Layer 7 DDoS Saldırısı Nedir? HTTP Flood, API DDoS ve Uygulama Katmanı Saldırıları

DDoS saldırıları denildiğinde çoğu kişinin aklına devasa trafik hacimleri gelir.

Gbps seviyesinde saldırılar.

Milyonlarca paket.

İnternet hattını dolduran botnet'ler.

Ancak modern DDoS saldırılarının tamamı bu şekilde çalışmaz.

Bazı saldırılar çok daha düşük trafik hacmiyle, doğrudan uygulamanın en maliyetli noktalarını hedefleyebilir.

Bir login servisi.

Bir arama fonksiyonu.

Bir raporlama ekranı.

Bir ödeme API'si.

Bir GraphQL sorgusu.

Bir authentication endpoint'i.

Bu tür saldırılar Layer 7 DDoS – Application Layer DDoS olarak adlandırılır.

Layer 7 DDoS saldırılarında hedef yalnızca network bant genişliği değildir.

Amaç web uygulamasının, API'nin veya backend servislerinin işlem kapasitesini tüketmektir.

Bu nedenle Layer 7 saldırıları çoğu zaman klasik volumetric DDoS saldırılarından daha zor tespit edilir.

Çünkü saldırı trafiği teknik olarak tamamen geçerli görünebilir.

HTTP isteği doğrudur.

TLS bağlantısı doğrudur.

TCP bağlantısı doğrudur.

URL gerçektir.

Sorun isteğin kendisinden çok;

yoğunluğu, davranış şekli ve backend üzerindeki maliyetidir.

Bu nedenle kurumsal DDoS güvenliğinde Layer 7 DDoS, HTTP Flood, API DDoS, WAF, Bot Management, Rate Limiting ve Application Resilience birlikte ele alınmalıdır.

Layer 7 DDoS Nedir?

Layer 7 DDoS, OSI modelinin Application Layer seviyesinde gerçekleşen ve web uygulamaları, API'ler veya uygulama servislerinin kaynaklarını tüketmeyi amaçlayan DDoS saldırılarını ifade eder.

Bu saldırılarda hedef;

• web server,
• application server,
• authentication service,
• API Gateway,
• database,
• cache,
• search engine,
• payment service,
• microservice backend

olabilir.

Layer 7 saldırıları genellikle HTTP veya HTTPS üzerinden gerçekleştirilir.

Bu nedenle trafik, network seviyesinde tamamen normal görünebilir.

Asıl anomali uygulama davranışında ortaya çıkar.

Layer 7 DDoS ile Layer 3/4 DDoS Arasındaki Fark Nedir?

Layer 3 ve Layer 4 saldırıları çoğunlukla;

bandwidth,

packet processing,

connection table,

TCP/UDP kaynakları

üzerinde etkili olur.

Layer 7 saldırıları ise doğrudan uygulamanın kendisini hedefler.

Örneğin:

Layer 3/4

1 milyon paket gönderilir.

Layer 7

1.000 karmaşık API isteği gönderilir.

İkinci saldırı çok daha düşük network trafiği oluşturabilir.

Ancak her istek backend üzerinde çok daha fazla işlem gerçekleştirdiği için uygulama yine kullanılamaz hale gelebilir.

Bu nedenle:

DDoS büyüklüğü her zaman Gbps ile ölçülmez.

Layer 7 saldırılarında Requests Per Second – RPS, backend maliyeti ve response time daha anlamlı olabilir.

HTTP Flood Nedir?

HTTP Flood, bir web uygulamasına çok sayıda HTTP request gönderilerek sistem kaynaklarının tüketilmesini amaçlayan Application Layer DDoS saldırısıdır.

Bu istekler;

GET,

POST,

PUT

veya diğer HTTP yöntemlerini kullanabilir.

HTTP Flood'un tehlikeli tarafı isteklerin geçerli olmasıdır.

Örneğin:

GET /urunler

normal bir request olabilir.

POST /login

normal bir request olabilir.

GET /api/search

normal bir request olabilir.

Ancak binlerce bot aynı işlemi tekrar tekrar gerçekleştirdiğinde uygulamanın kaynakları tüketilebilir.

GET Flood Nedir?

GET Flood, çok sayıda HTTP GET request gönderilmesiyle gerçekleştirilen Layer 7 saldırısıdır.

Örneğin saldırgan;

ürün listeleme,

arama,

rapor görüntüleme,

dinamik içerik

gibi endpoint'leri hedefleyebilir.

Burada kritik nokta şudur:

Her GET isteği aynı maliyette değildir.

Statik bir dosya CDN tarafından kolayca cevaplanabilir.

Ancak dinamik sayfa;

database query,

cache lookup,

session validation,

backend processing

gerektirebilir.

Dolayısıyla saldırgan yüksek maliyetli GET endpoint'lerini seçebilir.

POST Flood Nedir?

POST Flood, sunucu üzerinde işlem gerçekleştiren POST request'lerinin yoğun şekilde gönderilmesiyle oluşan Layer 7 saldırısıdır.

Örneğin;

login,

form gönderimi,

arama,

ödeme isteği,

API transaction

gibi işlemler POST kullanabilir.

POST request'leri bazı sistemlerde GET isteklerine göre daha fazla backend kaynağı tüketebilir.

Bu nedenle WAF ve API gateway üzerinde yalnızca toplam trafik değil, endpoint bazlı davranış izlenmelidir.

Layer 7 Saldırılarda Neden Gbps Düşük Olabilir?

Bir HTTP isteği birkaç kilobyte olabilir.

Ancak bu istek backend üzerinde;

10 database query,

authentication,

cache miss,

external API call,

PDF generation

gibi işlemler tetikleyebilir.

Saldırgan açısından bu son derece verimlidir.

Düşük trafik gönderir.

Yüksek işlem maliyeti oluşturur.

Bu yaklaşım Asymmetric Resource Consumption olarak düşünülebilir.

Saldırganın maliyeti düşüktür.

Kurumun maliyeti yüksektir.

Expensive Endpoint Nedir?

Expensive Endpoint, bir request işlendiğinde backend üzerinde yüksek kaynak tüketen URL veya API fonksiyonudur.

Örneğin;

/search

/reports/export

/login

/api/recommendation

/invoice/create

gibi endpoint'ler yüksek maliyetli olabilir.

Bu endpoint'ler;

database,

CPU,

memory,

third-party API

kaynaklarını yoğun kullanabilir.

Layer 7 DDoS dayanıklılığında bu endpoint'lerin önceden belirlenmesi önemlidir.

API DDoS Nedir?

API DDoS, API servislerini hedefleyen Application Layer DDoS saldırılarını ifade eder.

Modern şirketlerde API'ler kritik rol oynar.

Mobil uygulamalar,

partner entegrasyonları,

mikroservisler,

ödeme sistemleri

API üzerinden çalışabilir.

Bu nedenle API erişilebilirliği doğrudan iş sürekliliğiyle ilişkilidir.

Bir saldırganın API'yi tamamen kapatması gerekmeyebilir.

Response time'ın ciddi şekilde yükselmesi bile hizmet kalitesini bozabilir.

API'ler Neden DDoS İçin Değerli Hedeftir?

Bir API request'i çoğu zaman arka planda başka servisleri tetikler.

Örneğin;

API Gateway

↓

Authentication Service

↓

Application Service

↓

Database

↓

Third-Party Service

tek bir request ile çalışabilir.

Saldırgan ön taraftaki küçük isteği kullanarak çok daha büyük backend maliyeti oluşturabilir.

Bu nedenle API Security yalnızca authentication ve authorization konusu değildir.

Availability ve resource protection da API güvenliğinin parçasıdır.

GraphQL DDoS Riski Nedir?

GraphQL, istemcinin hangi verileri istediğini daha esnek şekilde tanımlamasına olanak sağlar.

Bu esneklik yanlış sınırlandırıldığında kaynak tüketimi riskine dönüşebilir.

Örneğin karmaşık veya derin sorgular;

çok sayıda resolver,

nested query,

database işlem

oluşturabilir.

Bu nedenle GraphQL ortamlarında;

query depth limit,

query complexity,

rate limiting,

timeout,

resource quota

gibi kontroller önemlidir.

Buradaki temel prensip:

Bir request'in maliyeti sadece byte sayısıyla ölçülmemelidir.

Authentication Endpoint Neden Kritik Hedeftir?

Login servisleri Layer 7 saldırıları açısından kritik olabilir.

Çünkü login işlemi;

password hashing,

database lookup,

MFA interaction,

risk analysis,

identity provider request

gibi işlemler oluşturabilir.

Binlerce sahte login isteği authentication servisinin kaynaklarını tüketebilir.

Ayrıca gerçek kullanıcıların giriş yapmasını zorlaştırabilir.

Bu nedenle login endpoint'lerinde;

rate limiting,

bot detection,

adaptive challenge,

account protection

gibi kontroller gereklidir.

Login Flood ile Brute Force Aynı Şey midir?

Hayır.

Brute force saldırısında amaç genellikle hesabın parolasını bulmaktır.

Login Flood'da ise hedef authentication servisini yormak olabilir.

Aynı trafik iki farklı güvenlik amacı taşıyabilir.

Bu nedenle SOC ve WAF sisteminin bağlamı doğru anlaması gerekir.

Bir login endpoint'ine yüksek trafik;

credential attack,

bot attack,

Layer 7 DDoS

veya gerçek kullanıcı yoğunluğu

olabilir.

Slowloris Nedir?

Slowloris, web sunucusundaki bağlantıları uzun süre açık tutmaya çalışan Application Layer DoS yaklaşımıdır.

Amaç çok yüksek trafik göndermek değildir.

Sunucuya bağlantı açılır ancak request tamamlanması mümkün olduğunca geciktirilir.

Sunucu bağlantı için kaynak ayırmaya devam eder.

Yeterli sayıda bağlantı olduğunda gerçek kullanıcılar için kullanılabilir connection azalabilir.

Bu yaklaşım Layer 7 saldırılarının neden sadece RPS ile ölçülemeyeceğini gösterir.

Slow POST Nedir?

Slow POST saldırılarında HTTP request body çok yavaş gönderilebilir.

Sunucu bağlantıyı açık tutarak request'in tamamlanmasını bekleyebilir.

Bu sırada worker veya connection kaynakları tüketilebilir.

Bu nedenle uygulama sunucularında;

connection timeout,

request timeout,

minimum data rate

gibi kontroller önemlidir.

Botnet Layer 7 DDoS İçin Nasıl Kullanılır?

Botnet yalnızca volumetric saldırılar için kullanılmaz.

Çok sayıda ele geçirilmiş cihaz normal HTTP request'leri de gönderebilir.

Bu durumda saldırı;

farklı IP'lerden,

farklı ülkelerden,

gerçek browser özelliklerine benzeyen istemcilerden

gelebilir.

Bu durum basit IP rate limiting'in etkisini azaltabilir.

Çünkü her bot düşük yoğunlukta trafik üretse bile toplamda ciddi yük oluşabilir.

Low and Slow Layer 7 DDoS Nedir?

Bazı saldırganlar saniyede yüz binlerce istek göndermek yerine çok sayıda botu düşük request rate ile kullanabilir.

Örneğin her bot;

dakikada birkaç request

gönderebilir.

Tek kullanıcı açısından davranış normal görünebilir.

Ama on binlerce bot birlikte uygulamayı zorlayabilir.

Bu yaklaşım Low and Slow DDoS olarak değerlendirilebilir.

Tespiti zordur çünkü klasik rate threshold'ları aşılmayabilir.

Bot Trafiği Gerçek Kullanıcıdan Nasıl Ayrılır?

Layer 7 DDoS savunmasının en zor konularından biri budur.

Gerçek kullanıcı da HTTP kullanır.

Bot da HTTP kullanır.

Bu nedenle birden fazla sinyal birlikte değerlendirilmelidir.

Örneğin;

request frequency,

navigation behavior,

cookie support,

JavaScript execution,

browser fingerprint,

session duration,

mouse interaction,

URL sequence,

IP reputation

gibi özellikler analiz edilebilir.

Bu yaklaşım Behavioral Bot Detection olarak adlandırılabilir.

Bot Management Nedir?

Bot Management, otomatik trafik ile gerçek kullanıcı davranışlarını ayırmaya yönelik güvenlik yaklaşımıdır.

Botların tamamı kötü değildir.

Örneğin;

search engine crawler,

monitoring bot,

partner integration

meşru olabilir.

Ama;

scraping bot,

credential stuffing bot,

DDoS bot

zararlı olabilir.

Bu nedenle amaç tüm botları engellemek değil, zararlı otomasyonu tanımaktır.

Browser Fingerprinting Nedir?

Browser fingerprinting, istemcinin;

browser özellikleri,

işletim sistemi,

TLS davranışı,

header yapısı,

JavaScript özellikleri

gibi sinyallerinden belirli bir profil oluşturulmasını ifade eder.

Bu yaklaşım kötü amaçlı botların tespitine yardımcı olabilir.

Ancak privacy ve false positive konuları dikkate alınmalıdır.

TLS Fingerprinting Nedir?

HTTPS trafiğinde şifreli içeriği doğrudan görmeden istemcinin TLS handshake özelliklerinden bazı davranışlar çıkarılabilir.

Bu yaklaşım TLS Fingerprinting olarak bilinir.

Belirli otomasyon araçları veya bot framework'leri benzer TLS davranışı gösterebilir.

Bu sinyaller Layer 7 DDoS ve bot detection süreçlerinde yardımcı olabilir.

Ancak tek başına kesin karar mekanizması olarak kullanılmamalıdır.

JA3 ve Benzeri Fingerprint Kavramları

TLS client davranışlarını sınıflandırmak için farklı fingerprinting yaklaşımları geliştirilmiştir.

Bu yöntemler istemcinin TLS handshake özelliklerini belirli bir fingerprint'e dönüştürebilir.

Bu tip telemetry SOC ve WAF sistemlerinin otomasyon davranışlarını anlamasına yardımcı olabilir.

Ancak modern botlar fingerprint davranışlarını taklit edebilir.

Bu nedenle çoklu sinyal kullanımı önemlidir.

Rate Limiting Nedir?

Rate Limiting, belirli istemci veya davranış için kabul edilen request miktarını sınırlar.

Örneğin;

bir IP için saniyede 10 login,

bir kullanıcı için dakikada 100 API request,

bir session için saniyede 5 search request

sınırı uygulanabilir.

Layer 7 DDoS savunmasında en temel kontrollerden biridir.

Ancak doğru threshold belirlemek gerekir.

Global Rate Limit ile Endpoint Rate Limit Arasındaki Fark

Global Rate Limit

Uygulamanın tamamına yönelik genel trafik sınırıdır.

Endpoint Rate Limit

Belirli URL veya API fonksiyonu için ayrı limit belirlenmesidir.

Layer 7 güvenliğinde endpoint bazlı rate limiting çoğu zaman daha anlamlıdır.

Çünkü /static endpoint'i ile /login aynı risk profiline sahip değildir.

User-Based Rate Limiting Nedir?

Sadece IP bazlı limit kullanmak her zaman yeterli değildir.

Bunun yerine;

user ID,

session,

API key,

device identifier

üzerinden rate limit uygulanabilir.

Bu yaklaşım NAT veya proxy arkasındaki gerçek kullanıcıların yanlışlıkla engellenmesini azaltabilir.

Adaptive Rate Limiting Nedir?

Adaptive Rate Limiting, sabit threshold yerine trafik davranışına göre dinamik limit uygulanmasıdır.

Örneğin normal trafik saniyede 100 request iken 500'e çıktığında farklı politika uygulanabilir.

Ancak kampanya döneminde normal baseline zaten 1.000 request olabilir.

Bu nedenle sistem geçmiş ve güncel davranışı birlikte değerlendirebilir.

Bu yaklaşım Layer 7 DDoS savunmasında daha esnek koruma sağlayabilir.

WAF Layer 7 DDoS'u Nasıl Engeller?

Web Application Firewall – WAF, HTTP/HTTPS trafiğini analiz ederek Layer 7 saldırılarını tespit etmeye yardımcı olabilir.

WAF;

URI,

method,

header,

cookie,

session,

request rate,

client reputation

gibi bilgileri değerlendirebilir.

Şüpheli davranışlarda;

block,

rate limit,

challenge,

JavaScript verification

gibi aksiyonlar uygulanabilir.

Ancak WAF'ın doğru tune edilmesi gerekir.

Aksi halde gerçek kullanıcı trafiği de etkilenebilir.

WAF Tek Başına Yeterli mi?

Hayır.

WAF Layer 7 savunmasının önemli bir parçasıdır.

Ancak uygulamanın backend mimarisi de dayanıklı olmalıdır.

Örneğin WAF saniyede 10.000 request geçiriyor.

Application server bunun yalnızca 2.000'ini işleyebiliyor.

Bu durumda darboğaz uygulamadır.

Bu nedenle Layer 7 güvenliği;

WAF + Application Architecture + Rate Limiting + Cache + Scaling + Monitoring

birlikte düşünülmelidir.

CDN Layer 7 DDoS'a Karşı Nasıl Yardımcı Olur?

CDN, cache edilebilir içeriği edge noktalarından sunabilir.

Bu durum origin üzerindeki yükü azaltır.

Örneğin;

image,

CSS,

JavaScript,

statik sayfalar

origin'e ulaşmadan cevaplanabilir.

Ancak login veya API gibi dinamik endpoint'ler yine origin'e gitmek zorunda olabilir.

Bu nedenle CDN Layer 7 savunmasını güçlendirir ama bütün problemi çözmez.

Cache DDoS Dayanıklılığını Nasıl Artırır?

Cache, aynı verinin tekrar tekrar backend tarafından üretilmesini engeller.

Örneğin aynı ürün sayfası için her request'te database sorgusu yapmak yerine cache kullanılabilir.

Bu durum Layer 7 saldırısında backend kaynak tüketimini azaltabilir.

Ancak saldırgan cache'i bypass eden farklı query string veya random URL'ler kullanabilir.

Bu nedenle cache davranışı da DDoS testlerinde değerlendirilmelidir.

Cache Busting Attack Nedir?

Saldırgan her request için farklı query parameter kullanarak cache miss oluşturmaya çalışabilir.

Örneğin:

/product?id=100&x=1

/product?id=100&x=2

/product?id=100&x=3

gibi istekler cache mekanizmasını atlatabilir.

Bu davranış Cache Busting olarak düşünülebilir.

Sonuç olarak her request origin'e ve database'e ulaşabilir.

Bu nedenle CDN ve cache policy'leri doğru yapılandırılmalıdır.

CAPTCHA Layer 7 DDoS'u Durdurur mu?

CAPTCHA otomatik botların ayrılmasına yardımcı olabilir.

Ancak her durumda uygun değildir.

Çünkü;

kullanıcı deneyimini bozar,

accessibility problemi oluşturabilir,

gelişmiş botlar bazı CAPTCHA sistemlerini aşabilir.

Bu nedenle CAPTCHA tek başına ana DDoS savunması olmamalıdır.

Daha çok riskli trafik için adaptif challenge mekanizması olarak kullanılabilir.

JavaScript Challenge Nedir?

Bazı edge güvenlik platformları istemcinin gerçek browser olup olmadığını değerlendirmek için JavaScript challenge kullanabilir.

Gerçek browser challenge'ı çözebilir.

Basit botlar başarısız olabilir.

Ancak API trafiğinde JavaScript kullanılamayabilir.

Dolayısıyla API DDoS savunması için farklı yöntemler gerekir.

API Key DDoS Koruması Sağlar mı?

API key istemciyi tanımlamaya yardımcı olabilir.

Bu sayede;

per-key rate limiting,

quota,

anomaly detection

uygulanabilir.

Ancak API key ele geçirilirse saldırgan geçerli anahtarla kötüye kullanım gerçekleştirebilir.

Bu nedenle API key;

authentication,

rate limit,

behavior analytics

ile birlikte kullanılmalıdır.

Authentication Olmayan API'ler Neden Daha Risklidir?

Public API'lerde kullanıcı kimliği bulunmayabilir.

Bu durumda rate limiting daha çok;

IP,

device,

token,

fingerprint

üzerinden yapılır.

Dağıtık botnet saldırısında bu sinyallerin her biri ayrı ayrı yetersiz olabilir.

Bu nedenle public API'ler için güçlü bot ve abuse detection önemlidir.

Layer 7 DDoS ve Database İlişkisi

Birçok Application Layer saldırısının gerçek hedefi web server değil database olabilir.

Örneğin saldırgan search endpoint'ini yoğun kullanır.

Her request database'de ağır sorgu oluşturur.

Web server hâlâ ayaktadır.

Ama database CPU %100'e ulaşır.

Sonuçta bütün uygulama yavaşlar.

Bu nedenle Layer 7 DDoS monitoring'de database telemetry de izlenmelidir.

Connection Pool Exhaustion Nedir?

Application server'lar database veya başka backend servislerine sınırlı sayıda connection kullanabilir.

Bu kaynak connection pool olarak adlandırılır.

Yoğun request altında pool tamamen dolabilir.

Yeni gerçek kullanıcı istekleri backend bağlantısı alamaz.

Bu durum uygulama erişilebilirliğini etkiler.

Bu nedenle sadece CPU ve memory değil, connection pool kullanım oranı da izlenmelidir.

Thread Pool Exhaustion Nedir?

Bazı application server'lar gelen request'leri işlemek için sınırlı worker veya thread kullanır.

Uzun süren veya pahalı request'ler bu kaynakların tamamını tüketebilir.

Sonuçta yeni request'ler sırada beklemeye başlar.

Bu durum Thread Pool Exhaustion olarak değerlendirilebilir.

Layer 7 DDoS saldırıları doğrudan bu kaynakları hedefleyebilir.

Timeout Neden Güvenlik Kontrolüdür?

Timeout yalnızca performans ayarı değildir.

Bir request'in sonsuza kadar kaynak tüketmesini engelleyebilir.

Örneğin;

HTTP timeout,

database query timeout,

backend API timeout

tanımlanmalıdır.

Aksi halde yavaş veya kötü amaçlı request'ler kaynakları uzun süre işgal edebilir.

Bu nedenle resilient application architecture DDoS güvenliğinin önemli parçasıdır.

Circuit Breaker Nedir?

Microservice mimarilerinde bir downstream servis çöktüğünde diğer servislerin sürekli ona request göndermesi zincirleme probleme neden olabilir.

Circuit Breaker yaklaşımı belirli hata eşiğinde başarısız servise çağrıları geçici olarak durdurabilir.

Bu sayede cascade failure riski azaltılabilir.

Layer 7 saldırılarında sadece hedef servis değil, ona bağlı diğer servislerin de çökmesi engellenebilir.

Bulkhead Pattern Nedir?

Bulkhead, bir uygulamadaki kaynakların farklı servisler veya işlemler arasında ayrıştırılması yaklaşımıdır.

Bir servis aşırı yük altında kaldığında bütün uygulamanın kaynaklarını tüketmemesi amaçlanır.

Bu mimari prensip DDoS dayanıklılığı açısından değerlidir.

Çünkü saldırganın tek endpoint üzerinden bütün platformu çökertmesini zorlaştırabilir.

Autoscaling Layer 7 DDoS'u Çözer mi?

Autoscaling trafik arttığında yeni application instance'ları oluşturabilir.

Bu availability açısından faydalıdır.

Ancak saldırgan trafiği sürekli artırıyorsa sistem sürekli scale olabilir.

Bu durumda maliyet hızla büyüyebilir.

Dolayısıyla autoscaling tek başına koruma değildir.

Trafiğin kötü amaçlı olup olmadığı da belirlenmelidir.

EDoS Nedir?

Economic Denial of Sustainability – EDoS, özellikle cloud ortamlarında saldırganın sistemi tamamen çökertmek yerine maliyetlerini sürdürülemez seviyeye çıkarmasını ifade eden yaklaşımdır.

Örneğin botlar yoğun request gönderir.

Cloud platform sürekli autoscale olur.

Servis ayakta kalır.

Ama aylık cloud maliyeti katlanarak artar.

Bu nedenle DDoS güvenliği teknik availability yanında cost resilience açısından da düşünülmelidir.

Layer 7 DDoS Nasıl Tespit Edilir?

Layer 7 tespitinde network bandwidth tek başına yeterli değildir.

Şu metrikler daha önemlidir:

Requests Per Second – RPS

Endpoint Request Distribution

HTTP Status Codes

Response Time

Session Behavior

Cache Hit Ratio

Backend CPU

Database Load

Connection Pool

Error Rate

Bu telemetry uygulama davranışının normalden sapıp sapmadığını gösterir.

HTTP 5xx Artışı Ne Anlama Gelir?

Layer 7 DDoS sırasında backend kaynakları tükendiğinde;

500,

502,

503,

504

gibi sunucu tarafı hata kodları artabilir.

Özellikle:

503 Service Unavailable

yük veya service exhaustion açısından önemli sinyal olabilir.

Ancak her 5xx artışı DDoS değildir.

Application bug veya upstream problem de olabilir.

Bu nedenle traffic context ile birlikte analiz edilmelidir.

Response Time Neden Kritik Metriktir?

Sistem tamamen down olmadan önce genellikle yavaşlamaya başlar.

Örneğin normal response time:

200 ms

iken saldırı sırasında:

2.500 ms

olabilir.

Teknik olarak sistem hâlâ cevap veriyor olabilir.

Ancak kullanıcı deneyimi ciddi şekilde bozulmuştur.

Bu nedenle DDoS dayanıklılık testlerinde sadece uptime değil, service quality de ölçülmelidir.

SOC Layer 7 DDoS'u Nasıl Görür?

SOC farklı kaynaklardan gelen sinyalleri ilişkilendirebilir.

Örneğin;

WAF request artışı,

application response time,

5xx error,

bot score,

CDN event,

API Gateway telemetry

birlikte değerlendirilebilir.

Layer 7 saldırılarında özellikle uygulama ve güvenlik ekipleri arasındaki koordinasyon önemlidir.

Çünkü network normal görünebilir.

Problemi ilk fark eden uygulama monitoring sistemi olabilir.

SIEM Layer 7 DDoS İçin Nasıl Kullanılır?

SIEM;

WAF,

CDN,

API Gateway,

Application Logs,

NDR,

Firewall

gibi kaynaklardan gelen verileri ilişkilendirebilir.

Örneğin:

Belirli endpoint'te RPS artışı

bot reputation alarmı

backend CPU artışı

5xx hata yükselişi

aynı saldırı olayının parçaları olabilir.

Bu tür korelasyonlar SOC'un Layer 7 saldırısını daha hızlı anlamasına yardımcı olur.

APM DDoS Güvenliği İçin Neden Önemlidir?

Application Performance Monitoring – APM, uygulamanın backend performansını izler.

Örneğin;

transaction latency,

database query time,

service dependency,

error rate

gibi veriler sağlar.

Layer 7 DDoS sırasında network güvenlik sisteminin göremediği uygulama darboğazlarını APM gösterebilir.

Bu nedenle DDoS operasyonunda APM verileri de değerlidir.

Layer 7 DDoS Testi Nasıl Yapılır?

Yetkilendirilmiş DDoS dayanıklılık testinde Layer 7 senaryoları kontrollü şekilde uygulanabilir.

Öncelikle;

kritik endpoint'ler,

normal RPS,

maximum accepted RPS,

response time SLA,

stop conditions

belirlenir.

Test trafiği kademeli olarak artırılır.

Her aşamada;

WAF,

CDN,

application,

database,

SOC

davranışı izlenir.

Amaç servisi kontrolsüz şekilde durdurmak değil, güvenli eşikleri bulmaktır.

Layer 7 DDoS Testinde Ne Ölçülmelidir?

Profesyonel testte şu sorulara cevap verilmelidir:

WAF saldırıyı gördü mü?

Rate limiting ne zaman devreye girdi?

Bot traffic tespit edildi mi?

Gerçek kullanıcılar engellendi mi?

Application response time ne kadar arttı?

Database hangi seviyede zorlandı?

CDN origin yükünü azalttı mı?

SOC alarmı ne kadar sürede gördü?

Mitigation sonrasında servis ne kadar sürede normale döndü?

Bu ölçümler testin gerçek değerini oluşturur.

Layer 7 DDoS Korumasında En Büyük Hata Nedir?

En büyük hatalardan biri sadece WAF'a güvenmektir.

WAF güçlü olabilir.

Ancak;

backend architecture,

database,

cache,

API design,

rate limiting

zayıfsa saldırı yine başarılı olabilir.

Benzer şekilde uygulama çok güçlü olabilir ancak WAF yanlış threshold nedeniyle gerçek kullanıcıları engelleyebilir.

Bu nedenle Layer 7 savunması uçtan uca düşünülmelidir.

Kurumsal Layer 7 DDoS Savunma Mimarisi

Genel bir mimari şu şekilde düşünülebilir:

Internet

↓

CDN / Edge Protection

↓

Bot Management

↓

WAF

↓

Rate Limiting

↓

Load Balancer

↓

Application

↓

Cache

↓

Database / Microservices

Her katman saldırı yükünü azaltmalıdır.

Ama herhangi bir katman sınırsız kabul edilmemelidir.

Layer 7 DDoS ile Business Continuity Arasındaki İlişki

Layer 7 saldırısı network ekibi açısından küçük görünebilir.

Örneğin saldırı yalnızca:

80 Mbps

olabilir.

Ancak ödeme API'si tamamen kullanılamıyorsa iş etkisi çok büyüktür.

Bu nedenle DDoS risk değerlendirmesinde teknik trafik miktarı değil, business service impact esas alınmalıdır.

Bir 100 Gbps saldırı başarıyla filtrelenebilir.

Ama 50 Mbps uygulama saldırısı satış sistemini durdurabilir.

Hangisi daha kritiktir?

Cevap iş etkisine bağlıdır.

Sonuç: En Büyük DDoS Saldırısı Her Zaman En Fazla Trafik Gönderen Değildir

Layer 7 DDoS saldırıları modern dijital servislerin en kritik availability risklerinden biridir.

Çünkü saldırgan network güvenliğini aşmak zorunda değildir.

Geçerli HTTP request'leri kullanabilir.

Geçerli HTTPS bağlantısı oluşturabilir.

Gerçek browser'a benzeyebilir.

Düşük trafik hacmi kullanabilir.

Ancak doğru endpoint hedeflendiğinde;

CPU,

database,

thread pool,

connection pool,

authentication service,

API backend

gibi kritik kaynaklar tüketilebilir.

Bu nedenle Layer 7 DDoS güvenliği yalnızca:

“Kaç Gbps saldırıya dayanıyoruz?”

sorusuyla ölçülmemelidir.

Şu sorular da sorulmalıdır:

Kaç RPS kaldırıyoruz?

En maliyetli endpoint hangisi?

WAF saldırı ile gerçek kullanıcıyı ayırabiliyor mu?

Bot Management ne kadar etkili?

API rate limit doğru mu?

Database hangi eşikte darboğaz oluyor?

Gerçek kullanıcı response time'ı ne zaman bozuluyor?

SOC bunu kaç dakikada görüyor?

Layer 7 dayanıklılığı ancak network güvenliği, application architecture ve güvenlik operasyonlarının birlikte test edilmesiyle anlaşılabilir.

Ve bu bizi DDoS güvenliğinin bir sonraki kritik sorusuna getirir:

Bir kurum gerçekten ne kadar saldırı kaldırabileceğini nasıl ölçer?

Sadece saldırının türünü bilmek yeterli değildir.

Hangi seviyede servis bozuluyor?

Mitigation hangi eşikte devreye giriyor?

İlk darboğaz nerede oluşuyor?

Bu soruların cevabı DDoS Dayanıklılık Testi ve Kapasite Analizi ile ortaya çıkar.