DDoS Saldırısına Hazırlık: Katman 3-4 ve Katman 7 Arasındaki Fark

DDoS (dağıtık hizmet engelleme) saldırıları, bir hizmeti kullanılamaz hale getirmek için aşırı yük bindirir. Tek bir tür saldırı yoktur; savunma da tek bir araçla sağlanamaz. Bu yazıda iki ana saldırı sınıfını ve her biri için savunma yaklaşımını özetliyoruz.

Katman 3-4: Hacimsel saldırılar

SYN flood, UDP flood ve DNS/NTP amplifikasyonu gibi saldırılar ağ bant genişliğini ve bağlantı tablolarını doldurur. Hedef sunucu değil, hattın kendisidir; saldırı yüzlerce Gbps’e ulaşabilir. Bu tür saldırıları yalnızca sunucudaki güvenlik duvarı durduramaz, çünkü trafik sunucuya ulaşmadan hat dolar.

Savunma: sağlayıcı ağında büyük kapasiteli temizleme (scrubbing) merkezi, anycast yönlendirme ve BGP ile otomatik trafik yönlendirme. Ovabit’te 1,2 Tbps temizleme kapasitesi tüm paketlerde ücretsizdir.

Katman 7: Uygulama saldırıları

HTTP flood, yavaş POST (Slowloris) ve arama formu/sepet gibi ağır uç noktalara yapılan bot istekleri, düşük bant genişliğiyle yüksek CPU tüketir. Trafik meşru görünür; bu nedenle ağ seviyesinde ayırt edilemez.

Savunma: WAF (web uygulaması güvenlik duvarı), bot yönetimi, oran sınırlama, CAPTCHA/JS meydan okuması ve önbellekleme.

Hazırlık kontrol listesi

• DNS’i korumalı bir sağlayıcıda tutun; TTL’yi önceden düşük ayarlayın.
• Gerçek sunucu IP’nizi gizleyin; yalnızca CDN/WAF IP’lerinden gelen trafiği kabul edin.
• Ağır uç noktalar (arama, giriş, API) için oran sınırı tanımlayın.
• Statik içeriği CDN’de önbelleğe alın.
• İzleme ve alarm: normal trafik taban çizgisini bilin.
• Saldırı sırasında iletişim planı: kim kimi arayacak?

Saldırı sırasında

Panik yapıp IP değiştirmek çoğu zaman işe yaramaz. Sağlayıcınızın NOC ekibiyle iletişime geçin, saldırı türünü (hacimsel mi, uygulama mı) belirleyin ve ilgili kuralları devreye alın. Saldırı sonrasında loglar incelenmeli, kök neden ve kurallar güncellenmelidir.

Ovabit WAF + CDN paketi, her iki katmanı tek panelden yönetmenizi sağlar.

Saldırı sonrası rapor

Her olaydan sonra şu soruların yanıtlanması gerekir: Saldırı ne zaman başladı ve ne zaman fark edildi? Tepe trafik ne kadardı? Hangi uç noktalar hedeflendi? Hangi kurallar işe yaradı, hangileri meşru kullanıcıları engelledi? Bu rapor, bir sonraki saldırıda müdahale süresini dakikalara indirir.

Ayrıca saldırının fidye talebiyle birlikte gelip gelmediğini kayıt altına alın; talep varsa yasal süreç için polise bildirim ve olay kaydı gerekir.