DDoS Nedir? DDoS Saldırısı Türleri, Belirtileri ve Korunma Yolları

Siteniz bir anda açılmıyor, oyun sunucunuzdaki herkes aynı saniyede düşüyor ya da sunucunuzun ağ grafiği dikey bir duvara dönmüş. Bunun en yaygın nedenlerinden biri DDoS saldırısıdır. Bu rehberde DDoS nedir, DoS ile farkı ne, DDoS saldırısı türleri nelerdir, bir saldırı altında olduğunuzu nasıl anlarsınız ve DDoS'tan korunma için hem sağlayıcı hem kendi tarafınızda neler yapılabilir, sade bir dille anlatıyoruz.

Bu yazı savunma amaçlıdır. Başka birinin sistemine DDoS saldırısı yapmak, test amaçlı bile olsa, Türk Ceza Kanunu'nun 244. maddesinde düzenlenen bilişim sistemini engelleme veya bozma suçudur ve bir yıldan beş yıla kadar hapis cezası öngörülür. Kendi sistemlerinizi test etmek istiyorsanız bunu yalnızca sağlayıcınızla yazılı olarak anlaşarak yapın.

---

DDoS Nedir?

DDoS (Distributed Denial of Service, Dağıtık Hizmet Engelleme), çok sayıda cihazın aynı anda bir sunucuya, web sitesine ya da oyun sunucusuna istek veya veri göndererek onu gerçek kullanıcılara hizmet veremez hâle getirmesidir. Amaç veri çalmak değil, erişimi kesmektir.

• DoS tek bir kaynaktan yapılır. Kaynak IP adresi engellenince saldırı biter.
• DDoS binlerce, bazen yüz binlerce farklı kaynaktan gelir. Bu kaynaklar çoğunlukla zararlı yazılımla ele geçirilmiş bilgisayarlar, güvenlik kameraları, modemler ve diğer akıllı cihazlardır; hepsine birden botnet denir. Cihaz sahipleri çoğu zaman saldırıya katıldıklarını bilmez.

Kaynak bu kadar dağınık olduğu için DDoS'u sunucunun kendi güvenlik duvarıyla tek tek IP engelleyerek durdurmak mümkün değildir.

---

DDoS Saldırısı Türleri

Saldırılar, hedefledikleri katmana göre üç ana gruba ayrılır:

1. Hacim tabanlı saldırılar

Hedefin internet bağlantısını trafikle doldurmayı amaçlar. Ölçüsü saniyedeki bit (Gbps, Tbps) ya da paket sayısıdır.

• UDP seli: Rastgele portlara çok yüksek hızda UDP paketi gönderilir.
• Yansıtma ve büyütme (amplification): Saldırgan, yanıtı isteğinden çok daha büyük olan açık servislere (yanlış yapılandırılmış DNS, NTP, memcached sunucuları gibi) kurbanın IP adresiyle sahte istek gönderir. Servisler büyük yanıtlarını kurbana yollar. Küçük bir istek yüzlerce kat büyüyerek hedefe ulaşır.

2. Protokol tabanlı saldırılar

Ağ protokollerinin çalışma biçimindeki zayıflıkları kullanır ve sunucunun ya da araya giren cihazların (güvenlik duvarı, yük dengeleyici) bağlantı tablolarını doldurur.

• SYN seli: TCP bağlantısı kurulurken üç adımlı el sıkışmanın yalnızca ilk adımı gönderilir. Sunucu her yarım bağlantı için yer ayırıp bekler, tablo dolunca gerçek kullanıcılar bağlanamaz.

3. Uygulama katmanı saldırıları (Katman 7)

Gerçek kullanıcı isteklerine benzeyen ama çok sayıda gelen isteklerle uygulamayı yorar. Ölçüsü saniyedeki istek sayısıdır.

• HTTP seli: Bir web sitesinin arama, giriş ya da sepet gibi ağır sayfalarına sürekli istek gönderilir. Trafik hacmi küçük olabilir ama her istek veritabanını çalıştırdığı için site çöker.
• Oyun sunucularına yönelik saldırılar: Oyunun protokolüne uygun görünen sahte bağlantı ve sorgu paketleriyle sunucu meşgul edilir.

---

Saldırı Altında Olduğunuzu Nasıl Anlarsınız?

Her yavaşlama DDoS değildir. Bir haber paylaşıldığında gelen gerçek ziyaretçi artışı, hatalı bir güncelleme ya da dolan disk de benzer belirtiler verir. DDoS'u ayıran işaretler şunlardır:

1. Trafik birkaç saniyede onlarca kat artar ve doğal bir eğri çizmez; grafik dik bir basamak gibi yükselir.
2. Trafik alışılmadık kaynaklardan gelir: hiç ziyaretçinizin olmadığı ülkeler, tek bir ağ aralığı ya da hep aynı tarayıcı kimliği.
3. İstekler tek bir adrese yoğunlaşır: sitenizin yalnızca bir sayfası ya da sunucunuzun tek bir portu.
4. Sunucu kaynakları boştayken bile erişim yoktur. Bu, darboğazın sunucuda değil ağ bağlantısında olduğunu gösterir.
5. Oyun sunucusunda herkes aynı anda düşer ve ping'ler aynı anda yükselir. Tek bir oyuncunun ping sorunu ise genellikle onun bağlantısındandır; ayrımı ping rehberimizde anlattık.

Linux sunucuda aşağıdaki komutlar ilk teşhis için yeterlidir:

ss -s
ss -tan state syn-recv | wc -l
ss -tn state established '( sport = :443 )' | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

İlki bağlantı özetini, ikincisi yarım kalmış (SYN-RECV) bağlantı sayısını, üçüncüsü 443 portuna en çok bağlantı açan IP adreslerini listeler. Normalde birkaç olan SYN-RECV sayısının binlere çıkması SYN selinin tipik işaretidir.

Windows sunucuda aynı bilgiye PowerShell'den ulaşabilirsiniz:

Get-NetTCPConnection -State SynReceived | Measure-Object
Get-NetTCPConnection -State Established | Group-Object RemoteAddress | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

---

DDoS'tan Korunma: Asıl Savunma Ağda Yapılır

Büyük bir hacim saldırısı sunucunuza ulaştığında artık geç kalınmıştır: bağlantınızın kapasitesi dolmuştur ve sunucunun içindeki hiçbir ayar dolmuş bir hattı boşaltamaz. Bu yüzden etkili DDoS koruması, trafik sunucuya ulaşmadan önce, sağlayıcının ağında yapılır.

Ağ tabanlı korumanın genel işleyişi şöyledir:

1. Sunucunuza gelen trafik, büyük kapasiteli bir filtreleme (scrubbing) altyapısından geçer.
2. Sistem trafiğin olağan profilini bilir; ani sapmaları, sahte kaynaklı paketleri ve protokole uymayan istekleri otomatik olarak ayırır.
3. Saldırı trafiği orada düşürülür, yalnızca temiz trafik sunucunuza ulaşır. İyi kurgulanmış bir korumada gerçek kullanıcılar bunu fark etmez.

Bir hizmet alırken sorulacak sorular: Koruma her zaman açık mı yoksa saldırı fark edilince mi devreye giriyor? Ek ücret var mı? Yalnızca ağ katmanını mı, oyun protokollerini de mi kapsıyor? Saldırı sırasında sizin bir şey yapmanız gerekiyor mu?

AnkSOFT'ta DDoS koruması

AnkSOFT'ta AnkArmor DDoS koruması, VDS sunucu, web hosting ve oyun sunucusu paketlerinde standart olarak gelir ve ek ücret istemez; İstanbul lokasyonlu dedicated sunucularda da donanımsal DDoS koruması dahildir. Koruma her zaman açıktır, saldırıları otomatik algılar ve sizin tarafınızda bir işlem gerektirmez. Oyun sunucularında koruma, oyun protokollerine göre ayarlanmıştır.

Ayrıntılar için DDoS Koruması sayfamıza, korumanın standart geldiği hizmetler için VDS, oyun sunucusu ve web hosting paketlerine bakabilirsiniz.

---

Kendi Tarafınızda Alabileceğiniz Önlemler

Ağ koruması hacim ve protokol saldırılarını durdurur. Uygulama katmanında ve genel dayanıklılıkta ise sizin ayarlarınız fark yaratır:

1. Sunucunun gerçek IP adresini gizli tutun. Web sitesi kullanıyorsanız alan adınızı bir proxy ya da CDN arkasına aldıysanız sunucu IP'sini başka kayıtlarda (ör. mail ya da ftp alt alan adı) açığa çıkarmayın. DNS kayıtlarını düzenlemeyi DNS kayıtları rehberimizde anlattık.
2. Gereksiz portları kapatın. Kullanmadığınız her açık port, saldırı yüzeyidir. Linux'ta UFW, Windows'ta Windows Güvenlik Duvarı ile yalnız ihtiyacınız olanları açın; adımlar Ubuntu sunucu güvenliği rehberimizde.
3. Veritabanı, Redis gibi servisleri internete açmayın. Yalnızca 127.0.0.1 üzerinde dinlesinler.
4. Web sunucunuzda istek sınırı (rate limit) koyun. Nginx'te limit_req, Apache'de ilgili modüllerle tek bir IP'nin saniyede yapabileceği istek sayısını sınırlayın; özellikle giriş, arama ve API uçlarında.
5. Önbellek kullanın. Sık istenen sayfaları önbellekten sunmak, HTTP sellerinde veritabanının çökmesini önler.
6. SYN cookies açık olsun. Linux'ta sysctl net.ipv4.tcp_syncookies değerinin 1 olduğunu kontrol edin; çoğu dağıtımda varsayılan olarak açıktır.
7. Kendi sunucunuzu başkalarına silah yapmayın. Açık DNS çözümleyici, açık NTP ya da internete açık memcached gibi servisler yansıtma saldırılarında kullanılır. Sunucunuzda bu servisler varsa yalnızca kendi ağınıza yanıt verecek şekilde ayarlayın.
8. İzleyin ve kaydedin. Trafik ve kaynak grafikleri, bir saldırıyı ilk dakikada fark etmenizi ve sağlayıcıya somut bilgi vermenizi sağlar.

---

Saldırı Sırasında Ne Yapmalı?

1. Belirtileri kaydedin: Başlangıç saati, etkilenen IP ve port, aldığınız hata mesajları, ss veya Get-NetTCPConnection çıktıları.
2. Sağlayıcınıza bildirin. Destek talebinize hizmetinizi, saldırının başladığı saati ve kayıtlarınızı ekleyin.
3. Sunucuyu art arda yeniden başlatmayın. Hacim saldırısı ağda olduğu için yeniden başlatma bir şey çözmez, yalnızca açık işlemlerinizi yarıda keser.
4. Uygulama katmanı saldırısıysa geçici önlemler alın: saldırının yoğunlaştığı sayfaya istek sınırı koyun, mümkünse o sayfayı geçici olarak önbellekten sunun.
5. Fidye taleplerine ödeme yapmayın. "Ödemezseniz saldırıyı sürdüreceğiz" türü mesajlar sık görülür; ödeme saldırının biteceğini garanti etmez. Mesajları saklayın, sağlayıcınıza ve gerekirse kolluk kuvvetlerine bildirin.
6. Saldırı bittikten sonra kayıtları inceleyin, sunucu IP'sinin nereden açığa çıktığını araştırın ve eksik önlemleri tamamlayın.

---

Sık Yapılan Hatalar

1. DDoS'u sunucunun içindeki güvenlik duvarıyla durdurmaya çalışmak. Hattınız dolmuşsa sunucunun içindeki kural işe yaramaz.
2. Her yavaşlamayı DDoS sanmak. Önce disk, bellek, işlemci ve uygulama günlüklerine bakın.
3. Proxy kullanırken sunucu IP'sini başka bir DNS kaydında açık bırakmak.
4. "Ücretsiz DDoS testi" sunan sitelere ve araçlara güvenmek. Bu hizmetlerin büyük kısmı yasa dışı saldırı servisleridir; kullanmak da suçtur.
5. Saldırıdan sonra hiçbir şey değiştirmemek. Aynı açıktan ikinci saldırı daha kolay gelir.

---

Özet

1. DDoS, çok sayıda kaynaktan gelen trafikle bir hizmetin erişimini kesme saldırısıdır; amaç veri çalmak değil, hizmeti durdurmaktır.
2. Üç ana tür vardır: hacim tabanlı, protokol tabanlı ve uygulama katmanı saldırıları.
3. Etkili koruma ağda, trafik sunucuya ulaşmadan önce yapılır; uygulama katmanında ise sizin ayarlarınız (istek sınırı, önbellek, kapalı portlar) belirleyicidir.
4. Başkasına DDoS saldırısı yapmak TCK 244 kapsamında suçtur.

---

Kaynaklar

• 5237 sayılı Türk Ceza Kanunu, madde 244, Mevzuat Bilgi Sistemi
• RFC 4987: TCP SYN Flooding Attacks and Common Mitigations
• Understanding Denial-of-Service Attacks, CISA
• ss(8) kılavuz sayfası, man7.org
• Get-NetTCPConnection, Microsoft Learn