# Layer 3 ve Layer 4 DDoS Saldırıları Nedir? SYN Flood, UDP Flood ve Ağ Katmanı Riskleri

**URL:** https://securesys.com.tr/tr/bilgi-merkezi/ddos-simulasyonu/layer-3-layer-4-ddos-saldirilari

![Layer 3 ve Layer 4 DDoS Saldırıları Nedir? SYN Flood, UDP Flood ve Ağ Katmanı Riskleri](/images/bilgi-merkezi/covers/cover-ddos-04.webp)

Bir kurumun web uygulaması teknik olarak tamamen sağlıklı olabilir.

Sunucular çalışıyor olabilir.

Veritabanı ayakta olabilir.

Uygulama hatasız cevap veriyor olabilir.

Ancak network katmanı yoğun saldırı trafiği nedeniyle cevap veremiyorsa kullanıcı açısından sonuç aynıdır:

**Hizmet erişilemez hale gelir.**

İşte Layer 3 ve Layer 4 DDoS saldırılarının temel etkisi burada ortaya çıkar.

Bu saldırılar doğrudan uygulamanın iç mantığını hedeflemek zorunda değildir. Bunun yerine;

- internet bağlantısı,
- router,
- firewall,
- load balancer,
- connection table,
- packet processing kapasitesi,
- TCP/UDP servisleri

gibi ağ ve transport katmanındaki kaynakları tüketmeye çalışır.

Bu nedenle **Layer 3 DDoS, Layer 4 DDoS, SYN Flood, UDP Flood, TCP Flood, PPS, CPS, firewall session exhaustion ve Anti-DDoS** kavramları kurumsal DDoS güvenliğinin temel parçalarındandır.

Asıl soru şudur:

#### Uygulamanız değil, ağınız saldırıya uğrarsa ne olur?

#### Layer 3 DDoS Nedir?

**Layer 3 DDoS**, OSI modelinin Network Layer katmanını hedefleyen DDoS saldırılarını ifade eder.

Bu katmanın temel görevi IP paketlerinin ağlar arasında taşınmasıdır.

Layer 3 seviyesinde saldırganın hedefi;

IP altyapısı,

network bandwidth,

router kapasitesi,

paket işleme yeteneği

olabilir.

Bu tür saldırılarda hedef uygulamanın hangi teknolojiyle yazıldığı çoğu zaman önemli değildir.

Web uygulaması Java, .NET, PHP veya Node.js olabilir.

Saldırı uygulama koduna ulaşmadan önce network katmanını tüketebilir.

Bu nedenle L3 DDoS saldırılarıyla mücadelede **upstream DDoS protection ve network-level mitigation** önemlidir.

### Layer 4 DDoS Nedir?

**Layer 4 DDoS**, OSI modelinin Transport Layer seviyesindeki servis ve protokolleri hedefleyen saldırıları ifade eder.

Bu seviyede en önemli protokoller;

#### TCP

ve

#### UDP

olarak düşünülebilir.

Layer 4 saldırılarında hedef;

connection state,

socket,

session table,

firewall resources,

load balancer kapasitesi,

server network stack

gibi bileşenler olabilir.

En bilinen Layer 4 saldırılarından biri **SYN Flood**'dur.

### Layer 3 ile Layer 4 Arasındaki Fark Nedir?

Layer 3 ve Layer 4 DDoS saldırıları çoğu zaman aynı başlık altında ele alınır.

Ancak hedefledikleri kaynak açısından fark bulunur.

#### Layer 3

IP ve network routing seviyesinde çalışır.

#### Layer 4

TCP/UDP ve bağlantı yönetimi seviyesinde çalışır.

Kurumsal dünyada birçok Anti-DDoS servisi bu iki katmanı birlikte:

#### L3/L4 DDoS Protection

şeklinde sunar.

Bu nedenle teknik dokümanlarda da iki kavramı birlikte görmek oldukça yaygındır.

### SYN Flood Nedir?

**SYN Flood**, TCP bağlantı mekanizmasını hedefleyen en bilinen DDoS saldırılarından biridir.

TCP iletişimi başlamadan önce üç aşamalı bağlantı süreci gerçekleşir.

Bu yapı:

#### TCP Three-Way Handshake

olarak adlandırılır.

Genel süreç şöyledir:

#### \1. SYN

İstemci sunucuya bağlantı isteği gönderir.

#### \2. SYN-ACK

Sunucu isteğe cevap verir.

#### \3. ACK

İstemci bağlantıyı tamamlar.

SYN Flood saldırısında çok sayıda yeni bağlantı başlatılır ancak bağlantıların tamamı normal şekilde tamamlanmayabilir.

Sunucu veya güvenlik cihazı bu bağlantılar için kaynak ayırmaya devam edebilir.

Sonuçta çok sayıda **half-open connection – yarım açık bağlantı** oluşabilir.

### SYN Flood Neden Hizmet Kesintisine Neden Olur?

Bir sistemin aynı anda tutabileceği bağlantı sayısı sınırsız değildir.

Firewall,

load balancer,

işletim sistemi

belirli miktarda bağlantı durumunu bellekte tutabilir.

Saldırgan çok yüksek miktarda SYN trafiği oluşturursa bu kaynaklar tüketilebilir.

Sonuç olarak gerçek kullanıcıdan gelen yeni TCP bağlantıları kabul edilemeyebilir.

Bu nedenle saldırının gerçek etkisi sadece trafik miktarıyla ölçülmemelidir.

Şu metrikler de önemlidir:

#### SYN PPS

#### Half-Open Connections

#### Connection Table Usage

#### CPU

#### Memory

#### TCP Timeout

### TCP Three-Way Handshake DDoS Güvenliği İçin Neden Önemlidir?

TCP stateful bir protokoldür.

Yani bağlantının durumu takip edilir.

Bu durum normal iletişim için gereklidir.

Ancak aynı özellik saldırgan tarafından kaynak tüketme amacıyla kötüye kullanılabilir.

Bir firewall da stateful çalışıyorsa gelen bağlantılar için state table oluşturabilir.

Dolayısıyla SYN Flood sadece sunucuyu değil, önündeki güvenlik cihazını da etkileyebilir.

Bu nedenle DDoS testinde sadece backend sunucunun performansı değil, **firewall state table capacity** de ölçülmelidir.

### SYN Cookies Nedir?

SYN Flood saldırılarına karşı kullanılan savunma yöntemlerinden biri **SYN Cookies** yaklaşımıdır.

Amaç sunucunun bağlantı tamamlanmadan önce gereksiz state bilgisi tutmasını azaltmaktır.

Bu sayede çok sayıda yarım bağlantının oluşturduğu kaynak tüketimi sınırlandırılabilir.

Ancak SYN Cookies tek başına bütün Layer 4 DDoS saldırılarını çözmez.

Çünkü saldırı;

çok yüksek PPS,

firewall saturation,

upstream bandwidth exhaustion

oluşturuyorsa sorun başka noktada ortaya çıkabilir.

### SYN Proxy Nedir?

Bazı firewall ve Anti-DDoS sistemleri **SYN Proxy** benzeri mekanizmalar kullanabilir.

Burada güvenlik cihazı istemciyle ilk TCP handshake sürecini kendisi yönetebilir.

Bağlantının gerçek olduğundan emin olduktan sonra backend sisteme iletebilir.

Bu yaklaşım sahte veya tamamlanmayan bağlantıların sunucuya ulaşmasını azaltabilir.

Ancak yüksek saldırı hacminde güvenlik cihazının kendi kapasitesi de değerlendirilmelidir.

### TCP Connection Flood Nedir?

SYN Flood bağlantının ilk aşamasını hedefler.

**TCP Connection Flood** ise çok sayıda gerçek TCP bağlantısının tamamlanmasıyla kaynak tüketilmesini amaçlayabilir.

Bu durumda bağlantılar tamamen kurulmuş olabilir.

Dolayısıyla yalnızca SYN Flood koruması yeterli olmayabilir.

Hedef;

concurrent connection,

server worker,

load balancer capacity,

application socket

gibi kaynaklar olabilir.

Bu nedenle DDoS savunmasının bağlantının tamamlanmış olmasını otomatik olarak güvenilir kabul etmemesi gerekir.

### ACK Flood Nedir?

**ACK Flood**, hedefe yoğun miktarda ACK paketinin gönderilmesiyle gerçekleştirilen Layer 4 saldırı yaklaşımıdır.

Stateful firewall gelen ACK paketinin geçerli bir bağlantıya ait olup olmadığını kontrol etmeye çalışabilir.

Yüksek PPS seviyelerinde bu işlem kaynak tüketebilir.

Bu nedenle firewall kapasitesi sadece:

#### Gbps

ile değerlendirilmemelidir.

Bir firewall 20 Gbps throughput destekliyor olabilir.

Ancak küçük paketlerden oluşan çok yüksek PPS saldırısında daha erken kaynak limitine ulaşabilir.

### RST Flood Nedir?

**RST**, TCP bağlantılarını sonlandırmak amacıyla kullanılan flag'lerden biridir.

Yoğun RST trafiklerinin belirli sistem veya cihazlarda kaynak tüketimi oluşturması mümkündür.

Kurumsal DDoS analizinde temel yaklaşım tek tek saldırı isimlerini ezberlemek değil, şu soruyu sormaktır:

#### Bu trafik hangi network kaynağını tüketiyor?

Bu yaklaşım savunmanın daha doğru tasarlanmasını sağlar.

### UDP Flood Nedir?

**UDP Flood**, Layer 4 seviyesinde yaygın olarak görülen saldırı türlerinden biridir.

UDP connectionless bir protokoldür.

TCP'deki gibi three-way handshake bulunmaz.

Bu özellik saldırgan açısından yüksek miktarda paket üretimini kolaylaştırabilir.

UDP Flood sırasında hedefe yoğun miktarda UDP paketi gönderilebilir.

Amaç;

network bandwidth,

packet processing,

firewall,

router,

sunucu

kaynaklarını tüketmek olabilir.

### UDP Flood Neden Tehlikelidir?

UDP'nin connectionless olması nedeniyle saldırgan çok yüksek PPS seviyelerine ulaşabilir.

Ayrıca küçük paketler kullanıldığında bandwidth görece düşük görünürken packet rate son derece yüksek olabilir.

Örneğin iki saldırıyı karşılaştıralım:

#### Saldırı A

10 Gbps

500.000 PPS

#### Saldırı B

5 Gbps

8 milyon PPS

İkinci saldırı daha düşük bandwidth üretmesine rağmen firewall veya router üzerinde daha ağır etki oluşturabilir.

Bu nedenle DDoS kapasitesi yalnızca Gbps ile ölçülmemelidir.

### PPS Nedir?

**Packets Per Second – PPS**, saniyede işlenen paket sayısını ifade eder.

Network cihazlarının en önemli kapasite göstergelerinden biridir.

Bir firewall;

yüksek bandwidth kapasitesine

sahip olabilir.

Ancak çok küçük paketlerden oluşan yüksek PPS saldırısı cihazın packet processing limitine ulaşmasına neden olabilir.

Bu nedenle Anti-DDoS ve firewall değerlendirmesinde:

#### Gbps + PPS

birlikte incelenmelidir.

### CPS Nedir?

**Connections Per Second – CPS**, saniyede oluşturulan yeni bağlantı sayısını ifade eder.

Özellikle stateful firewall ve load balancer'lar için önemli bir kapasite metriğidir.

Bir cihaz milyonlarca concurrent connection tutabiliyor olabilir.

Ancak saniyede oluşturabileceği yeni connection miktarı daha düşük olabilir.

SYN Flood ve TCP Connection Flood gibi saldırılarda CPS seviyesi bu nedenle kritik hale gelir.

### Concurrent Connection Nedir?

**Concurrent Connections**, aynı anda aktif durumda bulunan toplam bağlantı sayısını ifade eder.

Örneğin firewall;

5 milyon concurrent connection

destekliyor olabilir.

Ancak gerçek kapasite;

trafik profili,

packet size,

NAT,

IPS,

SSL inspection,

logging

gibi özelliklerden etkilenebilir.

Bu nedenle üretici datasheet'indeki maksimum değerler gerçek DDoS dayanıklılığının tek göstergesi değildir.

### Firewall Session Table Nedir?

Stateful firewall'lar aktif bağlantıları takip etmek için **session table** kullanır.

Her bağlantı için;

source IP,

destination IP,

source port,

destination port,

protocol,

state

gibi bilgiler tutulabilir.

Bir saldırgan çok sayıda bağlantı oluşturarak session table'ı tüketmeye çalışabilir.

Bu durum **Session Exhaustion** olarak değerlendirilebilir.

Session table dolduğunda yeni gerçek kullanıcı bağlantıları oluşturulamayabilir.

### Firewall DDoS Saldırısında Darboğaz Olabilir mi?

Evet.

Kurumların yaptığı önemli hatalardan biri firewall'u sadece güvenlik kontrolü olarak görmektir.

Oysa firewall aynı zamanda kapasitesi sınırlı bir network cihazıdır.

DDoS sırasında;

CPU,

memory,

session table,

NAT table,

packet processing,

logging

kaynakları tüketilebilir.

Özellikle IPS, SSL inspection veya yoğun logging aktifse cihazın gerçek kapasitesi değişebilir.

Bu nedenle kontrollü DDoS testlerinde firewall telemetry mutlaka izlenmelidir.

### NAT Table Exhaustion Nedir?

**Network Address Translation – NAT**, birçok kurumsal networkte kullanılmaktadır.

NAT işlemleri sırasında bağlantı durumlarının takip edilmesi gerekir.

Çok sayıda bağlantı NAT kaynaklarının tüketilmesine neden olabilir.

Bu nedenle DDoS saldırısı doğrudan backend'i değil, NAT yapan firewall veya router'ı etkileyebilir.

Buradaki kritik soru:

#### Saldırı sırasında ilk tükenen kaynak nedir?

DDoS dayanıklılık analizinin temel amacı bunu bulmaktır.

### Amplification Saldırıları L3/L4 DDoS ile Nasıl İlişkilidir?

Reflection ve Amplification saldırıları genellikle network seviyesinde yüksek hacimli trafik üretmek için kullanılır.

Saldırgan internet üzerindeki üçüncü taraf sistemlerden yararlanarak trafiği hedefe yönlendirebilir.

Örneğin;

DNS,

NTP

ve tarihsel olarak kötüye kullanılmış farklı UDP servisleri üzerinden amplification davranışları görülebilir.

Bu saldırılar özellikle volumetric DDoS kapasitesi açısından önemlidir.

### IP Spoofing Nedir?

**IP Spoofing**, paketin kaynak IP adresinin sahte olarak oluşturulmasıdır.

Reflection saldırılarının temel bileşenlerinden biridir.

Saldırgan gönderdiği sorgunun source IP alanına kurbanın adresini yazar.

Üçüncü taraf servis yanıtını saldırgana değil kurbana gönderir.

Bu nedenle gelen DDoS trafiğinin kaynak IP adresleri gerçek saldırgan sistemlerini göstermeyebilir.

### BCP38 Nedir ve DDoS ile İlişkisi Nedir?

Internet servis sağlayıcı tarafında kaynak IP doğrulama mekanizmalarının uygulanması spoofed traffic'in azaltılmasına yardımcı olabilir.

Bu yaklaşım genellikle **BCP38 / Network Ingress Filtering** kavramlarıyla ilişkilendirilir.

Amaç bir networkten çıkması mümkün olmayan sahte source IP paketlerinin engellenmesidir.

Bu tür önlemler yaygınlaştıkça reflection/amplification saldırılarının gerçekleştirilmesi zorlaşabilir.

Ancak bütün internet altyapılarında aynı seviyede uygulanmadığı için risk tamamen ortadan kalkmaz.

### MTU ve Packet Size DDoS Testinde Neden Önemlidir?

DDoS saldırısının etkisi sadece toplam trafik miktarından oluşmaz.

Packet size da önemlidir.

Büyük paketler daha hızlı bandwidth tüketebilir.

Küçük paketler ise daha yüksek PPS oluşturarak network cihazlarının işlem kapasitesini zorlayabilir.

Bu nedenle DDoS testlerinde farklı paket boyutlarının değerlendirilmesi faydalıdır.

Örneğin:

#### Large Packet Attack

bandwidth tüketimini ön plana çıkarabilir.

#### Small Packet Flood

packet processing kapasitesini hedefleyebilir.

### Gbps Yüksek Olmadan Sistem Çökebilir mi?

Evet.

Bu DDoS güvenliğinde en önemli noktalardan biridir.

Örneğin şirketin 10 Gbps bağlantısı olabilir.

Saldırı sadece 2 Gbps olabilir.

İlk bakışta kapasite yeterli görünür.

Ancak saldırı 15 milyon PPS oluşturuyorsa firewall packet processing kapasitesi tükenebilir.

Sonuç:

İnternet hattı dolmamıştır.

Ama hizmet yine erişilemezdir.

Bu nedenle:

#### Bandwidth capacity ≠ DDoS capacity

olarak düşünmek gerekir.

### ISP DDoS Korumasında Neden Önemlidir?

Volumetric DDoS saldırısında saldırı trafiği kurumun internet hattını dolduruyorsa içeride alınan önlemler yetersiz kalabilir.

Bu durumda saldırının upstream seviyede filtrelenmesi gerekir.

ISP;

blackholing,

traffic diversion,

scrubbing,

rate limiting

gibi mekanizmalar sağlayabilir.

Bu nedenle DDoS Incident Response planında ISP iletişim süreçleri önceden belirlenmelidir.

### RTBH Nedir?

**Remotely Triggered Black Hole – RTBH**, ciddi DDoS saldırılarında kullanılabilen network mitigation yöntemlerinden biridir.

Belirli hedefe giden trafik upstream seviyede blackhole'a yönlendirilebilir.

Bu yöntem saldırı trafiğinin network altyapısını tüketmesini engelleyebilir.

Ancak önemli dezavantajı vardır:

**Meşru trafik de hedefe ulaşamaz.**

Bu nedenle RTBH çoğunlukla son çare niteliğinde değerlendirilebilir.

Amaç kurumun diğer altyapısını saldırı etkisinden korumak olabilir.

### BGP Flowspec Nedir?

**BGP FlowSpec**, network operatörlerinin belirli trafik pattern'lerine yönelik filtreleme politikalarını dağıtmasına olanak sağlayan mekanizmalardan biridir.

Örneğin belirli;

source,

destination,

protocol,

port

özelliklerine göre trafik filtreleri uygulanabilir.

Büyük servis sağlayıcı ve Anti-DDoS mimarilerinde network tabanlı mitigation süreçlerinin parçası olabilir.

### Scrubbing Center L3/L4 Saldırılarında Nasıl Çalışır?

Scrubbing Center saldırı trafiğini kurumun altyapısına ulaşmadan önce analiz etmeyi ve temizlemeyi amaçlar.

Genel akış şu şekilde olabilir:

#### Internet

↓

#### DDoS Traffic Detection

↓

#### Traffic Diversion

↓

#### Scrubbing Center

↓

**Malicious Traffic → Drop**

**Legitimate Traffic → Customer**

Bu model özellikle volumetric ve L3/L4 saldırılarında önemlidir.

Çünkü kurumun internet hattının saldırı trafiğiyle dolmasını önlemeye yardımcı olabilir.

### Traffic Diversion Nasıl Yapılır?

DDoS mitigation sırasında trafik farklı yöntemlerle scrubbing altyapısına yönlendirilebilir.

Mimariye göre;

BGP routing,

DNS-based routing,

cloud proxy,

Anycast

gibi yaklaşımlar kullanılabilir.

Buradaki en önemli konu diversion süresidir.

Saldırı başladıktan sonra trafiğin temizleme merkezine yönlendirilmesi dakikalar sürerse bu süre boyunca hizmet kesintisi yaşanabilir.

Bu nedenle **Time to Mitigate – TTM** kritik bir metriktir.

### Always-On ile On-Demand L3/L4 Koruma

**Always-On** modelinde trafik sürekli Anti-DDoS altyapısından geçebilir.

Bu durum saldırıya hızlı müdahale avantajı sağlar.

**On-Demand** modelinde ise normal trafik doğrudan kuruma gelir.

Anomali tespit edildiğinde trafik scrubbing servisine yönlendirilir.

On-Demand yaklaşımında;

detection,

notification,

route diversion

süreleri önemlidir.

Hangi modelin daha uygun olduğu kurumun risk ve latency gereksinimlerine göre belirlenmelidir.

### Anycast DDoS Korumasında Nasıl Kullanılır?

**Anycast**, aynı IP adresinin farklı coğrafi noktalardan duyurulmasını sağlayabilen network mimarisidir.

Kullanıcı trafiği genellikle kendisine en uygun veya yakın noktaya yönlendirilir.

DDoS açısından avantajı saldırı trafiğinin tek bir veri merkezinde toplanmak yerine geniş dağıtık altyapıya yayılabilmesidir.

Bu nedenle büyük CDN ve cloud DDoS sağlayıcıları Anycast mimarilerinden yararlanabilir.

Ancak Anycast tek başına saldırı temizleme mekanizması değildir.

Dağıtık kapasite sağlar.

### Load Balancer DDoS Saldırısında Neden Kritik?

Load balancer uygulama trafiğini farklı backend sistemlere dağıtır.

Ancak load balancer'ın da;

connection capacity,

CPS,

throughput,

CPU

gibi sınırları vardır.

Saldırgan backend'lerden önce load balancer'ı hedefleyen kaynak tüketimi oluşturabilir.

Bu nedenle DDoS testinde load balancer kapasitesi ayrıca değerlendirilmelidir.

### Network ACL DDoS Korumasında Ne İşe Yarar?

Network Access Control List'ler belirli;

IP,

protocol,

port

trafiğini filtrelemek için kullanılabilir.

Belirgin saldırı pattern'lerinde faydalı olabilir.

Ancak dağıtık ve spoofed kaynaklardan gelen saldırılarda statik ACL yaklaşımı tek başına yeterli olmayabilir.

Ayrıca çok geniş ACL kuralları meşru trafiği etkileyebilir.

Bu nedenle otomatik DDoS mitigation mekanizmaları daha dinamik davranış analizi sağlayabilir.

### Geo-Blocking DDoS'a Karşı Etkili midir?

Bazı durumlarda saldırı trafiğinin büyük bölümü kurumun hiçbir müşterisinin bulunmadığı bölgelerden geliyor olabilir.

Bu durumda geçici **Geo-Blocking** değerlendirilebilir.

Ancak dikkatli uygulanmalıdır.

VPN,

mobil operatör,

global müşteri,

cloud exit node

gibi faktörler gerçek kullanıcıların farklı coğrafyalardan görünmesine neden olabilir.

Bu nedenle geo-blocking ana DDoS stratejisi değil, belirli durumlarda destekleyici kontrol olarak düşünülmelidir.

### Rate Limiting Layer 4'te Kullanılabilir mi?

Rate limiting yalnızca HTTP seviyesinde kullanılmaz.

Network cihazları da;

connection rate,

SYN rate,

packet rate

gibi kriterlere göre limit uygulayabilir.

Ancak threshold değerlerinin doğru belirlenmesi gerekir.

Çok düşük threshold gerçek kullanıcıları engelleyebilir.

Çok yüksek threshold ise saldırının etkili olmasına izin verebilir.

Bu nedenle normal trafik baseline'ı mutlaka bilinmelidir.

### Baseline Olmadan DDoS Threshold Belirlenebilir mi?

Sağlıklı biçimde belirlemek zordur.

Örneğin firewall'da:

**SYN Rate Limit = 10.000/s**

tanımlandı.

Peki gerçek kampanya dönemlerinde kurum 15.000 SYN/s görüyorsa ne olacak?

Meşru kullanıcılar engellenebilir.

Bu nedenle threshold değerleri;

normal trafik,

peak traffic,

kampanya dönemi,

beklenen büyüme

dikkate alınarak belirlenmelidir.

### SOC Layer 3 ve Layer 4 DDoS'u Nasıl Tespit Eder?

SOC farklı telemetry kaynaklarını birlikte değerlendirebilir.

Örneğin;

NetFlow,

sFlow,

firewall logs,

router telemetry,

Anti-DDoS events,

NDR,

SIEM

verileri kullanılabilir.

Önemli sinyaller;

ani bandwidth artışı,

PPS artışı,

SYN/ACK oranındaki bozulma,

source IP çeşitliliği,

port bazlı anomali,

connection failure artışı

olabilir.

### NetFlow Nedir?

**NetFlow**, network trafik akışlarına ilişkin özet verilerin toplanmasını sağlayan teknolojilerden biridir.

Her paketin tam içeriğini tutmak yerine;

source IP,

destination IP,

protocol,

port,

byte count,

packet count

gibi flow bilgileri sağlanabilir.

DDoS analizi sırasında trafik davranışını anlamak için oldukça değerlidir.

### NDR Layer 3/4 DDoS'u Nasıl Görür?

**Network Detection and Response – NDR**, network davranışlarındaki anomalileri analiz edebilir.

Örneğin;

normal dışı packet rate,

beklenmeyen protocol dağılımı,

çok sayıda source IP,

yüksek connection failure

gibi davranışlar tespit edilebilir.

NDR özellikle baseline ile karşılaştırmalı davranış analizi açısından değerli olabilir.

### SIEM Korelasyonu Neden Gereklidir?

Bir DDoS saldırısı sırasında;

Anti-DDoS alarm üretebilir.

Firewall CPU yükselir.

Application response time artar.

DNS sorguları değişir.

ISP bildirim gönderir.

Bu olayların her biri farklı sistemlerde bulunabilir.

SIEM bunları ilişkilendirerek güvenlik ekibine daha anlamlı saldırı görünümü sunabilir.

Bu nedenle iyi bir DDoS detection modeli tek bir alarmdan oluşmamalıdır.

### L3/L4 DDoS Testi Nasıl Yapılır?

Kurumsal DDoS dayanıklılık testinde Layer 3 ve Layer 4 senaryoları kontrollü olarak uygulanabilir.

Test öncesinde;

hedef IP,

protokol,

packet size,

PPS,

CPS,

maksimum bandwidth,

test süresi,

stop conditions

belirlenmelidir.

Test kademeli şekilde artırılabilir.

Her aşamada sistem kaynakları izlenir.

Amaç sistemi plansız şekilde çökertmek değil, **dayanıklılık sınırını kontrollü biçimde ölçmektir.**

### L3/L4 DDoS Testinde Neler Ölçülmelidir?

Profesyonel testte şu metrikler değerlendirilebilir:

#### Bandwidth

Gbps seviyesi.

#### PPS

Paket işleme yükü.

#### CPS

Yeni bağlantı kapasitesi.

#### Concurrent Sessions

Toplam session kullanımı.

#### Firewall CPU/Memory

Güvenlik cihazı kaynak tüketimi.

#### Packet Loss

Network kaybı.

#### Latency

Gecikme.

#### Mitigation Time

Anti-DDoS'ın devreye girme süresi.

#### Legitimate Traffic Availability

Gerçek kullanıcıların hizmet alıp alamadığı.

Bu metrikler saldırının gerçek etkisini gösterir.

### L3/L4 DDoS Korumasında En Büyük Hata Nedir?

En yaygın hatalardan biri sadece datasheet kapasitesine bakmaktır.

Örneğin:

#### Firewall Throughput: 100 Gbps

bilgisi tek başına DDoS dayanıklılığı anlamına gelmez.

Gerçek ortamda;

IPS,

NAT,

logging,

SSL inspection,

session tracking

aktif olabilir.

Aynı cihaz 10 milyon PPS altında farklı davranabilir.

Bu nedenle gerçek performans kurumun kendi konfigürasyonu altında doğrulanmalıdır.

### L3/L4 Koruma Mimarisi Nasıl Olmalıdır?

Kurumun yapısına göre değişmekle birlikte katmanlı bir mimari şöyle düşünülebilir:

#### Internet

↓

#### ISP / Upstream Protection

↓

#### Anti-DDoS / Scrubbing

↓

#### Edge Router

↓

#### Firewall

↓

#### Load Balancer

↓

#### Application Infrastructure

Amaç saldırı trafiğini mümkün olduğunca dış katmanda durdurmaktır.

Çünkü saldırı firewall'a kadar ulaştıysa upstream kapasite zaten tüketilmiş olabilir.

### L3/L4 DDoS ile Business Continuity Arasındaki İlişki

Layer 3 ve Layer 4 saldırıları teknik network problemi gibi görünür.

Ancak sonuç doğrudan iş sürekliliğine yansır.

Bir kurumun;

internet bankacılığı,

e-ticaret sitesi,

müşteri portalı,

VPN hizmeti,

API

network seviyesinde erişilemez hale gelirse business process durabilir.

Bu nedenle DDoS koruması yalnızca network ekibinin değil, **Cyber Resilience ve Business Continuity** stratejisinin parçasıdır.

### Sonuç: Gbps Tek Başına DDoS Dayanıklılığını Göstermez

Layer 3 ve Layer 4 DDoS saldırıları, uygulama katmanına ulaşmadan kurumun internet erişilebilirliğini etkileyebilir.

SYN Flood;

TCP connection state kaynaklarını tüketebilir.

UDP Flood;

yüksek PPS ve bandwidth oluşturabilir.

TCP Connection Flood;

concurrent session limitlerini zorlayabilir.

ACK Flood;

stateful güvenlik cihazlarının packet processing kapasitesini etkileyebilir.

Reflection ve Amplification;

saldırganın trafik etkisini büyütebilir.

Bu nedenle kurumun:

**“Kaç Gbps saldırıya dayanıyoruz?”**

sorusunu sorması tek başına yeterli değildir.

Daha doğru sorular şunlardır:

#### Kaç PPS işleyebiliyoruz?

#### Kaç CPS kaldırabiliyoruz?

#### Firewall session table hangi seviyede doluyor?

#### Internet hattı nerede doygunluğa ulaşıyor?

#### Anti-DDoS kaç saniyede mitigation başlatıyor?

#### Scrubbing devreye girdiğinde gerçek kullanıcı erişimi devam ediyor mu?

#### SOC saldırıyı ne kadar sürede görüyor?

Gerçek DDoS dayanıklılığı bütün bu değerlerin birlikte ölçülmesiyle anlaşılır.

Ancak network katmanının güçlü olması kurumun tamamen güvende olduğu anlamına gelmez.

Çünkü saldırgan firewall'u aşmak zorunda kalmadan tamamen geçerli HTTP istekleriyle uygulamanın kendi kaynaklarını tüketebilir.

Trafik miktarı düşük olabilir.

TCP bağlantıları tamamen normal olabilir.

HTTPS geçerli olabilir.

Fakat login servisi, API, search fonksiyonu veya database backend'i yine de kullanılamaz hale gelebilir.

Bu bizi DDoS saldırılarının en zor tespit edilen alanlarından birine götürür:

**Layer 7 – Application Layer DDoS.**