DDoS Saldırısı Nedir? DDoS Protection, Mitigation ve Network Resilience

Bir kurumun internet hattı 1 Gbps kapasiteye sahipse ve saldırgan bu hatta 20 Gbps trafik gönderirse önemli bir gerçek ortaya çıkar:

Firewall bu trafiği engellese bile internet hattı zaten dolmuş olabilir.

Bu nedenle DDoS güvenliği yalnızca firewall üzerinde birkaç rule tanımlamak değildir.

Gerçek DDoS protection;

internet servis sağlayıcı,

upstream network,

scrubbing center,

CDN,

Anycast,

WAF,

rate limiting,

BGP,

network capacity

ve incident response

gibi birçok katmanın birlikte değerlendirilmesini gerektirir.

DDoS'un açılımı:

Distributed Denial of Service

yani:

Dağıtık Hizmet Engelleme Saldırısı

olarak ifade edilir.

DDoS saldırılarının temel amacı çoğu zaman bir sistemi ele geçirmek değil;

erişilemez hale getirmektir.

Hedef;

web sitesi,

API,

VPN gateway,

DNS service,

e-commerce platform,

internet hattı,

firewall,

load balancer

veya başka bir internet-facing service

olabilir.

Modern DDoS saldırıları yalnızca yüksek bandwidth saldırılarından oluşmaz.

Saldırgan:

network kapasitesini,

protocol state tablolarını,

firewall session kapasitesini,

web application resource'larını,

backend database'i

veya application thread pool'larını

tüketmeye çalışabilir.

Bu nedenle modern DDoS protection yaklaşımı:

Detect → Absorb → Filter → Mitigate → Recover

zinciri üzerine kurulmalıdır.

DDoS Nedir?

DDoS:

Distributed Denial of Service

çok sayıda farklı source üzerinden target system veya network'e yoğun traffic veya request göndererek hizmetin erişilebilirliğini bozmaya yönelik saldırıdır.

DoS Nedir?

DoS:

Denial of Service

tek veya sınırlı source üzerinden hizmet kesintisi oluşturmaya yönelik saldırıdır.

DoS ile DDoS Arasındaki Fark Nedir?

DoS:

Single Source

DDoS:

Distributed Sources

üzerinden gerçekleştirilebilir.

Distributed Neden Önemlidir?

Binlerce farklı source IP saldırıya katılabilir.

Bu durum source-based blocking'i zorlaştırır.

DDoS'un Temel Hedefi Nedir?

Availability.

Yani:

Hizmeti kullanılamaz hale getirmek.

CIA Triad İçinde DDoS Neyi Hedefler?

CIA:

Confidentiality

Integrity

Availability

DDoS özellikle:

Availability

üzerinde etkilidir.

DDoS Hangi Sistemleri Hedef Alabilir?

Web Server

DNS Server

VPN Gateway

Firewall

API Gateway

Load Balancer

Internet Hattı DDoS Hedefi Olabilir mi?

Evet.

Hatta en kritik target'lardan biridir.

DDoS Attack Surface Nedir?

Internet'ten erişilebilir service ve infrastructure'ın DDoS açısından hedeflenebilir bölümleridir.

DDoS Saldırı Türleri Nelerdir?

Genel olarak üç kategoriyle değerlendirilebilir:

Volumetric Attacks

Protocol Attacks

Application Layer Attacks

Volumetric DDoS Nedir?

Hedef network'ün bandwidth kapasitesini tüketmeyi amaçlayan saldırıdır.

Volumetric Attack'ın Temel Amacı Nedir?

Internet link'i saturate etmektir.

Bandwidth Saturation Nedir?

Network hattının taşıyabileceğinden daha fazla traffic ile doldurulmasıdır.

Örnek

Internet Link:

1 Gbps

Attack:

15 Gbps

Bu durumda firewall attack traffic'i drop etse bile:

1 Gbps internet link zaten doludur.

Bu Neden Kritik?

Çünkü mitigation target network'e ulaşmadan önce yapılmalıdır.

Upstream Mitigation Nedir?

Attack traffic'in kurum network'üne gelmeden internet servis sağlayıcı veya cloud infrastructure seviyesinde filtrelenmesidir.

UDP Flood Nedir?

Çok sayıda UDP packet gönderilerek bandwidth veya processing capacity'nin tüketilmesidir.

UDP Connectionless Protocol müdür?

Evet.

Bu nedenle high-volume traffic üretmek için kullanılabilir.

ICMP Flood Nedir?

Çok sayıda ICMP packet göndererek target'ın veya network'ün kapasitesini tüketmeye yönelik saldırıdır.

Ping Flood Nedir?

ICMP Echo Request traffic'i kullanılarak gerçekleştirilen flood attack'tır.

Protocol-Based DDoS Nedir?

Network veya transport protocol'lerinin state ve processing mekanizmalarını tüketmeyi hedefleyen saldırıdır.

SYN Flood Nedir?

TCP connection establishment mekanizmasını hedefleyen DDoS türüdür.

TCP Three-Way Handshake Nedir?

TCP connection:

SYN

↓

SYN-ACK

↓

ACK

şeklinde kurulur.

SYN Flood Nasıl Etki Oluşturur?

Çok sayıda SYN request gönderilir.

Server veya firewall:

half-open connection

state tutmak zorunda kalabilir.

Half-Open Connection Nedir?

TCP handshake tamamlanmamış connection'dır.

SYN Table Exhaustion Nedir?

SYN state'leri nedeniyle connection table kapasitesinin tüketilmesidir.

SYN Cookie Nedir?

SYN Flood etkisini azaltmaya yönelik protection mechanism'larından biridir.

Stateful Firewall DDoS'tan Etkilenebilir mi?

Evet.

State Table Nedir?

Firewall'ın aktif connection bilgilerini tuttuğu tablodur.

State Table Exhaustion Nedir?

Çok sayıda connection ile firewall session kapasitesinin tüketilmesidir.

Concurrent Session Nedir?

Aynı anda açık olan network connection sayısıdır.

New Sessions Per Second Nedir?

Bir saniyede oluşturulabilen yeni session sayısıdır.

Firewall DDoS Kapasitesinde Neden Önemlidir?

Firewall bandwidth olarak yeterli görünse bile session rate nedeniyle zorlanabilir.

Datasheet Throughput Tek Başına Yeterli mi?

Hayır.

Bakılması gereken değerler arasında:

Firewall Throughput

IPS Throughput

Concurrent Sessions

New Sessions/Second

vardır.

Application Layer DDoS Nedir?

Layer 7 application request'leriyle server resource'larını tüketmeye yönelik saldırıdır.

Layer 7 Nedir?

OSI modelindeki Application Layer'dır.

HTTP Flood Nedir?

Çok sayıda HTTP request gönderilerek application'ın tüketilmesidir.

HTTPS Flood Nedir?

Encrypted HTTP request'leri üzerinden gerçekleştirilen Layer 7 DDoS attack'tır.

HTTPS Flood Neden Daha Zor Olabilir?

TLS processing additional CPU tüketebilir.

GET Flood Nedir?

Çok sayıda HTTP GET request gönderilmesidir.

POST Flood Nedir?

Application'ın processing gerektiren POST request'lerle hedeflenmesidir.

Layer 7 DDoS Neden Tehlikelidir?

Attack traffic legitimate user traffic'e benzeyebilir.

Application Resource Exhaustion Nedir?

CPU, memory, worker thread veya database connection pool gibi resource'ların tüketilmesidir.

Database DDoS Olabilir mi?

Dolaylı şekilde evet.

Expensive application request'leri backend database'i tüketebilir.

Expensive Query Nedir?

Yüksek CPU, memory veya I/O gerektiren database query'sidir.

API DDoS Nedir?

API endpoint'lerinin çok sayıda request ile hedeflenmesidir.

Authentication Endpoint DDoS Olabilir mi?

Evet.

Login, password reset veya MFA endpoint'leri high-processing-cost olabilir.

Botnet Nedir?

Attacker tarafından kontrol edilen çok sayıda compromise edilmiş cihazdan oluşan ağdır.

Bot Nedir?

Botnet içerisinde attacker komutu alan compromise edilmiş cihazdır.

IoT Botnet Nedir?

IP camera, router veya IoT device gibi cihazların botnet'e dönüştürülmesidir.

IoT Cihazları Neden Botnet İçin Kullanılır?

Weak password,

outdated firmware,

internet exposure

gibi nedenlerle compromise edilebilir.

Reflection Attack Nedir?

Attacker'ın üçüncü-party server'ları attack traffic üretmek için kullanmasıdır.

Amplification Attack Nedir?

Küçük request ile daha büyük response üretilmesini sağlayarak attack volume'un artırılmasıdır.

Reflection ve Amplification Aynı Şey mi?

Farklı kavramlardır ancak çoğu DDoS saldırısında birlikte kullanılabilir.

Spoofed Source IP Nedir?

Packet source IP bilgisinin sahte olarak değiştirilmesidir.

Reflection Attack'ta IP Spoofing Neden Kullanılır?

Response target victim IP'ye yönlendirilebilir.

DNS Amplification Nedir?

DNS server'ların amplification/reflection için kötüye kullanıldığı DDoS attack türüdür.

DNS Response Neden Amplification Oluşturabilir?

Request'ten daha büyük response üretilebilir.

Open Resolver Nedir?

Internet'ten herkesin DNS recursive query gönderebildiği DNS resolver'dır.

Open Resolver Riskli mi?

Evet.

DDoS amplification amacıyla kötüye kullanılabilir.

NTP Amplification Nedir?

NTP service'in reflection/amplification saldırısında kötüye kullanılmasıdır.

Memcached Amplification Nedir?

Yanlış yapılandırılmış internet-facing Memcached servislerinin amplification için kötüye kullanılmasına dayanan saldırı sınıfıdır.

CLDAP Amplification Nedir?

Connectionless LDAP servislerinin reflection/amplification attack amacıyla kötüye kullanılabilmesidir.

SSDP Amplification Nedir?

UPnP/SSDP service'lerinin amplification amacıyla kötüye kullanılmasıdır.

BCP 38 Nedir?

IP source spoofing'i azaltmaya yönelik network filtering best practice yaklaşımıdır.

Ingress Filtering Nedir?

Network'e giren packet source bilgilerinin doğrulanmasına yönelik filtering'dir.

Egress Filtering Nedir?

Network'ten çıkan traffic'in policy'ye göre sınırlandırılmasıdır.

DDoS Protection Nedir?

DDoS attack'larını:

tespit etmek,

filtrelemek,

absorbe etmek

ve hizmetin devamlılığını sağlamak

için kullanılan controls bütünüdür.

DDoS Mitigation Nedir?

DDoS traffic'in legitimate traffic'ten ayrılarak etkisinin azaltılmasıdır.

DDoS Protection ile Mitigation Arasındaki Fark Nedir?

Protection daha geniş security architecture'ı ifade eder.

Mitigation attack sırasında uygulanan traffic temizleme sürecidir.

DDoS Detection Nedir?

Traffic pattern içerisindeki attack behavior'ın belirlenmesidir.

DDoS Detection Neleri Kullanabilir?

Bandwidth

Packet Rate

Connection Rate

Request Rate

Baseline

Traffic Baseline DDoS İçin Neden Önemlidir?

Normal traffic bilinirse unusual spike daha hızlı fark edilir.

Dynamic Threshold Nedir?

Normal traffic behavior'a göre değişebilen alarm threshold'udur.

Static Threshold Nedir?

Önceden belirlenmiş sabit traffic limitidir.

Static Threshold Yeterli mi?

Her zaman değil.

Business traffic zamanla değişebilir.

Traffic Spike Nedir?

Kısa zamanda gerçekleşen hızlı traffic artışıdır.

Traffic Spike Her Zaman DDoS mudur?

Hayır.

Marketing campaign veya flash sale gibi legitimate olaylar olabilir.

Flash Crowd Nedir?

Gerçek kullanıcıların aynı anda service'e yoğun access göstermesidir.

Flash Crowd ile DDoS Nasıl Ayrılır?

Source behavior,

request pattern,

user behavior,

session characteristics

analiz edilmelidir.

Rate Limiting Nedir?

Belirli zaman aralığında kabul edilen request veya connection sayısının sınırlandırılmasıdır.

Rate Limit DDoS Koruması Sağlar mı?

Bazı attack türlerinde yardımcı olur.

Ancak volumetric attack için tek başına yeterli değildir.

Connection Rate Limit Nedir?

Bir source veya system için yeni connection hızının sınırlandırılmasıdır.

Request Rate Limit Nedir?

Application request sayısının belirli zaman aralığında sınırlandırılmasıdır.

Per-IP Rate Limit Nedir?

Her source IP için ayrı request limit uygulanmasıdır.

Per-IP Rate Limit Distributed Attack'ta Yeterli mi?

Her zaman değil.

Binlerce farklı IP kullanılabilir.

Behavioral Rate Limiting Nedir?

Request behavior ve context'e göre dinamik rate control uygulanmasıdır.

Adaptive Rate Limiting Nedir?

Traffic ve risk seviyesine göre limitlerin dinamik olarak değiştirilmesidir.

Scrubbing Center Nedir?

DDoS traffic'in temizlenerek legitimate traffic'in target'a iletildiği yüksek kapasiteli network infrastructure'dır.

Traffic Scrubbing Nedir?

Attack traffic ile legitimate traffic'in ayrıştırılmasıdır.

Scrubbing Center Nasıl Çalışır?

Attack traffic:

Internet

↓

Scrubbing Infrastructure

↓

Malicious Traffic Removed

↓

Clean Traffic

↓

Customer Network

On-Demand Scrubbing Nedir?

DDoS attack tespit edildiğinde traffic'in scrubbing center'a yönlendirilmesidir.

Always-On DDoS Protection Nedir?

Traffic'in sürekli mitigation infrastructure üzerinden geçtiği modeldir.

Always-On Avantajı Nedir?

Attack sırasında route değişikliği beklenmez.

On-Demand Avantajı Nedir?

Normal zamanda traffic path daha doğrudan olabilir.

DDoS Diversion Nedir?

Traffic'in mitigation provider'a yönlendirilmesi sürecidir.

BGP DDoS Mitigation'da Kullanılır mı?

Evet.

Traffic route değişiklikleri için kullanılabilir.

BGP Nedir?

BGP:

Border Gateway Protocol

internet routing'in temel protocol'lerinden biridir.

BGP Diversion Nedir?

Traffic route'unun scrubbing center üzerinden geçecek şekilde değiştirilmesidir.

GRE Tunnel Nedir?

Scrubbing sonrası clean traffic'in customer network'e geri iletilmesi için kullanılabilecek tunnel mekanizmalarından biridir.

BGP Flowspec Nedir?

BGP üzerinden traffic filtering policy dağıtımı sağlayan teknolojidir.

BGP Flowspec DDoS'ta Kullanılır mı?

Evet.

Belirli attack traffic pattern'lerini upstream seviyede filtrelemek için kullanılabilir.

RTBH Nedir?

RTBH:

Remotely Triggered Black Hole

belirli destination veya traffic'in upstream seviyede blackhole edilmesi yaklaşımıdır.

Blackhole Routing Nedir?

Belirli traffic'in intentionally drop edilmesidir.

Blackhole DDoS'u Durdurur mu?

Attack traffic target'a ulaşmaz.

Ancak legitimate traffic de drop olabilir.

Blackhole Routing Ne Zaman Kullanılır?

Son çare containment mekanizması olarak değerlendirilebilir.

Sinkhole Nedir?

Şüpheli traffic'in analiz veya containment için kontrollü destination'a yönlendirilmesidir.

Anycast Nedir?

Aynı IP address'in birden fazla geographic location'dan advertise edilmesidir.

Anycast DDoS Protection'a Nasıl Yardımcı Olur?

Attack traffic farklı PoP'lara dağıtılabilir.

PoP Nedir?

PoP:

Point of Presence

network provider'ın farklı geographic locations'daki erişim noktasıdır.

Anycast Attack Traffic'i Yok Eder mi?

Hayır.

Ancak traffic'i dağıtıp absorption capacity artırabilir.

CDN Nedir?

CDN:

Content Delivery Network

content'i distributed edge infrastructure üzerinden kullanıcılara ulaştıran sistemdir.

CDN DDoS Protection Sağlar mı?

Özellikle web traffic için ciddi avantaj sağlayabilir.

CDN Origin Server'ı Gizleyebilir mi?

Doğru yapılandırılırsa origin exposure azaltılabilir.

Origin Server Nedir?

Application'ın gerçek backend server'ıdır.

Origin IP Leak Nedir?

CDN arkasındaki gerçek server IP'sinin açığa çıkmasıdır.

Origin IP Leak Neden Risklidir?

Attacker CDN'i bypass ederek doğrudan origin'e attack gönderebilir.

Origin Firewall Nasıl Yapılandırılmalı?

Mümkünse yalnızca CDN/provider IP ranges üzerinden access kabul etmelidir.

WAF DDoS Koruması Sağlar mı?

Layer 7 attack'larda yardımcı olabilir.

WAF Nedir?

WAF:

Web Application Firewall

HTTP/HTTPS application traffic'ini analiz eden security control'dür.

WAF Volumetric DDoS'u Durdurabilir mi?

Internet link saturation oluşuyorsa tek başına hayır.

WAF Layer 7 DDoS'ta Ne Sağlar?

Request filtering,

bot management,

rate limiting

gibi controls sağlayabilir.

Bot Management Nedir?

Automated client behavior'ının tespit edilmesi ve kontrol edilmesidir.

Good Bot Nedir?

Search engine crawler gibi legitimate automated service'tir.

Bad Bot Nedir?

Scraping, credential attack veya DDoS amacıyla kullanılan bot'tur.

CAPTCHA DDoS Protection mıdır?

Bazı application-level automated attack'larda yardımcı olabilir.

Ancak tek başına DDoS protection değildir.

JavaScript Challenge Nedir?

Client'ın browser capability'sini doğrulamaya yönelik challenge mechanism'dir.

Proof-of-Work Challenge Nedir?

Client'ın belirli computational work gerçekleştirmesini isteyen challenge modelidir.

Challenge-Based Mitigation Nedir?

Legitimate client ile bot traffic'i ayırmaya yönelik challenge kullanılmasıdır.

Load Balancer DDoS Protection Sağlar mı?

Traffic'i dağıtabilir ancak capacity limitleri vardır.

Load Balancing Nedir?

Traffic'in birden fazla backend system'e dağıtılmasıdır.

Horizontal Scaling Nedir?

Daha fazla server instance eklenmesidir.

Auto Scaling DDoS'a Karşı Koruma Sağlar mı?

Availability artırabilir.

Ancak maliyet amplification riski yaratabilir.

Economic Denial of Sustainability Nedir?

Cloud resource'ların attack nedeniyle scale olup yüksek maliyet oluşturması riskidir.

Cloud DDoS Protection Nedir?

Cloud provider'ın distributed infrastructure üzerinde DDoS detection ve mitigation sağlamasıdır.

Cloud-Based DDoS Mitigation Neden Güçlüdür?

Çok yüksek network kapasitesine sahip olabilir.

On-Premise DDoS Appliance Nedir?

Kurum içerisinde DDoS detection ve filtering sağlayan cihazdır.

On-Premise DDoS Appliance Volumetric Attack'ı Tek Başına Durdurabilir mi?

Internet link saturation'dan önce traffic'e erişemiyorsa hayır.

On-Prem DDoS Appliance Ne İşe Yarar?

Protocol ve lower-volume attack'larda local protection sağlayabilir.

Ayrıca upstream mitigation trigger edebilir.

Hybrid DDoS Protection Nedir?

On-prem detection ile cloud/upstream mitigation'ın birlikte kullanılmasıdır.

Hybrid DDoS Architecture Nasıl Çalışır?

Local Detection

↓

Attack Confirmed

↓

Cloud Scrubbing Trigger

↓

Traffic Diversion

↓

Clean Traffic Return

ISP DDoS Protection Nedir?

Internet Service Provider seviyesinde attack traffic'in filtrelenmesidir.

Upstream Provider Nedir?

Kurumun internet connectivity aldığı üst network provider'dır.

ISP ile DDoS Prosedürü Önceden Belirlenmeli mi?

Evet.

Attack Anında ISP Telefonu Aramak Yeterli mi?

Gecikme yaratabilir.

Önceden agreed process olması daha güçlüdür.

DDoS Runbook Nedir?

Attack sırasında uygulanacak operational adımların tanımlandığı prosedürdür.

DDoS Playbook Nedir?

Belirli DDoS scenario'su için detection, escalation ve mitigation adımlarını içeren response planıdır.

DDoS Incident Response Nasıl Olmalı?

Detect

↓

Validate

↓

Classify

↓

Mitigate

↓

Monitor

↓

Recover

↓

Review

DDoS Classification Nedir?

Attack'ın:

Volumetric

Protocol

Application

hangisi olduğunun belirlenmesidir.

Attack Vector Nedir?

Saldırıda kullanılan yöntemdir.

Multi-Vector DDoS Nedir?

Aynı anda birden fazla attack vector kullanılmasıdır.

Örnek Multi-Vector Attack

UDP Flood

SYN Flood

HTTP Flood

Multi-Vector DDoS Neden Zordur?

Network ve application layer aynı anda etkilenebilir.

DDoS Telemetry Nedir?

Attack tespiti için kullanılan network ve application metrics'tir.

Hangi DDoS Metrics İzlenmeli?

Bits Per Second

Packets Per Second

Connections Per Second

Requests Per Second

BPS Nedir?

Bits Per Second.

Bandwidth volume ölçüsüdür.

PPS Nedir?

Packets Per Second.

Packet rate ölçüsüdür.

CPS Nedir?

Connections Per Second.

Connection creation rate'idir.

RPS Nedir?

Requests Per Second.

Application request rate'idir.

Neden Sadece Gbps'e Bakmak Yeterli Değildir?

Low bandwidth ancak high PPS attack network device CPU'sunu tüketebilir.

Small Packet DDoS Nedir?

Çok sayıda küçük packet ile packet-processing capacity'nin tüketilmesidir.

Packets Per Second Firewall İçin Neden Önemlidir?

Her packet processing resource tüketir.

DDoS Baseline Nedir?

Normal network ve application traffic profilidir.

Normal Traffic Baseline Neleri İçermeli?

BPS

PPS

CPS

RPS

Protocol Distribution

Time-of-Day Baseline Nedir?

Traffic pattern'in günün saatlerine göre değerlendirilmesidir.

DDoS Detection Threshold Nasıl Belirlenmeli?

Historical baseline ve business peak'lerine göre.

DDoS Alerting Nedir?

Attack göstergeleri görüldüğünde otomatik alarm üretilmesidir.

DDoS Alert SIEM'e Gitmeli mi?

Evet.

DDoS SOC Use Case'leri Nelerdir?

Traffic Spike

SYN Flood

UDP Flood

HTTP Flood

DNS Amplification

SOC DDoS'u Tek Başına Mitigate Eder mi?

Hayır.

Network, ISP ve application teams ile birlikte çalışmalıdır.

NOC ile SOC DDoS'ta Birlikte Çalışmalı mı?

Kesinlikle.

NOC Nedir?

Network Operations Center.

Network availability ve performance odaklı operasyon ekibidir.

DDoS Neden SOC + NOC Olayıdır?

Hem security attack hem availability incident'tır.

DDoS Escalation Matrix Nedir?

Attack severity'ye göre hangi ekibin devreye gireceğini gösteren plandır.

DDoS Severity Nasıl Belirlenir?

Traffic Volume

Service Impact

Attack Vector

Duration

DDoS SLA Nedir?

Mitigation service provider'ın detection ve response yükümlülüklerini tanımlayan service level agreement'dır.

Time to Detect Nedir?

Attack'ın başlaması ile detection arasındaki süredir.

Time to Mitigate Nedir?

Attack tespitinden etkili mitigation'a kadar geçen süredir.

TTM Nedir?

DDoS bağlamında:

Time to Mitigate

olarak kullanılabilir.

DDoS Protection Provider Seçerken Nelere Bakılmalı?

Network Capacity

Global PoP

Attack Detection

Mitigation SLA

Layer 7 Capability

Scrubbing Capacity Nedir?

Provider'ın temizleyebileceği toplam attack traffic kapasitesidir.

DDoS Provider'ın Network Kapasitesi Neden Önemlidir?

Attack provider kapasitesini aşarsa mitigation başarısız olabilir.

Always-On ile On-Demand Karşılaştırması

Özellik	Always-On	On-Demand
Detection/Mitigation	Sürekli	Attack sırasında
Route Change	Genellikle gerekmez	Gerekebilir
Latency	Sürekli etkileyebilir	Normalde daha düşük olabilir
Response Speed	Çok hızlı	Diversion süresine bağlı

DDoS High Availability ile Aynı Şey mi?

Hayır.

High Availability Nedir?

Bir system failure olduğunda diğer node'un service'i devam ettirmesidir.

HA DDoS'a Karşı Faydalı mı?

Kısmen.

Ancak tüm node'lar aynı attack traffic'i alıyorsa yeterli değildir.

Active-Active Architecture Nedir?

Birden fazla system'in aynı anda traffic işlemesidir.

Geographic Redundancy Nedir?

Service'in farklı geographic location'larda çalıştırılmasıdır.

Multi-Region Architecture DDoS'a Yardımcı Olur mu?

Evet.

Resilience artırabilir.

Network Resilience Nedir?

Attack, failure veya disruption durumunda network service'in çalışmaya devam edebilme yeteneğidir.

Resilience ile Security Aynı mı?

Hayır.

Security saldırıyı engellemeye çalışır.

Resilience saldırıya rağmen service'i devam ettirmeyi amaçlar.

DDoS Resilience Neleri İçerir?

Redundancy

Capacity

Failover

Diversification

Mitigation

Dual ISP Nedir?

Kurumun iki ayrı internet provider kullanmasıdır.

Dual ISP DDoS'u Çözer mi?

Tek başına hayır.

İki hat da attack hedefi olabilir.

Multi-Homing Nedir?

Network'ün birden fazla upstream provider'a bağlı olmasıdır.

BGP Multi-Homing Nedir?

Birden fazla ISP üzerinden BGP ile internet connectivity sağlanmasıdır.

Multi-Homing Resilience Sağlar mı?

Evet.

Ancak DDoS mitigation ayrıca planlanmalıdır.

DNS Resilience Nedir?

DNS service'in distributed ve redundant architecture ile çalışmasıdır.

Authoritative DNS DDoS Hedefi Olabilir mi?

Evet.

DNS Down Olursa Web Sitesi Çalışır mı?

Yeni kullanıcılar domain resolution yapamayabilir.

Anycast DNS Neden Kullanılır?

DNS traffic'i distributed nodes'a yönlendirmek için.

Secondary DNS Nedir?

Primary authoritative DNS'e ek redundant DNS infrastructure'dır.

Multi-Provider DNS Kullanılabilir mi?

Evet.

Critical services için değerlendirilebilir.

Origin Resilience Nedir?

Backend application infrastructure'ın failure ve attack'a dayanıklı tasarlanmasıdır.

CDN + Multi-Origin Nedir?

CDN arkasında birden fazla origin infrastructure kullanılmasıdır.

Health Check Nedir?

Backend service'in çalışıp çalışmadığının otomatik kontrolüdür.

Failover Nedir?

Primary service çalışmadığında backup service'e geçilmesidir.

DDoS Attack Sırasında Auto Scaling Kullanılmalı mı?

Controlled şekilde.

Cost Guardrail Nedir?

Cloud auto scaling nedeniyle sınırsız maliyet oluşmasını engelleyen financial/technical limit'tir.

Application Caching DDoS'a Yardımcı Olur mu?

Evet.

Backend processing requirement'ını azaltabilir.

Cache Hit Ratio Nedir?

Request'lerin ne kadarının cache üzerinden cevaplandığını gösterir.

Static Content CDN'e Taşınmalı mı?

Mümkünse evet.

Origin load'u azaltır.

API Rate Limit Kullanılmalı mı?

Evet.

Özellikle public API'lerde.

Authentication API İçin Ayrı Limit Olmalı mı?

Risk bazlı evet.

Expensive Endpoint Nedir?

Her request'te yüksek backend resource tüketen endpoint'tir.

Application DDoS Assessment Nedir?

Hangi endpoint'lerin resource exhaustion oluşturabileceğinin analizidir.

DDoS Attack Simulation Nedir?

Authorized controlled environment'da DDoS readiness'in değerlendirilmesidir.

DDoS Testi Production'da Yapılabilir mi?

Çok kontrollü planlanmalıdır.

Service impact riski vardır.

DDoS Readiness Assessment Nedir?

Kurumun attack karşısındaki detection, mitigation ve resilience kapasitesinin değerlendirilmesidir.

DDoS Readiness Assessment Neleri İnceler?

Internet Architecture

ISP Capacity

Firewall Capacity

DDoS Service

Runbook

DDoS Tabletop Exercise Nedir?

Gerçek traffic üretmeden attack scenario'sunun ekiplerle masa başında uygulanmasıdır.

Tabletop Exercise Neden Değerlidir?

Role ve escalation eksikleri görülür.

DDoS War Room Nedir?

Büyük attack sırasında network, security ve business ekiplerinin birlikte yönettiği incident coordination yapısıdır.

Communication Plan Neden Önemlidir?

Service outage sırasında customer ve management communication gerekir.

Status Page Nedir?

Service availability hakkında kullanıcılara bilgi verilen bağımsız platformdur.

Status Page Aynı Infrastructure'da Olmalı mı?

Mümkünse ana service'ten bağımsız çalışmalıdır.

DDoS Forensics Nedir?

Attack sonrası traffic ve logs üzerinden saldırının analizidir.

DDoS Forensics Hangi Verileri Kullanır?

NetFlow

Firewall Logs

WAF Logs

CDN Logs

Attack Source IP Listesi Ne Kadar Değerli?

Botnet nedeniyle hızla değişebilir.

Tek başına yeterli değildir.

Attack Pattern Neden Daha Değerli Olabilir?

Source değişse de traffic behavior devam edebilir.

DDoS Threat Intelligence Nedir?

Aktif botnet, attack infrastructure ve yeni vectors hakkında threat information kullanılmasıdır.

DDoS IOC Nedir?

Attack source veya infrastructure'ı gösteren technical indicator'dır.

DDoS TTP Nedir?

Attacker'ın DDoS gerçekleştirmek için kullandığı tactics ve techniques'tir.

DDoS Attack Trend Monitoring Neden Önemlidir?

Protection policy güncellenebilir.

Firewall DDoS Protection Özellikleri Nelerdir?

SYN Protection

Connection Limit

Rate Limit

DoS Policy

gibi özellikler bulunabilir.

Firewall Üzerindeki DoS Policy Nedir?

Belirli traffic thresholds aşıldığında protection sağlayan policy'dir.

Firewall DoS Policy Yeterli mi?

Hayır.

Özellikle upstream bandwidth saturation'a karşı.

DDoS Protection ile IPS Aynı mı?

Hayır.

IPS exploit detection yapar.

DDoS protection availability attack'larına odaklanır.

DDoS Protection ile WAF Aynı mı?

Hayır.

WAF application-layer web security sağlar.

DDoS Protection ile CDN Aynı mı?

Hayır.

CDN traffic distribution ve caching sağlar.

Ancak DDoS mitigation capability içerebilir.

DDoS Protection Defense in Depth Nasıl Kurulur?

Upstream Provider

↓

Cloud DDoS Mitigation

↓

CDN / Anycast

↓

WAF

↓

Firewall

↓

Application Rate Limit

↓

Backend Resilience

Layered DDoS Protection Neden Gereklidir?

Farklı attack vectors farklı layer'ları hedefler.

Layer 3/4 Protection Nedir?

Network ve transport layer attack'larına yönelik mitigation'dır.

Layer 7 Protection Nedir?

Application-level request attack'larına yönelik mitigation'dır.

DDoS Security Architecture Örneği

Internet

↓

Global Anycast

↓

DDoS Scrubbing

↓

CDN

↓

WAF

↓

Load Balancer

↓

Application Cluster

Origin Direct Access Kapalı Olmalı mı?

Mümkünse evet.

Network ACL DDoS'ta Kullanılır mı?

Belirli attack pattern'lerini sınırlamak için kullanılabilir.

Geo Blocking DDoS'u Durdurur mu?

Tek başına hayır.

Geo Blocking Ne Zaman Yardımcı Olabilir?

Business'in hizmet vermediği bölgelerden gelen traffic'in azaltılmasında.

IP Reputation DDoS'ta Kullanılır mı?

Evet.

Ancak botnet compromised legitimate IP'ler kullanabilir.

ASN Blocking Nedir?

Belirli Autonomous System'den gelen traffic'in engellenmesidir.

ASN Nedir?

ASN:

Autonomous System Number

internet routing domain kimliğidir.

ASN Blocking Riskli mi?

Legitimate users da etkilenebilir.

Country Blocking Riskli mi?

Evet.

False positive business impact oluşturabilir.

DDoS Emergency Policy Nedir?

Attack sırasında geçici olarak devreye alınan daha sıkı traffic policy'dir.

Emergency Policy Normal Zamanda Aktif Olmalı mı?

Her zaman gerekli değildir.

Crisis Mode Nedir?

Attack sırasında service survival için daha restrictive policy uygulanmasıdır.

Graceful Degradation Nedir?

Service'in tamamen kapanmak yerine sınırlı fonksiyonlarla çalışmaya devam etmesidir.

DDoS Sırasında Graceful Degradation Nasıl Kullanılır?

Non-critical features kapatılabilir.

Static Maintenance Page Kullanılabilir mi?

Evet.

Complex backend yükünü azaltabilir.

Read-Only Mode Nedir?

Critical write operations azaltılarak application'ın sınırlı modda çalışmasıdır.

Business Continuity ile DDoS İlişkisi

DDoS yalnızca cybersecurity incident değildir.

Business Continuity problemidir.

BCP Nedir?

Business Continuity Plan.

DR DDoS'u Çözer mi?

Her zaman değil.

Yeni site aynı internet exposure'a sahipse attack devam edebilir.

Disaster Recovery ile DDoS Resilience Arasındaki Fark Nedir?

DR infrastructure failure sonrası recovery'ye odaklanır.

DDoS resilience active attack sırasında service continuity'ye odaklanır.

RTO DDoS İçin Önemli mi?

Evet.

Service restoration hedefi belirlenmelidir.

RPO DDoS İçin Önemli mi?

Data loss yaşanıyorsa relevant olabilir.

Ancak DDoS'un ana problemi availability'dir.

DDoS KPI'ları

Örneğin:

Time to Detect

Time to Mitigate

Service Availability

Attack Volume

DDoS KRI'ları

No Upstream Protection

Single ISP

Exposed Origin IP

Unprotected DNS

DDoS Dashboard Neler Göstermeli?

Current Traffic

Attack Vector

Dropped Traffic

Legitimate Traffic

Peak Attack Bandwidth Nedir?

Attack sırasında görülen maksimum traffic volume'dur.

Peak PPS Nedir?

Attack sırasında saniyede görülen maksimum packet sayısıdır.

Peak RPS Nedir?

Application'a saniyede gelen maksimum request sayısıdır.

DDoS Capacity Planning Nedir?

Normal ve attack traffic dikkate alınarak infrastructure'ın boyutlandırılmasıdır.

Capacity Planning Sadece Firewall İçin mi?

Hayır.

ISP

Router

Firewall

Load Balancer

Application

birlikte düşünülmelidir.

Bottleneck Nedir?

System'in toplam capacity'sini sınırlayan en zayıf noktadır.

DDoS Architecture'da Bottleneck Nasıl Bulunur?

End-to-end capacity analysis yapılmalıdır.

Örnek

ISP:

10 Gbps

Firewall:

20 Gbps

Load Balancer:

5 Gbps

Burada bottleneck:

Load Balancer

olabilir.

DDoS Protection'da En Sık Yapılan Hatalar

Kurumlarda sık görülen hatalar:

• Firewall varsa DDoS koruması var sanmak
• Internet link capacity'sini dikkate almamak
• Upstream mitigation kullanmamak
• DDoS provider ile runbook oluşturmamak
• Origin IP'yi açık bırakmak
• DNS resilience planlamamak
• Sadece bandwidth metric izlemek
• PPS ve CPS değerlerini izlememek
• Layer 7 DDoS'u dikkate almamak
• WAF ve rate limiting kullanmamak
• Baseline oluşturmamak
• BGP diversion prosedürünü test etmemek
• Scrubbing service'i hiç test etmemek
• Single ISP kullanmak
• DDoS tabletop exercise yapmamak
• Business continuity sürecini dahil etmemek

DDoS Protection Checklist

• Internet bandwidth kapasitesi biliniyor mu?
• Peak normal traffic biliniyor mu?
• BPS/PPS/CPS/RPS izleniyor mu?
• DDoS baseline oluşturuldu mu?
• ISP DDoS service var mı?
• Upstream mitigation mevcut mu?
• Scrubbing center kullanılıyor mu?
• Always-On/On-Demand modeli tanımlı mı?
• BGP diversion prosedürü hazır mı?
• CDN kullanılıyor mu?
• Origin IP korunuyor mu?
• WAF aktif mi?
• API rate limiting var mı?
• SYN flood protection aktif mi?
• DNS redundant mı?
• Secondary DNS var mı?
• Multi-ISP değerlendirildi mi?
• DDoS alerts SIEM'e gidiyor mu?
• SOC/NOC escalation tanımlı mı?
• DDoS runbook test edildi mi?

DDoS Maturity Model

Seviye 1 – Firewall Protection

Basic DoS policy ve rate limit kullanılır.

Seviye 2 – DDoS Visibility

BPS, PPS, CPS ve traffic baseline izlenir.

Seviye 3 – Upstream Mitigation

ISP veya cloud scrubbing service kullanılır.

Seviye 4 – Multi-Layer DDoS Protection

DDoS provider, CDN, WAF, rate limiting ve resilient architecture birlikte kullanılır.

Seviye 5 – Adaptive DDoS Resilience

Real-time telemetry, automated mitigation, multi-region architecture ve tested incident response birlikte uygulanır.

Sık Sorulan Sorular

DDoS nedir?

DDoS, çok sayıda source üzerinden yoğun traffic veya request göndererek bir hizmetin erişilebilirliğini bozmayı amaçlayan Distributed Denial of Service saldırısıdır.

DoS ile DDoS arasındaki fark nedir?

DoS genellikle tek source üzerinden, DDoS ise çok sayıda distributed source üzerinden gerçekleştirilir.

Volumetric DDoS nedir?

Target'ın internet bandwidth kapasitesini tüketmeyi amaçlayan yüksek hacimli saldırıdır.

SYN Flood nedir?

TCP connection state mekanizmasını tüketmeye yönelik protocol-level DoS/DDoS saldırısıdır.

UDP Flood nedir?

Yoğun UDP traffic kullanarak bandwidth veya system resource tüketmeyi hedefleyen saldırıdır.

Application Layer DDoS nedir?

HTTP, HTTPS veya API request'leri ile application resource'larını tüketmeyi hedefleyen Layer 7 saldırıdır.

DDoS firewall ile engellenir mi?

Bazı düşük hacimli veya protocol attack'lar firewall tarafından sınırlandırılabilir. Ancak attack internet link kapasitesini aşarsa upstream DDoS mitigation gerekir.

Scrubbing Center nedir?

DDoS attack traffic'ini filtreleyip clean traffic'i kurum network'üne ileten yüksek kapasiteli mitigation altyapısıdır.

Anycast DDoS korumasında nasıl kullanılır?

Aynı service IP'sini birden fazla location'dan advertise ederek attack traffic'in distributed infrastructure'a dağıtılmasına yardımcı olur.

CDN DDoS'u engeller mi?

Özellikle web-based attack'larda traffic distribution ve edge capacity sayesinde önemli koruma sağlayabilir ancak tek başına tüm DDoS attack'larını durdurmaz.

WAF DDoS koruması sağlar mı?

Layer 7 HTTP/HTTPS DDoS attack'larında rate limiting, bot detection ve request filtering ile yardımcı olabilir.

DDoS mitigation nedir?

Attack traffic'in legitimate traffic'ten ayrılarak filtrelenmesi ve service impact'in azaltılmasıdır.

BGP DDoS mitigation için kullanılır mı?

Evet. Attack sırasında traffic'in scrubbing infrastructure'a yönlendirilmesinde kullanılabilir.

Blackhole routing nedir?

Belirli destination traffic'inin tamamen drop edilmesidir. Service'i de erişilemez hale getirebildiği için genellikle son çare containment yöntemidir.

DDoS Protection için en önemli kontrol nedir?

Tek bir kontrol yoktur. Upstream protection, capacity, CDN/WAF, rate limiting, telemetry ve tested incident response birlikte kullanılmalıdır.

Sonuç: DDoS Koruması Firewall'da Değil, Mimaride Başlar

DDoS konusunda en yaygın yanlış düşüncelerden biri şudur:

“Firewall'ımız güçlü, DDoS'u engeller.”

Firewall önemli bir security control'dür.

Ancak DDoS saldırısının temel matematiği farklıdır.

Internet hattınız:

1 Gbps

Saldırı:

20 Gbps

ise firewall'ın:

20 Gbps traffic'i drop etmesi

service availability açısından yeterli değildir.

Çünkü attack traffic firewall'a ulaşmadan önce:

1 Gbps internet hattını doldurmuştur.

Bu nedenle DDoS protection'ın en kritik prensiplerinden biri:

Mitigate Before the Bottleneck

olmalıdır.

Attack traffic mümkün olduğunca kurum network'üne ulaşmadan temizlenmelidir.

Bu nedenle güçlü architecture:

Internet

↓

Upstream DDoS Protection

↓

Scrubbing / Anycast

↓

CDN

↓

WAF

↓

Firewall

↓

Application

şeklinde katmanlandırılabilir.

Ancak DDoS defense yalnızca traffic filtering değildir.

Gerçek network resilience;

capacity,

redundancy,

monitoring,

incident response

ve business continuity

gerektirir.

Çünkü amaç yalnızca saldırgan traffic'i engellemek değildir.

Asıl amaç:

saldırı devam ederken kritik service'in çalışmaya devam etmesini sağlamaktır.

Bu nedenle DDoS yaklaşımı şu dört soruya cevap vermelidir:

Saldırıyı ne kadar hızlı görebiliyoruz?

Nerede filtreleyebiliyoruz?

Ne kadar attack traffic absorbe edebiliyoruz?

Attack devam ederken hizmetimizi sürdürebiliyor muyuz?

Modern DDoS defense'in temel denklemi:

Visibility + Capacity + Upstream Mitigation + Application Protection + Resilience

şeklindedir.

Ve en kritik prensip şudur:

Firewall'ın kapasitesinden önce internet hattınızın kapasitesini düşünün.

Çünkü network'e ulaşmış bir volumetric attack için mitigation çok geç başlamış olabilir.