hedef sistemin bağlantı kaynaklarının tüketilmesi amaçlanabilir.

Bu nedenle sadece Mbps/Gbps değerlerini takip etmek yeterli değildir.

DDoS monitoring sırasında;

#### Packets Per Second – PPS

#### Connections Per Second – CPS

gibi metrikler de önemlidir.

### UDP Flood Nedir?

**UDP Flood**, hedef sisteme yüksek miktarda UDP trafiği gönderilmesini temel alan DDoS saldırı türlerinden biridir.

UDP connectionless yapıda olduğu için saldırganlar yüksek miktarda paket üretebilir.

Amaç;

network kapasitesini,

firewall kaynaklarını,

server processing kapasitesini

tüketmek olabilir.

MITRE ATT&CK doğrudan network flood saldırılarında UDP ve ICMP gibi stateless protokollerin yaygın olarak kullanılabildiğini belirtir. (MITRE ATT&CK)

### Reflection ve Amplification DDoS Nedir?

DDoS dünyasının önemli kavramlarından ikisi:

#### Reflection

ve

#### Amplification

saldırılarıdır.

Reflection saldırısında saldırgan doğrudan hedefe trafik göndermek yerine üçüncü taraf sistemlerden yararlanabilir.

Kaynak IP adresi hedefin adresiymiş gibi gösterildiğinde yanıtlar kurbana yönlendirilebilir.

Amplification ise küçük bir isteğin daha büyük bir yanıt üretmesi avantajından yararlanır.

MITRE ATT&CK bunu **Reflection Amplification – T1498.002** olarak sınıflandırır. (MITRE ATT&CK)

Bu nedenle saldırganın ürettiği trafik ile hedefe ulaşan trafik arasında ciddi fark oluşabilir.

### DNS Amplification Nedir?

**DNS Amplification Attack**, amplification tabanlı DDoS saldırılarının bilinen örneklerinden biridir.

Yanlış yapılandırılmış veya kötüye kullanılabilen DNS servisleri saldırı trafiğini büyütmek için kullanılabilir.

Kurbanın IP adresi kaynak adresi olarak gösterilir.

DNS sunucusuna sorgu gönderilir.

Yanıt saldırgana değil hedefe gider.

Bu davranış çok sayıda sistem üzerinden gerçekleştirildiğinde hedef yüksek miktarda trafik alabilir.

Güncel DDoS koruma sistemlerinde DNS amplification, DNS query flood ve daha gelişmiş DNS saldırıları ayrı saldırı vektörleri olarak ele alınmaktadır. (Cloudflare Docs)

Bu nedenle **DNS Security**, DDoS dayanıklılığının önemli parçalarından biridir.

### Layer 3 DDoS Nedir?

**Layer 3 DDoS**, OSI modelinin Network Layer seviyesini hedefleyen saldırıları ifade eder.

Bu katmanda IP ve routing süreçleri önemlidir.

Amaç network altyapısının kapasitesini veya erişilebilirliğini etkilemektir.

Layer 3 saldırıları belirli bir web uygulamasından çok altyapıya odaklanabilir ve TCP bağlantısı açmak zorunda değildir. (Cloudflare)

Bu nedenle Layer 3 saldırılarıyla mücadele yalnızca WAF kullanılarak çözülemez.

### Layer 4 DDoS Nedir?

**Layer 4**, OSI modelinin Transport Layer katmanıdır.

TCP ve UDP bu seviyede önemli protokollerdir.

Layer 4 DDoS saldırıları;

connection capacity,

TCP state,

packet processing,

firewall resources

gibi alanları hedefleyebilir.

SYN Flood ve çeşitli UDP Flood davranışları bu bağlamda değerlendirilebilir.

L3/L4 saldırıları özellikle network altyapısı ve upstream DDoS protection açısından önemlidir.

### Layer 7 DDoS Nedir?

**Layer 7 DDoS**, Application Layer seviyesindeki servisleri hedefler.

En bilinen örneklerden biri **HTTP Flood** saldırısıdır.

Buradaki amaç her zaman çok büyük bant genişliği oluşturmak değildir.

Saldırgan uygulamanın kaynak tüketen fonksiyonlarını hedefleyebilir.

Örneğin;

arama,

login,

raporlama,

API çağrısı,

dinamik sayfa üretimi,

database sorgusu

gibi işlemler normal statik içerikten çok daha fazla sistem kaynağı tüketebilir.

Layer 7 saldırıları tipik olarak HTTP istekleri üzerinden web veya API kaynaklarını tüketmeye çalışır. (Cloudflare)

Bu nedenle Layer 7 DDoS saldırıları düşük trafik hacminde bile etkili olabilir.

### HTTP Flood Nedir?

**HTTP Flood**, çok sayıda HTTP GET veya POST benzeri isteğin web uygulamasına yönlendirilmesiyle gerçekleştirilen Application Layer DDoS yaklaşımıdır.

Bu saldırıları volumetric saldırılardan ayıran önemli nokta şudur:

Trafik dışarıdan bakıldığında normal kullanıcı trafiğine benzeyebilir.

Örneğin gerçek kullanıcı da:

GET /products

isteği gönderir.

Bot da aynı isteği gönderebilir.

Bu nedenle savunma sistemi yalnızca IP veya trafik hacmine bakmamalıdır.

Şunları da değerlendirmelidir:

request rate,

session behavior,

URL pattern,

user-agent,

cookie,

client fingerprint,

request distribution,

application behavior.

Bu noktada **WAF, Bot Management, Rate Limiting ve behavioral analytics** önem kazanır.

### Slowloris Nedir?

Bazı Application Layer saldırılarında saldırgan çok yüksek trafik göndermek yerine bağlantıları mümkün olduğunca uzun süre açık tutmaya çalışabilir.

**Slowloris** bu yaklaşımın bilinen örneklerinden biridir.

Amaç sunucunun connection pool veya worker kaynaklarını tüketmektir.

Bu örnek DDoS konusunda önemli bir gerçeği gösterir:

**DDoS saldırısının tehlikeli olması için her zaman devasa Gbps trafiğine ihtiyacı yoktur.**

Uygulamanın çalışma biçimini hedefleyen düşük hacimli saldırılar da hizmet kesintisine yol açabilir.

### Botnet Nedir?

**Botnet**, saldırgan tarafından kontrol edilen çok sayıda ele geçirilmiş cihazdan oluşan ağdır.

Bu cihazlar;

bilgisayar,

sunucu,

kamera,

IoT cihazı,

router

olabilir.

Cihaz sahipleri sistemlerinin bir botnet parçası olduğunu fark etmeyebilir.

Saldırgan binlerce veya daha fazla cihazı aynı hedefe yönlendirerek dağıtık saldırı oluşturabilir.

MITRE ATT&CK de büyük botnet'lerin dünyanın farklı noktalarına dağılmış sistemlerden yüksek hacimli trafik üretebildiğini belirtir. (MITRE ATT&CK)

Bu yapı DDoS saldırılarının engellenmesini zorlaştıran temel faktörlerden biridir.

### DDoS Saldırısında Hangi Sistemler Hedeflenebilir?

DDoS sadece web sitelerine yönelik değildir.

Hedef;

kurumsal web sitesi,

e-ticaret platformu,

mobil uygulama backend'i,

API Gateway,

DNS sunucusu,

VPN Gateway,

internet bağlantısı,

oyun sunucusu,

mail gateway,

authentication service,

cloud workload,

müşteri portalı

olabilir.

Bu nedenle DDoS Risk Assessment yapılırken yalnızca şirket web sitesi değerlendirilmemelidir.

**Internet-facing critical services** envanteri çıkarılmalıdır.

### DDoS Saldırısı Kurumlara Nasıl Zarar Verir?

DDoS saldırısının en görünür etkisi erişim kesintisidir.

Ancak gerçek iş etkisi bundan daha geniş olabilir.

#### Gelir Kaybı

E-ticaret veya online hizmet veren kurumlarda her dakika doğrudan gelir kaybı oluşturabilir.

#### Müşteri Memnuniyetsizliği

Kullanıcılar hizmete erişemediğinde alternatif platformlara yönelebilir.

#### İtibar Kaybı

Uzun süreli kesinti kurumun teknoloji ve güvenlik yetkinliği hakkında olumsuz algı oluşturabilir.

#### Operasyonel Maliyet

SOC, network, sistem, uygulama ve yönetim ekiplerinin olaya müdahale etmesi gerekir.

#### SLA İhlali

Kurumsal müşterilere verilen hizmet seviyesi taahhütleri ihlal edilebilir.

#### İş Sürekliliği Riski

Kritik dijital servislerin kesilmesi iş süreçlerini durdurabilir.

CISA da DDoS saldırılarının kurumlara zaman, para ve itibar maliyeti yaratabileceğine dikkat çekmektedir. (CISA)

### DDoS Saldırısı Nasıl Tespit Edilir?

DDoS detection yalnızca “trafik arttı” alarmından ibaret değildir.

Kurumun normal trafik davranışı bilinmelidir.

Bu yaklaşıma **Traffic Baseline** denir.

Örneğin normal durumda;

ortalama bandwidth,

PPS,

CPS,

HTTP request rate,

DNS query rate,

concurrent connection,

CPU utilization,

application response time

değerleri bilinmelidir.

Bu değerlerde beklenmeyen değişiklikler saldırının erken göstergesi olabilir.

MITRE'nin güncel detection yaklaşımı da Network DoS tespitinde yüksek trafik hacmi, anormal paket oranları ve tamamlanmamış TCP oturumları gibi davranışsal sinyalleri dikkate alır. (MITRE ATT&CK)

### DDoS Saldırısının Belirtileri Nelerdir?

Olası belirtiler arasında;

web sitesinin yavaşlaması,

yüksek latency,

packet loss,

CPU artışı,

firewall session sayısında ani yükseliş,

internet hattının doygunluğa ulaşması,

çok sayıda benzer HTTP isteği,

alışılmadık coğrafyalardan trafik,

DNS query artışı,

API response time artışı,

5xx hata oranının yükselmesi

bulunabilir.

Ancak bu belirtilerin tamamı DDoS anlamına gelmez.

Flash crowd veya başarılı bir kampanya da trafik artışı oluşturabilir.

Bu nedenle **normal kullanıcı yoğunluğu ile saldırı trafiğinin ayrılması** kritik öneme sahiptir.

### DDoS Koruması Nasıl Yapılır?

DDoS'a karşı tek bir güvenlik ürünüyle tam koruma sağlamak çoğu durumda gerçekçi değildir.

Katmanlı yaklaşım gerekir.

Kurumsal DDoS protection mimarisinde;

#### Anti-DDoS

yüksek hacimli ve protokol tabanlı saldırıların filtrelenmesi,

#### Scrubbing Center

trafiğin temizlenerek yalnızca meşru trafiğin kuruma iletilmesi,

#### CDN

web içeriğinin dağıtık altyapı üzerinden sunulması,

#### WAF

uygulama katmanı saldırılarının analiz edilmesi,

#### Rate Limiting

belirli istemci veya davranışların istek hızının sınırlandırılması,

#### Bot Management

otomasyon ve bot davranışlarının analiz edilmesi,

#### Load Balancing

trafiğin farklı sistemlere dağıtılması,

#### DNS Protection

DNS altyapısının saldırılara karşı korunması,

#### SOC/SIEM/NDR

olayların izlenmesi ve korelasyonu

birlikte değerlendirilebilir.

Modern DDoS savunmaları da L3/L4 ile L7 saldırılarını ayrı katmanlarda ele alır. (Cloudflare Docs)

### Firewall DDoS Saldırısını Engeller mi?

Bu sorunun cevabı:

**Saldırının türüne ve büyüklüğüne bağlıdır.**

Firewall belirli flood davranışlarını sınırlayabilir.

Connection limit uygulayabilir.

Belirli IP veya protokolleri engelleyebilir.

Ancak saldırı kurumun internet hattının kapasitesinden daha büyükse trafik firewall'a ulaşmadan önce bağlantıyı tüketebilir.

Örneğin kurumun 1 Gbps internet bağlantısı varsa ve çok daha yüksek hacimli saldırı upstream bağlantıyı dolduruyorsa içerideki firewall'un kapasitesinin yüksek olması problemi tek başına çözmez.

Bu nedenle volumetric DDoS korumasının saldırı trafiğini **kurumun internet hattına ulaşmadan önce** filtreleyebilmesi önemlidir.

### WAF DDoS Koruması Sağlar mı?

**Web Application Firewall – WAF**, özellikle Layer 7 saldırılarında önemli bir güvenlik katmanıdır.

WAF;

HTTP request pattern,

URL,

header,

cookie,

request rate,

client behavior

gibi bilgileri değerlendirebilir.

Ancak WAF'ı bütün DDoS türlerinin tek çözümü olarak görmek doğru değildir.

WAF ağırlıklı olarak uygulama katmanında çalışır.

Çok yüksek hacimli network saldırılarında upstream Anti-DDoS kapasitesi gerekebilir.

Bu nedenle:

**WAF + CDN + Anti-DDoS + Network Security**

birlikte değerlendirilmelidir.

### CDN DDoS Korumasında Nasıl Yardımcı Olur?

**Content Delivery Network – CDN**, içeriği farklı coğrafyalardaki dağıtık sistemlerden sunabilir.

Bu sayede trafik tek bir origin server üzerinde toplanmaz.

CDN;

cache,

distributed infrastructure,

edge filtering

gibi mekanizmalar sayesinde özellikle web servislerinin dayanıklılığını artırabilir.

Ancak CDN kullanılması kurumun otomatik olarak bütün DDoS saldırılarına karşı korunduğu anlamına gelmez.

Origin IP exposure,

DNS architecture,

API endpoints,

non-HTTP services

ayrıca değerlendirilmelidir.

### Scrubbing Center Nedir?

**DDoS Scrubbing Center**, internet trafiğinin analiz edilerek saldırı trafiğinin temizlenmesi ve meşru trafiğin hedef sisteme yönlendirilmesi için kullanılan altyapıdır.

Temel mantık şöyledir:

#### Internet Traffic

↓

#### Scrubbing Infrastructure

↓

**Malicious Traffic → Drop**

**Legitimate Traffic → Customer**

Özellikle yüksek hacimli volumetric saldırılarda scrubbing capacity kritik öneme sahiptir.

### DDoS Mitigation Nedir?

**DDoS Mitigation**, DDoS saldırısının etkisini azaltmak veya tamamen engellemek için uygulanan teknik ve operasyonel süreçlerin genel adıdır.

Mitigation yalnızca trafik bloklamak değildir.

Şunları içerebilir:

traffic filtering,

rate limiting,

IP reputation,

behavioral analysis,

challenge mechanism,

traffic diversion,

scrubbing,

autoscaling,

geo-based controls.

Önemli olan saldırı başladığında mitigation mekanizmasının ne kadar hızlı devreye girdiğidir.

### Always-On DDoS Protection ile On-Demand DDoS Protection Arasındaki Fark

Kurumsal DDoS çözümlerinde iki farklı yaklaşım görülebilir.

#### Always-On DDoS Protection

Trafik sürekli koruma altyapısından geçirilir veya sürekli analiz edilir.

Avantajı saldırıya daha hızlı tepki verebilmesidir.

#### On-Demand DDoS Protection

Normal trafik standart rotadan ilerler.

Saldırı tespit edildiğinde trafik mitigation altyapısına yönlendirilir.

Burada detection ve diversion süresi önemlidir.

Hangi modelin daha doğru olduğu kurumun;

risk profili,

servis kritikliği,

latency gereksinimi,

maliyet yapısı,

network mimarisi

üzerinden değerlendirilmelidir.

### DDoS Dayanıklılık Testi Nedir?

Bir kurumda Anti-DDoS çözümünün bulunması gerçek saldırıda kesinlikle çalışacağı anlamına gelmez.

Bu nedenle kontrollü **DDoS dayanıklılık testi** veya **DDoS saldırı simülasyonu** gerçekleştirilebilir.

Amaç gerçek hizmet kesintisi yaratmak değildir.

Amaç güvenli sınırlar içerisinde kurumun DDoS savunmasının nasıl tepki verdiğini ölçmektir.

Test sırasında;

network capacity,

firewall behavior,

WAF,

CDN,

Anti-DDoS,

SOC,

SIEM,

alert mechanism,

Incident Response

birlikte değerlendirilebilir.

### DDoS Testinde Sadece Trafik Kapasitesi mi Ölçülür?

Hayır.

Profesyonel DDoS saldırı simülasyonunun asıl değeri budur.

Örneğin şu sorular sorulmalıdır:

#### Saldırı doğru tespit edildi mi?

#### Anti-DDoS otomatik devreye girdi mi?

#### SOC alarm aldı mı?

#### Network ekibine bildirim ulaştı mı?

#### WAF Layer 7 saldırısını ayırt edebildi mi?

#### Gerçek kullanıcılar hizmet almaya devam etti mi?

#### Application response time ne kadar etkilendi?

#### Mitigation ne kadar sürede başladı?

#### Saldırı bittikten sonra servis normal hale döndü mü?

Böylece çalışma bir bandwidth testinden çıkarak gerçek **DDoS Resilience Assessment** haline gelir.

### DDoS Saldırısı ile Penetrasyon Testi Aynı Şey midir?

Hayır.

**Penetration Test – Sızma Testi**, sistemlerdeki güvenlik açıklarını belirleyerek yetkisiz erişim veya güvenlik ihlali risklerini değerlendirmeye odaklanır.

**DDoS testi** ise ağırlıklı olarak erişilebilirlik ve hizmet dayanıklılığını ölçer.

Pentest:

**“Sisteme girebilir miyim?”**

sorusunu sorabilir.

DDoS simülasyonu ise:

**“Sistemin hizmet vermesini engelleyebilir miyim ve kurum buna nasıl tepki verir?”**

sorusuna odaklanır.

İki çalışma birbirinin alternatifi değildir.

Farklı güvenlik risklerini ölçer.

### DDoS Testi Neden Kontrollü Yapılmalıdır?

DDoS testleri diğer birçok güvenlik testinden farklı olarak doğrudan hizmet kapasitesini etkileyebilir.

Bu nedenle test öncesinde;

yetkilendirme,

Rules of Engagement,

hedef IP'ler,

maksimum trafik seviyesi,

test saatleri,

stop conditions,

acil iletişim kişileri,

ISP/CDN/Anti-DDoS koordinasyonu

net olarak belirlenmelidir.

Yanlış planlanmış bir DDoS testi gerçek hizmet kesintisine dönüşebilir.

Bu nedenle kurumsal DDoS simülasyonu kontrollü ve kademeli gerçekleştirilmelidir.

### DDoS Incident Response Planı Neden Gereklidir?

Saldırı başladığında ilk kez:

**“Şimdi ne yapacağız?”**

sorusunun sorulması geç olabilir.

Kurumun önceden hazırlanmış bir **DDoS Incident Response Playbook**'u bulunmalıdır.

Bu playbook;

SOC,

Network,

System,

Application,

ISP,

CDN,

Anti-DDoS sağlayıcısı,

yönetim

arasındaki sorumlulukları tanımlamalıdır.

Özellikle iletişim bilgileri ve escalation mekanizmaları saldırıdan önce doğrulanmalıdır.

### DDoS Saldırısı İş Sürekliliğinin Bir Parçası mıdır?

Kesinlikle.

DDoS teknik bir network saldırısı olsa da sonucu iş sürekliliği problemidir.

Bir bankanın mobil bankacılığı,

bir e-ticaret şirketinin ödeme sayfası,

bir holdingin müşteri portalı,

bir SaaS şirketinin API'si

erişilemez hale geldiğinde sorun artık yalnızca SOC'un problemi değildir.

Bu nedenle **Business Continuity Plan – BCP** ve **Disaster Recovery – DR** süreçlerinde DDoS senaryoları da değerlendirilmelidir.

### Kurumlar DDoS Riskini Nasıl Değerlendirmeli?

İlk adım kritik internet servislerinin belirlenmesidir.

Ardından her servis için şu sorular sorulabilir:

#### Servis internete nasıl çıkıyor?

#### Internet kapasitesi nedir?

#### Origin IP dışarıdan görülebiliyor mu?

#### CDN kullanılıyor mu?

#### WAF bulunuyor mu?

#### Anti-DDoS hizmeti mevcut mu?

#### DNS altyapısı redundant mı?

#### L3/L4 koruması var mı?

#### Layer 7 protection var mı?

#### Rate limiting uygulanıyor mu?

#### SOC saldırıyı görebiliyor mu?

#### DDoS playbook hazır mı?

#### Son DDoS testi ne zaman gerçekleştirildi?

Bu sorular kurumun gerçek **DDoS Readiness** seviyesini ortaya çıkarır.

### DDoS Güvenliğinde En Büyük Hata: “Bizde Anti-DDoS Var”

Bir güvenlik ürününün satın alınması riskin tamamen ortadan kalktığı anlamına gelmez.

Anti-DDoS hizmeti bulunabilir.

Ancak yanlış yapılandırılmış olabilir.

Traffic threshold yanlış olabilir.

Origin IP açık olabilir.

Layer 7 servisi korunmuyor olabilir.

DNS farklı altyapıda olabilir.

SOC entegrasyonu yapılmamış olabilir.

Saldırı sırasında kimin sağlayıcıyı arayacağı bilinmiyor olabilir.

Bu nedenle temel soru:

**“DDoS koruma ürünümüz var mı?”**

değil,

**“DDoS saldırısı gerçekleştiğinde bütün savunma zincirimiz gerçekten çalışıyor mu?”**

olmalıdır.

### Sonuç: DDoS Koruması Bir Ürün Değil, Dayanıklılık Sürecidir

DDoS saldırıları modern kurumların dijital hizmetlerini doğrudan hedefleyen önemli erişilebilirlik tehditlerinden biridir.

Saldırı;

bant genişliğini,

network cihazlarını,

TCP bağlantılarını,

DNS servislerini,

web uygulamalarını,

API'leri

hedefleyebilir.

Bu nedenle tek bir savunma mekanizması bütün saldırı türleri için yeterli değildir.

Güçlü bir DDoS savunması;

**Anti-DDoS + Scrubbing + CDN + WAF + DNS Security + Rate Limiting + Network Monitoring + SOC + Incident Response**

katmanlarının birlikte çalışmasını gerektirir.

Ancak bütün bunların üzerinde başka bir gereklilik vardır:

**Test etmek.**

Çünkü kağıt üzerinde çalışan güvenlik mimarisi ile gerçek saldırı altında çalışan güvenlik mimarisi aynı şey değildir.

Kurumun;

kaç Gbps veya PPS trafiği karşılayabildiği,

hangi saldırı tiplerini otomatik tespit ettiği,

hangi noktada servisin yavaşladığı,

hangi noktada Anti-DDoS sisteminin devreye girdiği,

SOC'un saldırıyı ne kadar sürede fark ettiği

ölçülmelidir.

İşte **Kurumsal DDoS Saldırı Simülasyonu ve DDoS Dayanıklılık Testi** tam olarak bu nedenle gerçekleştirilir.

Ama DDoS dayanıklılığını doğru ölçebilmek için önce saldırıların birbirinden nasıl ayrıldığını anlamamız gerekir.

Çünkü bir **SYN Flood**, bir **DNS Amplification** saldırısı ve bir **HTTP Flood** aynı DDoS saldırısı değildir.

Farklı kaynakları hedefler.

Farklı belirtiler üretir.

Ve farklı savunma mekanizmaları gerektirir.