# DDoS Saldırısı Nedir? DDoS Protection, Mitigation ve Network Resilience **URL:** https://securesys.com.tr/tr/bilgi-merkezi/network-ag-guvenligi/ddos-saldirisi-protection-mitigation ![DDoS Saldırısı Nedir? DDoS Protection, Mitigation ve Network Resilience](/images/bilgi-merkezi/covers/cover-network-10.webp) Bir kurumun internet hattı 1 Gbps kapasiteye sahipse ve saldırgan bu hatta 20 Gbps trafik gönderirse önemli bir gerçek ortaya çıkar: **Firewall bu trafiği engellese bile internet hattı zaten dolmuş olabilir.** Bu nedenle DDoS güvenliği yalnızca firewall üzerinde birkaç rule tanımlamak değildir. Gerçek DDoS protection; internet servis sağlayıcı, upstream network, scrubbing center, CDN, Anycast, WAF, rate limiting, BGP, network capacity ve incident response gibi birçok katmanın birlikte değerlendirilmesini gerektirir. DDoS'un açılımı: #### Distributed Denial of Service yani: #### Dağıtık Hizmet Engelleme Saldırısı olarak ifade edilir. DDoS saldırılarının temel amacı çoğu zaman bir sistemi ele geçirmek değil; **erişilemez hale getirmektir.** Hedef; web sitesi, API, VPN gateway, DNS service, e-commerce platform, internet hattı, firewall, load balancer veya başka bir internet-facing service olabilir. Modern DDoS saldırıları yalnızca yüksek bandwidth saldırılarından oluşmaz. Saldırgan: network kapasitesini, protocol state tablolarını, firewall session kapasitesini, web application resource'larını, backend database'i veya application thread pool'larını tüketmeye çalışabilir. Bu nedenle modern DDoS protection yaklaşımı: **Detect → Absorb → Filter → Mitigate → Recover** zinciri üzerine kurulmalıdır. ### DDoS Nedir? DDoS: #### Distributed Denial of Service çok sayıda farklı source üzerinden target system veya network'e yoğun traffic veya request göndererek hizmetin erişilebilirliğini bozmaya yönelik saldırıdır. ### DoS Nedir? DoS: #### Denial of Service tek veya sınırlı source üzerinden hizmet kesintisi oluşturmaya yönelik saldırıdır. ### DoS ile DDoS Arasındaki Fark Nedir? DoS: Single Source DDoS: Distributed Sources üzerinden gerçekleştirilebilir. ### Distributed Neden Önemlidir? Binlerce farklı source IP saldırıya katılabilir. Bu durum source-based blocking'i zorlaştırır. ### DDoS'un Temel Hedefi Nedir? Availability. Yani: **Hizmeti kullanılamaz hale getirmek.** ### CIA Triad İçinde DDoS Neyi Hedefler? CIA: Confidentiality Integrity Availability DDoS özellikle: #### Availability üzerinde etkilidir. ### DDoS Hangi Sistemleri Hedef Alabilir? Web Server DNS Server VPN Gateway Firewall API Gateway Load Balancer ### Internet Hattı DDoS Hedefi Olabilir mi? Evet. Hatta en kritik target'lardan biridir. ### DDoS Attack Surface Nedir? Internet'ten erişilebilir service ve infrastructure'ın DDoS açısından hedeflenebilir bölümleridir. ### DDoS Saldırı Türleri Nelerdir? Genel olarak üç kategoriyle değerlendirilebilir: Volumetric Attacks Protocol Attacks Application Layer Attacks ### Volumetric DDoS Nedir? Hedef network'ün bandwidth kapasitesini tüketmeyi amaçlayan saldırıdır. ### Volumetric Attack'ın Temel Amacı Nedir? Internet link'i saturate etmektir. ### Bandwidth Saturation Nedir? Network hattının taşıyabileceğinden daha fazla traffic ile doldurulmasıdır. ### Örnek Internet Link: 1 Gbps Attack: 15 Gbps Bu durumda firewall attack traffic'i drop etse bile: **1 Gbps internet link zaten doludur.** ### Bu Neden Kritik? Çünkü mitigation target network'e ulaşmadan önce yapılmalıdır. ### Upstream Mitigation Nedir? Attack traffic'in kurum network'üne gelmeden internet servis sağlayıcı veya cloud infrastructure seviyesinde filtrelenmesidir. ### UDP Flood Nedir? Çok sayıda UDP packet gönderilerek bandwidth veya processing capacity'nin tüketilmesidir. ### UDP Connectionless Protocol müdür? Evet. Bu nedenle high-volume traffic üretmek için kullanılabilir. ### ICMP Flood Nedir? Çok sayıda ICMP packet göndererek target'ın veya network'ün kapasitesini tüketmeye yönelik saldırıdır. ### Ping Flood Nedir? ICMP Echo Request traffic'i kullanılarak gerçekleştirilen flood attack'tır. ### Protocol-Based DDoS Nedir? Network veya transport protocol'lerinin state ve processing mekanizmalarını tüketmeyi hedefleyen saldırıdır. ### SYN Flood Nedir? TCP connection establishment mekanizmasını hedefleyen DDoS türüdür. ### TCP Three-Way Handshake Nedir? TCP connection: SYN ↓ SYN-ACK ↓ ACK şeklinde kurulur. ### SYN Flood Nasıl Etki Oluşturur? Çok sayıda SYN request gönderilir. Server veya firewall: half-open connection state tutmak zorunda kalabilir. ### Half-Open Connection Nedir? TCP handshake tamamlanmamış connection'dır. ### SYN Table Exhaustion Nedir? SYN state'leri nedeniyle connection table kapasitesinin tüketilmesidir. ### SYN Cookie Nedir? SYN Flood etkisini azaltmaya yönelik protection mechanism'larından biridir. ### Stateful Firewall DDoS'tan Etkilenebilir mi? Evet. ### State Table Nedir? Firewall'ın aktif connection bilgilerini tuttuğu tablodur. ### State Table Exhaustion Nedir? Çok sayıda connection ile firewall session kapasitesinin tüketilmesidir. ### Concurrent Session Nedir? Aynı anda açık olan network connection sayısıdır. ### New Sessions Per Second Nedir? Bir saniyede oluşturulabilen yeni session sayısıdır. ### Firewall DDoS Kapasitesinde Neden Önemlidir? Firewall bandwidth olarak yeterli görünse bile session rate nedeniyle zorlanabilir. ### Datasheet Throughput Tek Başına Yeterli mi? Hayır. Bakılması gereken değerler arasında: Firewall Throughput IPS Throughput Concurrent Sessions New Sessions/Second vardır. ### Application Layer DDoS Nedir? Layer 7 application request'leriyle server resource'larını tüketmeye yönelik saldırıdır. ### Layer 7 Nedir? OSI modelindeki Application Layer'dır. ### HTTP Flood Nedir? Çok sayıda HTTP request gönderilerek application'ın tüketilmesidir. ### HTTPS Flood Nedir? Encrypted HTTP request'leri üzerinden gerçekleştirilen Layer 7 DDoS attack'tır. ### HTTPS Flood Neden Daha Zor Olabilir? TLS processing additional CPU tüketebilir. ### GET Flood Nedir? Çok sayıda HTTP GET request gönderilmesidir. ### POST Flood Nedir? Application'ın processing gerektiren POST request'lerle hedeflenmesidir. ### Layer 7 DDoS Neden Tehlikelidir? Attack traffic legitimate user traffic'e benzeyebilir. ### Application Resource Exhaustion Nedir? CPU, memory, worker thread veya database connection pool gibi resource'ların tüketilmesidir. ### Database DDoS Olabilir mi? Dolaylı şekilde evet. Expensive application request'leri backend database'i tüketebilir. ### Expensive Query Nedir? Yüksek CPU, memory veya I/O gerektiren database query'sidir. ### API DDoS Nedir? API endpoint'lerinin çok sayıda request ile hedeflenmesidir. ### Authentication Endpoint DDoS Olabilir mi? Evet. Login, password reset veya MFA endpoint'leri high-processing-cost olabilir. ### Botnet Nedir? Attacker tarafından kontrol edilen çok sayıda compromise edilmiş cihazdan oluşan ağdır. ### Bot Nedir? Botnet içerisinde attacker komutu alan compromise edilmiş cihazdır. ### IoT Botnet Nedir? IP camera, router veya IoT device gibi cihazların botnet'e dönüştürülmesidir. ### IoT Cihazları Neden Botnet İçin Kullanılır? Weak password, outdated firmware, internet exposure gibi nedenlerle compromise edilebilir. ### Reflection Attack Nedir? Attacker'ın üçüncü-party server'ları attack traffic üretmek için kullanmasıdır. ### Amplification Attack Nedir? Küçük request ile daha büyük response üretilmesini sağlayarak attack volume'un artırılmasıdır. ### Reflection ve Amplification Aynı Şey mi? Farklı kavramlardır ancak çoğu DDoS saldırısında birlikte kullanılabilir. ### Spoofed Source IP Nedir? Packet source IP bilgisinin sahte olarak değiştirilmesidir. ### Reflection Attack'ta IP Spoofing Neden Kullanılır? Response target victim IP'ye yönlendirilebilir. ### DNS Amplification Nedir? DNS server'ların amplification/reflection için kötüye kullanıldığı DDoS attack türüdür. ### DNS Response Neden Amplification Oluşturabilir? Request'ten daha büyük response üretilebilir. ### Open Resolver Nedir? Internet'ten herkesin DNS recursive query gönderebildiği DNS resolver'dır. ### Open Resolver Riskli mi? Evet. DDoS amplification amacıyla kötüye kullanılabilir. ### NTP Amplification Nedir? NTP service'in reflection/amplification saldırısında kötüye kullanılmasıdır. ### Memcached Amplification Nedir? Yanlış yapılandırılmış internet-facing Memcached servislerinin amplification için kötüye kullanılmasına dayanan saldırı sınıfıdır. ### CLDAP Amplification Nedir? Connectionless LDAP servislerinin reflection/amplification attack amacıyla kötüye kullanılabilmesidir. ### SSDP Amplification Nedir? UPnP/SSDP service'lerinin amplification amacıyla kötüye kullanılmasıdır. ### BCP 38 Nedir? IP source spoofing'i azaltmaya yönelik network filtering best practice yaklaşımıdır. ### Ingress Filtering Nedir? Network'e giren packet source bilgilerinin doğrulanmasına yönelik filtering'dir. ### Egress Filtering Nedir? Network'ten çıkan traffic'in policy'ye göre sınırlandırılmasıdır. ### DDoS Protection Nedir? DDoS attack'larını: tespit etmek, filtrelemek, absorbe etmek ve hizmetin devamlılığını sağlamak için kullanılan controls bütünüdür. ### DDoS Mitigation Nedir? DDoS traffic'in legitimate traffic'ten ayrılarak etkisinin azaltılmasıdır. ### DDoS Protection ile Mitigation Arasındaki Fark Nedir? Protection daha geniş security architecture'ı ifade eder. Mitigation attack sırasında uygulanan traffic temizleme sürecidir. ### DDoS Detection Nedir? Traffic pattern içerisindeki attack behavior'ın belirlenmesidir. ### DDoS Detection Neleri Kullanabilir? Bandwidth Packet Rate Connection Rate Request Rate Baseline ### Traffic Baseline DDoS İçin Neden Önemlidir? Normal traffic bilinirse unusual spike daha hızlı fark edilir. ### Dynamic Threshold Nedir? Normal traffic behavior'a göre değişebilen alarm threshold'udur. ### Static Threshold Nedir? Önceden belirlenmiş sabit traffic limitidir. ### Static Threshold Yeterli mi? Her zaman değil. Business traffic zamanla değişebilir. ### Traffic Spike Nedir? Kısa zamanda gerçekleşen hızlı traffic artışıdır. ### Traffic Spike Her Zaman DDoS mudur? Hayır. Marketing campaign veya flash sale gibi legitimate olaylar olabilir. ### Flash Crowd Nedir? Gerçek kullanıcıların aynı anda service'e yoğun access göstermesidir. ### Flash Crowd ile DDoS Nasıl Ayrılır? Source behavior, request pattern, user behavior, session characteristics analiz edilmelidir. ### Rate Limiting Nedir? Belirli zaman aralığında kabul edilen request veya connection sayısının sınırlandırılmasıdır. ### Rate Limit DDoS Koruması Sağlar mı? Bazı attack türlerinde yardımcı olur. Ancak volumetric attack için tek başına yeterli değildir. ### Connection Rate Limit Nedir? Bir source veya system için yeni connection hızının sınırlandırılmasıdır. ### Request Rate Limit Nedir? Application request sayısının belirli zaman aralığında sınırlandırılmasıdır. ### Per-IP Rate Limit Nedir? Her source IP için ayrı request limit uygulanmasıdır. ### Per-IP Rate Limit Distributed Attack'ta Yeterli mi? Her zaman değil. Binlerce farklı IP kullanılabilir. ### Behavioral Rate Limiting Nedir? Request behavior ve context'e göre dinamik rate control uygulanmasıdır. ### Adaptive Rate Limiting Nedir? Traffic ve risk seviyesine göre limitlerin dinamik olarak değiştirilmesidir. ### Scrubbing Center Nedir? DDoS traffic'in temizlenerek legitimate traffic'in target'a iletildiği yüksek kapasiteli network infrastructure'dır. ### Traffic Scrubbing Nedir? Attack traffic ile legitimate traffic'in ayrıştırılmasıdır. ### Scrubbing Center Nasıl Çalışır? Attack traffic: Internet ↓ Scrubbing Infrastructure ↓ Malicious Traffic Removed ↓ Clean Traffic ↓ Customer Network ### On-Demand Scrubbing Nedir? DDoS attack tespit edildiğinde traffic'in scrubbing center'a yönlendirilmesidir. ### Always-On DDoS Protection Nedir? Traffic'in sürekli mitigation infrastructure üzerinden geçtiği modeldir. ### Always-On Avantajı Nedir? Attack sırasında route değişikliği beklenmez. ### On-Demand Avantajı Nedir? Normal zamanda traffic path daha doğrudan olabilir. ### DDoS Diversion Nedir? Traffic'in mitigation provider'a yönlendirilmesi sürecidir. ### BGP DDoS Mitigation'da Kullanılır mı? Evet. Traffic route değişiklikleri için kullanılabilir. ### BGP Nedir? BGP: #### Border Gateway Protocol internet routing'in temel protocol'lerinden biridir. ### BGP Diversion Nedir? Traffic route'unun scrubbing center üzerinden geçecek şekilde değiştirilmesidir. ### GRE Tunnel Nedir? Scrubbing sonrası clean traffic'in customer network'e geri iletilmesi için kullanılabilecek tunnel mekanizmalarından biridir. ### BGP Flowspec Nedir? BGP üzerinden traffic filtering policy dağıtımı sağlayan teknolojidir. ### BGP Flowspec DDoS'ta Kullanılır mı? Evet. Belirli attack traffic pattern'lerini upstream seviyede filtrelemek için kullanılabilir. ### RTBH Nedir? RTBH: #### Remotely Triggered Black Hole belirli destination veya traffic'in upstream seviyede blackhole edilmesi yaklaşımıdır. ### Blackhole Routing Nedir? Belirli traffic'in intentionally drop edilmesidir. ### Blackhole DDoS'u Durdurur mu? Attack traffic target'a ulaşmaz. Ancak legitimate traffic de drop olabilir. ### Blackhole Routing Ne Zaman Kullanılır? Son çare containment mekanizması olarak değerlendirilebilir. ### Sinkhole Nedir? Şüpheli traffic'in analiz veya containment için kontrollü destination'a yönlendirilmesidir. ### Anycast Nedir? Aynı IP address'in birden fazla geographic location'dan advertise edilmesidir. ### Anycast DDoS Protection'a Nasıl Yardımcı Olur? Attack traffic farklı PoP'lara dağıtılabilir. ### PoP Nedir? PoP: #### Point of Presence network provider'ın farklı geographic locations'daki erişim noktasıdır. ### Anycast Attack Traffic'i Yok Eder mi? Hayır. Ancak traffic'i dağıtıp absorption capacity artırabilir. ### CDN Nedir? CDN: #### Content Delivery Network content'i distributed edge infrastructure üzerinden kullanıcılara ulaştıran sistemdir. ### CDN DDoS Protection Sağlar mı? Özellikle web traffic için ciddi avantaj sağlayabilir. ### CDN Origin Server'ı Gizleyebilir mi? Doğru yapılandırılırsa origin exposure azaltılabilir. ### Origin Server Nedir? Application'ın gerçek backend server'ıdır. ### Origin IP Leak Nedir? CDN arkasındaki gerçek server IP'sinin açığa çıkmasıdır. ### Origin IP Leak Neden Risklidir? Attacker CDN'i bypass ederek doğrudan origin'e attack gönderebilir. ### Origin Firewall Nasıl Yapılandırılmalı? Mümkünse yalnızca CDN/provider IP ranges üzerinden access kabul etmelidir. ### WAF DDoS Koruması Sağlar mı? Layer 7 attack'larda yardımcı olabilir. ### WAF Nedir? WAF: #### Web Application Firewall HTTP/HTTPS application traffic'ini analiz eden security control'dür. ### WAF Volumetric DDoS'u Durdurabilir mi? Internet link saturation oluşuyorsa tek başına hayır. ### WAF Layer 7 DDoS'ta Ne Sağlar? Request filtering, bot management, rate limiting gibi controls sağlayabilir. ### Bot Management Nedir? Automated client behavior'ının tespit edilmesi ve kontrol edilmesidir. ### Good Bot Nedir? Search engine crawler gibi legitimate automated service'tir. ### Bad Bot Nedir? Scraping, credential attack veya DDoS amacıyla kullanılan bot'tur. ### CAPTCHA DDoS Protection mıdır? Bazı application-level automated attack'larda yardımcı olabilir. Ancak tek başına DDoS protection değildir. ### JavaScript Challenge Nedir? Client'ın browser capability'sini doğrulamaya yönelik challenge mechanism'dir. ### Proof-of-Work Challenge Nedir? Client'ın belirli computational work gerçekleştirmesini isteyen challenge modelidir. ### Challenge-Based Mitigation Nedir? Legitimate client ile bot traffic'i ayırmaya yönelik challenge kullanılmasıdır. ### Load Balancer DDoS Protection Sağlar mı? Traffic'i dağıtabilir ancak capacity limitleri vardır. ### Load Balancing Nedir? Traffic'in birden fazla backend system'e dağıtılmasıdır. ### Horizontal Scaling Nedir? Daha fazla server instance eklenmesidir. ### Auto Scaling DDoS'a Karşı Koruma Sağlar mı? Availability artırabilir. Ancak maliyet amplification riski yaratabilir. ### Economic Denial of Sustainability Nedir? Cloud resource'ların attack nedeniyle scale olup yüksek maliyet oluşturması riskidir. ### Cloud DDoS Protection Nedir? Cloud provider'ın distributed infrastructure üzerinde DDoS detection ve mitigation sağlamasıdır. ### Cloud-Based DDoS Mitigation Neden Güçlüdür? Çok yüksek network kapasitesine sahip olabilir. ### On-Premise DDoS Appliance Nedir? Kurum içerisinde DDoS detection ve filtering sağlayan cihazdır. ### On-Premise DDoS Appliance Volumetric Attack'ı Tek Başına Durdurabilir mi? Internet link saturation'dan önce traffic'e erişemiyorsa hayır. ### On-Prem DDoS Appliance Ne İşe Yarar? Protocol ve lower-volume attack'larda local protection sağlayabilir. Ayrıca upstream mitigation trigger edebilir. ### Hybrid DDoS Protection Nedir? On-prem detection ile cloud/upstream mitigation'ın birlikte kullanılmasıdır. ### Hybrid DDoS Architecture Nasıl Çalışır? Local Detection ↓ Attack Confirmed ↓ Cloud Scrubbing Trigger ↓ Traffic Diversion ↓ Clean Traffic Return ### ISP DDoS Protection Nedir? Internet Service Provider seviyesinde attack traffic'in filtrelenmesidir. ### Upstream Provider Nedir? Kurumun internet connectivity aldığı üst network provider'dır. ### ISP ile DDoS Prosedürü Önceden Belirlenmeli mi? Evet. ### Attack Anında ISP Telefonu Aramak Yeterli mi? Gecikme yaratabilir. Önceden agreed process olması daha güçlüdür. ### DDoS Runbook Nedir? Attack sırasında uygulanacak operational adımların tanımlandığı prosedürdür. ### DDoS Playbook Nedir? Belirli DDoS scenario'su için detection, escalation ve mitigation adımlarını içeren response planıdır. ### DDoS Incident Response Nasıl Olmalı? Detect ↓ Validate ↓ Classify ↓ Mitigate ↓ Monitor ↓ Recover ↓ Review ### DDoS Classification Nedir? Attack'ın: Volumetric Protocol Application hangisi olduğunun belirlenmesidir. ### Attack Vector Nedir? Saldırıda kullanılan yöntemdir. ### Multi-Vector DDoS Nedir? Aynı anda birden fazla attack vector kullanılmasıdır. ### Örnek Multi-Vector Attack UDP Flood SYN Flood HTTP Flood ### Multi-Vector DDoS Neden Zordur? Network ve application layer aynı anda etkilenebilir. ### DDoS Telemetry Nedir? Attack tespiti için kullanılan network ve application metrics'tir. ### Hangi DDoS Metrics İzlenmeli? Bits Per Second Packets Per Second Connections Per Second Requests Per Second ### BPS Nedir? Bits Per Second. Bandwidth volume ölçüsüdür. ### PPS Nedir? Packets Per Second. Packet rate ölçüsüdür. ### CPS Nedir? Connections Per Second. Connection creation rate'idir. ### RPS Nedir? Requests Per Second. Application request rate'idir. ### Neden Sadece Gbps'e Bakmak Yeterli Değildir? Low bandwidth ancak high PPS attack network device CPU'sunu tüketebilir. ### Small Packet DDoS Nedir? Çok sayıda küçük packet ile packet-processing capacity'nin tüketilmesidir. ### Packets Per Second Firewall İçin Neden Önemlidir? Her packet processing resource tüketir. ### DDoS Baseline Nedir? Normal network ve application traffic profilidir. ### Normal Traffic Baseline Neleri İçermeli? BPS PPS CPS RPS Protocol Distribution ### Time-of-Day Baseline Nedir? Traffic pattern'in günün saatlerine göre değerlendirilmesidir. ### DDoS Detection Threshold Nasıl Belirlenmeli? Historical baseline ve business peak'lerine göre. ### DDoS Alerting Nedir? Attack göstergeleri görüldüğünde otomatik alarm üretilmesidir. ### DDoS Alert SIEM'e Gitmeli mi? Evet. ### DDoS SOC Use Case'leri Nelerdir? Traffic Spike SYN Flood UDP Flood HTTP Flood DNS Amplification ### SOC DDoS'u Tek Başına Mitigate Eder mi? Hayır. Network, ISP ve application teams ile birlikte çalışmalıdır. ### NOC ile SOC DDoS'ta Birlikte Çalışmalı mı? Kesinlikle. ### NOC Nedir? Network Operations Center. Network availability ve performance odaklı operasyon ekibidir. ### DDoS Neden SOC + NOC Olayıdır? Hem security attack hem availability incident'tır. ### DDoS Escalation Matrix Nedir? Attack severity'ye göre hangi ekibin devreye gireceğini gösteren plandır. ### DDoS Severity Nasıl Belirlenir? Traffic Volume Service Impact Attack Vector Duration ### DDoS SLA Nedir? Mitigation service provider'ın detection ve response yükümlülüklerini tanımlayan service level agreement'dır. ### Time to Detect Nedir? Attack'ın başlaması ile detection arasındaki süredir. ### Time to Mitigate Nedir? Attack tespitinden etkili mitigation'a kadar geçen süredir. ### TTM Nedir? DDoS bağlamında: #### Time to Mitigate olarak kullanılabilir. ### DDoS Protection Provider Seçerken Nelere Bakılmalı? Network Capacity Global PoP Attack Detection Mitigation SLA Layer 7 Capability ### Scrubbing Capacity Nedir? Provider'ın temizleyebileceği toplam attack traffic kapasitesidir. ### DDoS Provider'ın Network Kapasitesi Neden Önemlidir? Attack provider kapasitesini aşarsa mitigation başarısız olabilir. ### Always-On ile On-Demand Karşılaştırması | Özellik | Always-On | On-Demand | | --- | --- | --- | | Detection/Mitigation | Sürekli | Attack sırasında | | Route Change | Genellikle gerekmez | Gerekebilir | | Latency | Sürekli etkileyebilir | Normalde daha düşük olabilir | | Response Speed | Çok hızlı | Diversion süresine bağlı | ### DDoS High Availability ile Aynı Şey mi? Hayır. ### High Availability Nedir? Bir system failure olduğunda diğer node'un service'i devam ettirmesidir. ### HA DDoS'a Karşı Faydalı mı? Kısmen. Ancak tüm node'lar aynı attack traffic'i alıyorsa yeterli değildir. ### Active-Active Architecture Nedir? Birden fazla system'in aynı anda traffic işlemesidir. ### Geographic Redundancy Nedir? Service'in farklı geographic location'larda çalıştırılmasıdır. ### Multi-Region Architecture DDoS'a Yardımcı Olur mu? Evet. Resilience artırabilir. ### Network Resilience Nedir? Attack, failure veya disruption durumunda network service'in çalışmaya devam edebilme yeteneğidir. ### Resilience ile Security Aynı mı? Hayır. Security saldırıyı engellemeye çalışır. Resilience saldırıya rağmen service'i devam ettirmeyi amaçlar. ### DDoS Resilience Neleri İçerir? Redundancy Capacity Failover Diversification Mitigation ### Dual ISP Nedir? Kurumun iki ayrı internet provider kullanmasıdır. ### Dual ISP DDoS'u Çözer mi? Tek başına hayır. İki hat da attack hedefi olabilir. ### Multi-Homing Nedir? Network'ün birden fazla upstream provider'a bağlı olmasıdır. ### BGP Multi-Homing Nedir? Birden fazla ISP üzerinden BGP ile internet connectivity sağlanmasıdır. ### Multi-Homing Resilience Sağlar mı? Evet. Ancak DDoS mitigation ayrıca planlanmalıdır. ### DNS Resilience Nedir? DNS service'in distributed ve redundant architecture ile çalışmasıdır. ### Authoritative DNS DDoS Hedefi Olabilir mi? Evet. ### DNS Down Olursa Web Sitesi Çalışır mı? Yeni kullanıcılar domain resolution yapamayabilir. ### Anycast DNS Neden Kullanılır? DNS traffic'i distributed nodes'a yönlendirmek için. ### Secondary DNS Nedir? Primary authoritative DNS'e ek redundant DNS infrastructure'dır. ### Multi-Provider DNS Kullanılabilir mi? Evet. Critical services için değerlendirilebilir. ### Origin Resilience Nedir? Backend application infrastructure'ın failure ve attack'a dayanıklı tasarlanmasıdır. ### CDN + Multi-Origin Nedir? CDN arkasında birden fazla origin infrastructure kullanılmasıdır. ### Health Check Nedir? Backend service'in çalışıp çalışmadığının otomatik kontrolüdür. ### Failover Nedir? Primary service çalışmadığında backup service'e geçilmesidir. ### DDoS Attack Sırasında Auto Scaling Kullanılmalı mı? Controlled şekilde. ### Cost Guardrail Nedir? Cloud auto scaling nedeniyle sınırsız maliyet oluşmasını engelleyen financial/technical limit'tir. ### Application Caching DDoS'a Yardımcı Olur mu? Evet. Backend processing requirement'ını azaltabilir. ### Cache Hit Ratio Nedir? Request'lerin ne kadarının cache üzerinden cevaplandığını gösterir. ### Static Content CDN'e Taşınmalı mı? Mümkünse evet. Origin load'u azaltır. ### API Rate Limit Kullanılmalı mı? Evet. Özellikle public API'lerde. ### Authentication API İçin Ayrı Limit Olmalı mı? Risk bazlı evet. ### Expensive Endpoint Nedir? Her request'te yüksek backend resource tüketen endpoint'tir. ### Application DDoS Assessment Nedir? Hangi endpoint'lerin resource exhaustion oluşturabileceğinin analizidir. ### DDoS Attack Simulation Nedir? Authorized controlled environment'da DDoS readiness'in değerlendirilmesidir. ### DDoS Testi Production'da Yapılabilir mi? Çok kontrollü planlanmalıdır. Service impact riski vardır. ### DDoS Readiness Assessment Nedir? Kurumun attack karşısındaki detection, mitigation ve resilience kapasitesinin değerlendirilmesidir. ### DDoS Readiness Assessment Neleri İnceler? Internet Architecture ISP Capacity Firewall Capacity DDoS Service Runbook ### DDoS Tabletop Exercise Nedir? Gerçek traffic üretmeden attack scenario'sunun ekiplerle masa başında uygulanmasıdır. ### Tabletop Exercise Neden Değerlidir? Role ve escalation eksikleri görülür. ### DDoS War Room Nedir? Büyük attack sırasında network, security ve business ekiplerinin birlikte yönettiği incident coordination yapısıdır. ### Communication Plan Neden Önemlidir? Service outage sırasında customer ve management communication gerekir. ### Status Page Nedir? Service availability hakkında kullanıcılara bilgi verilen bağımsız platformdur. ### Status Page Aynı Infrastructure'da Olmalı mı? Mümkünse ana service'ten bağımsız çalışmalıdır. ### DDoS Forensics Nedir? Attack sonrası traffic ve logs üzerinden saldırının analizidir. ### DDoS Forensics Hangi Verileri Kullanır? NetFlow Firewall Logs WAF Logs CDN Logs ### Attack Source IP Listesi Ne Kadar Değerli? Botnet nedeniyle hızla değişebilir. Tek başına yeterli değildir. ### Attack Pattern Neden Daha Değerli Olabilir? Source değişse de traffic behavior devam edebilir. ### DDoS Threat Intelligence Nedir? Aktif botnet, attack infrastructure ve yeni vectors hakkında threat information kullanılmasıdır. ### DDoS IOC Nedir? Attack source veya infrastructure'ı gösteren technical indicator'dır. ### DDoS TTP Nedir? Attacker'ın DDoS gerçekleştirmek için kullandığı tactics ve techniques'tir. ### DDoS Attack Trend Monitoring Neden Önemlidir? Protection policy güncellenebilir. ### Firewall DDoS Protection Özellikleri Nelerdir? SYN Protection Connection Limit Rate Limit DoS Policy gibi özellikler bulunabilir. ### Firewall Üzerindeki DoS Policy Nedir? Belirli traffic thresholds aşıldığında protection sağlayan policy'dir. ### Firewall DoS Policy Yeterli mi? Hayır. Özellikle upstream bandwidth saturation'a karşı. ### DDoS Protection ile IPS Aynı mı? Hayır. IPS exploit detection yapar. DDoS protection availability attack'larına odaklanır. ### DDoS Protection ile WAF Aynı mı? Hayır. WAF application-layer web security sağlar. ### DDoS Protection ile CDN Aynı mı? Hayır. CDN traffic distribution ve caching sağlar. Ancak DDoS mitigation capability içerebilir. ### DDoS Protection Defense in Depth Nasıl Kurulur? Upstream Provider ↓ Cloud DDoS Mitigation ↓ CDN / Anycast ↓ WAF ↓ Firewall ↓ Application Rate Limit ↓ Backend Resilience ### Layered DDoS Protection Neden Gereklidir? Farklı attack vectors farklı layer'ları hedefler. ### Layer 3/4 Protection Nedir? Network ve transport layer attack'larına yönelik mitigation'dır. ### Layer 7 Protection Nedir? Application-level request attack'larına yönelik mitigation'dır. ### DDoS Security Architecture Örneği Internet ↓ Global Anycast ↓ DDoS Scrubbing ↓ CDN ↓ WAF ↓ Load Balancer ↓ Application Cluster ### Origin Direct Access Kapalı Olmalı mı? Mümkünse evet. ### Network ACL DDoS'ta Kullanılır mı? Belirli attack pattern'lerini sınırlamak için kullanılabilir. ### Geo Blocking DDoS'u Durdurur mu? Tek başına hayır. ### Geo Blocking Ne Zaman Yardımcı Olabilir? Business'in hizmet vermediği bölgelerden gelen traffic'in azaltılmasında. ### IP Reputation DDoS'ta Kullanılır mı? Evet. Ancak botnet compromised legitimate IP'ler kullanabilir. ### ASN Blocking Nedir? Belirli Autonomous System'den gelen traffic'in engellenmesidir. ### ASN Nedir? ASN: #### Autonomous System Number internet routing domain kimliğidir. ### ASN Blocking Riskli mi? Legitimate users da etkilenebilir. ### Country Blocking Riskli mi? Evet. False positive business impact oluşturabilir. ### DDoS Emergency Policy Nedir? Attack sırasında geçici olarak devreye alınan daha sıkı traffic policy'dir. ### Emergency Policy Normal Zamanda Aktif Olmalı mı? Her zaman gerekli değildir. ### Crisis Mode Nedir? Attack sırasında service survival için daha restrictive policy uygulanmasıdır. ### Graceful Degradation Nedir? Service'in tamamen kapanmak yerine sınırlı fonksiyonlarla çalışmaya devam etmesidir. ### DDoS Sırasında Graceful Degradation Nasıl Kullanılır? Non-critical features kapatılabilir. ### Static Maintenance Page Kullanılabilir mi? Evet. Complex backend yükünü azaltabilir. ### Read-Only Mode Nedir? Critical write operations azaltılarak application'ın sınırlı modda çalışmasıdır. ### Business Continuity ile DDoS İlişkisi DDoS yalnızca cybersecurity incident değildir. Business Continuity problemidir. ### BCP Nedir? Business Continuity Plan. ### DR DDoS'u Çözer mi? Her zaman değil. Yeni site aynı internet exposure'a sahipse attack devam edebilir. ### Disaster Recovery ile DDoS Resilience Arasındaki Fark Nedir? DR infrastructure failure sonrası recovery'ye odaklanır. DDoS resilience active attack sırasında service continuity'ye odaklanır. ### RTO DDoS İçin Önemli mi? Evet. Service restoration hedefi belirlenmelidir. ### RPO DDoS İçin Önemli mi? Data loss yaşanıyorsa relevant olabilir. Ancak DDoS'un ana problemi availability'dir. ### DDoS KPI'ları Örneğin: Time to Detect Time to Mitigate Service Availability Attack Volume ### DDoS KRI'ları No Upstream Protection Single ISP Exposed Origin IP Unprotected DNS ### DDoS Dashboard Neler Göstermeli? Current Traffic Attack Vector Dropped Traffic Legitimate Traffic ### Peak Attack Bandwidth Nedir? Attack sırasında görülen maksimum traffic volume'dur. ### Peak PPS Nedir? Attack sırasında saniyede görülen maksimum packet sayısıdır. ### Peak RPS Nedir? Application'a saniyede gelen maksimum request sayısıdır. ### DDoS Capacity Planning Nedir? Normal ve attack traffic dikkate alınarak infrastructure'ın boyutlandırılmasıdır. ### Capacity Planning Sadece Firewall İçin mi? Hayır. ISP Router Firewall Load Balancer Application birlikte düşünülmelidir. ### Bottleneck Nedir? System'in toplam capacity'sini sınırlayan en zayıf noktadır. ### DDoS Architecture'da Bottleneck Nasıl Bulunur? End-to-end capacity analysis yapılmalıdır. ### Örnek ISP: 10 Gbps Firewall: 20 Gbps Load Balancer: 5 Gbps Burada bottleneck: Load Balancer olabilir. ### DDoS Protection'da En Sık Yapılan Hatalar Kurumlarda sık görülen hatalar: - Firewall varsa DDoS koruması var sanmak - Internet link capacity'sini dikkate almamak - Upstream mitigation kullanmamak - DDoS provider ile runbook oluşturmamak - Origin IP'yi açık bırakmak - DNS resilience planlamamak - Sadece bandwidth metric izlemek - PPS ve CPS değerlerini izlememek - Layer 7 DDoS'u dikkate almamak - WAF ve rate limiting kullanmamak - Baseline oluşturmamak - BGP diversion prosedürünü test etmemek - Scrubbing service'i hiç test etmemek - Single ISP kullanmak - DDoS tabletop exercise yapmamak - Business continuity sürecini dahil etmemek ### DDoS Protection Checklist - Internet bandwidth kapasitesi biliniyor mu? - Peak normal traffic biliniyor mu? - BPS/PPS/CPS/RPS izleniyor mu? - DDoS baseline oluşturuldu mu? - ISP DDoS service var mı? - Upstream mitigation mevcut mu? - Scrubbing center kullanılıyor mu? - Always-On/On-Demand modeli tanımlı mı? - BGP diversion prosedürü hazır mı? - CDN kullanılıyor mu? - Origin IP korunuyor mu? - WAF aktif mi? - API rate limiting var mı? - SYN flood protection aktif mi? - DNS redundant mı? - Secondary DNS var mı? - Multi-ISP değerlendirildi mi? - DDoS alerts SIEM'e gidiyor mu? - SOC/NOC escalation tanımlı mı? - DDoS runbook test edildi mi? ### DDoS Maturity Model #### Seviye 1 – Firewall Protection Basic DoS policy ve rate limit kullanılır. #### Seviye 2 – DDoS Visibility BPS, PPS, CPS ve traffic baseline izlenir. #### Seviye 3 – Upstream Mitigation ISP veya cloud scrubbing service kullanılır. #### Seviye 4 – Multi-Layer DDoS Protection DDoS provider, CDN, WAF, rate limiting ve resilient architecture birlikte kullanılır. #### Seviye 5 – Adaptive DDoS Resilience Real-time telemetry, automated mitigation, multi-region architecture ve tested incident response birlikte uygulanır. ### Sık Sorulan Sorular #### DDoS nedir? DDoS, çok sayıda source üzerinden yoğun traffic veya request göndererek bir hizmetin erişilebilirliğini bozmayı amaçlayan Distributed Denial of Service saldırısıdır. #### DoS ile DDoS arasındaki fark nedir? DoS genellikle tek source üzerinden, DDoS ise çok sayıda distributed source üzerinden gerçekleştirilir. #### Volumetric DDoS nedir? Target'ın internet bandwidth kapasitesini tüketmeyi amaçlayan yüksek hacimli saldırıdır. #### SYN Flood nedir? TCP connection state mekanizmasını tüketmeye yönelik protocol-level DoS/DDoS saldırısıdır. #### UDP Flood nedir? Yoğun UDP traffic kullanarak bandwidth veya system resource tüketmeyi hedefleyen saldırıdır. #### Application Layer DDoS nedir? HTTP, HTTPS veya API request'leri ile application resource'larını tüketmeyi hedefleyen Layer 7 saldırıdır. #### DDoS firewall ile engellenir mi? Bazı düşük hacimli veya protocol attack'lar firewall tarafından sınırlandırılabilir. Ancak attack internet link kapasitesini aşarsa upstream DDoS mitigation gerekir. #### Scrubbing Center nedir? DDoS attack traffic'ini filtreleyip clean traffic'i kurum network'üne ileten yüksek kapasiteli mitigation altyapısıdır. #### Anycast DDoS korumasında nasıl kullanılır? Aynı service IP'sini birden fazla location'dan advertise ederek attack traffic'in distributed infrastructure'a dağıtılmasına yardımcı olur. #### CDN DDoS'u engeller mi? Özellikle web-based attack'larda traffic distribution ve edge capacity sayesinde önemli koruma sağlayabilir ancak tek başına tüm DDoS attack'larını durdurmaz. #### WAF DDoS koruması sağlar mı? Layer 7 HTTP/HTTPS DDoS attack'larında rate limiting, bot detection ve request filtering ile yardımcı olabilir. #### DDoS mitigation nedir? Attack traffic'in legitimate traffic'ten ayrılarak filtrelenmesi ve service impact'in azaltılmasıdır. #### BGP DDoS mitigation için kullanılır mı? Evet. Attack sırasında traffic'in scrubbing infrastructure'a yönlendirilmesinde kullanılabilir. #### Blackhole routing nedir? Belirli destination traffic'inin tamamen drop edilmesidir. Service'i de erişilemez hale getirebildiği için genellikle son çare containment yöntemidir. #### DDoS Protection için en önemli kontrol nedir? Tek bir kontrol yoktur. Upstream protection, capacity, CDN/WAF, rate limiting, telemetry ve tested incident response birlikte kullanılmalıdır. ### Sonuç: DDoS Koruması Firewall'da Değil, Mimaride Başlar DDoS konusunda en yaygın yanlış düşüncelerden biri şudur: **“Firewall'ımız güçlü, DDoS'u engeller.”** Firewall önemli bir security control'dür. Ancak DDoS saldırısının temel matematiği farklıdır. Internet hattınız: 1 Gbps Saldırı: 20 Gbps ise firewall'ın: 20 Gbps traffic'i drop etmesi service availability açısından yeterli değildir. Çünkü attack traffic firewall'a ulaşmadan önce: **1 Gbps internet hattını doldurmuştur.** Bu nedenle DDoS protection'ın en kritik prensiplerinden biri: #### Mitigate Before the Bottleneck olmalıdır. Attack traffic mümkün olduğunca kurum network'üne ulaşmadan temizlenmelidir. Bu nedenle güçlü architecture: #### Internet ↓ #### Upstream DDoS Protection ↓ #### Scrubbing / Anycast ↓ #### CDN ↓ #### WAF ↓ #### Firewall ↓ #### Application şeklinde katmanlandırılabilir. Ancak DDoS defense yalnızca traffic filtering değildir. Gerçek network resilience; capacity, redundancy, monitoring, incident response ve business continuity gerektirir. Çünkü amaç yalnızca saldırgan traffic'i engellemek değildir. Asıl amaç: **saldırı devam ederken kritik service'in çalışmaya devam etmesini sağlamaktır.** Bu nedenle DDoS yaklaşımı şu dört soruya cevap vermelidir: #### Saldırıyı ne kadar hızlı görebiliyoruz? #### Nerede filtreleyebiliyoruz? #### Ne kadar attack traffic absorbe edebiliyoruz? #### Attack devam ederken hizmetimizi sürdürebiliyor muyuz? Modern DDoS defense'in temel denklemi: **Visibility + Capacity + Upstream Mitigation + Application Protection + Resilience** şeklindedir. Ve en kritik prensip şudur: **Firewall'ın kapasitesinden önce internet hattınızın kapasitesini düşünün.** Çünkü network'e ulaşmış bir volumetric attack için mitigation çok geç başlamış olabilir.