DDoS Saldırısı Nedir, Nasıl Önlenir?

Dijital varlıkların kesintisiz erişilebilirliği, işletmelerin operasyonel sürekliliği, marka itibarı ve finansal sürdürülebilirliği açısından temel bir metriktir. DDoS (Distributed Denial of Service - Dağıtık Hizmet Engelleme) saldırıları, hedef sunucu, ağ veya servisi taşıyamayacağı miktarda sahte trafik yüküyle boğarak hizmet dışı bırakan karmaşık siber tehditlerdir. Bu saldırılar, e-ticaret platformlarından finansal kuruluşlara kadar her ölçekteki işletme için operasyonel duraksamalara, veri güvenliği risklerine ve yasal uyumsuzluk cezalarına neden olur. Doğru yapılandırılmış ağ filtreleme mekanizmaları, sınır geçit protokolü (BGP) mühendisliği ve Web Uygulaması Güvenlik Duvarı (WAF) entegrasyonları ile bu riskler minimize edilebilir.

DDoS (Distributed Denial of Service) Nedir?

DDoS (Distributed Denial of Service) ya da Türkçe karşılığıyla Dağıtık Hizmet Engelleme, bir bilgisayar ağını veya web tabanlı bir hizmeti, birden fazla kaynaktan gelen yoğun trafikle kasıtlı olarak sabote etme eylemidir. Bu saldırıların temel amacı, hedef sistemin bant genişliğini (bandwidth), işlemci gücünü (CPU), bellek (RAM) kaynaklarını veya ağ bağlantı tablolarını tamamen tüketmektir. Kaynakların tükenmesiyle birlikte meşru kullanıcıların sisteme erişimi engellenir. DDoS, tek bir kaynaktan yapılan DoS (Denial of Service) saldırılarının aksine, koordineli hareket eden binlerce, hatta milyonlarca benzersiz IP adresinden oluşan küresel bir ağ üzerinden yürütülür.

Siber güvenlik ekosisteminde DDoS saldırıları, bilgi güvenliğinin temel üçlüsü olan CIA (Confidentiality, Integrity, Availability - Gizlilik, Bütünlük, Erişilebilirlik) prensibindeki "Erişilebilirlik" (Availability) ilkesini doğrudan sabote eder. Bir web platformunun veya API servisinin dakikalarca çevrimdışı kalması, modern e-ticaret sistemlerinde ve finansal altyapılarda doğrudan ciro kaybına yol açar. Ayrıca bu saldırılar, sistem yöneticilerinin dikkatini başka yöne çekmek amacıyla düzenlenen ve arka planda veri hırsızlığı (data exfiltration) yapmayı hedefleyen karmaşık siber operasyonların bir parçası (smokescreen) olarak da kullanılabilir.

Uluslararası standartlar ve regülasyonlar çerçevesinde DDoS tehditlerine karşı koymak, yasal bir zorunluluktur. ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardının A.12 (İşlem Güvenliği) ve A.13 (Haberleşme Güvenliği) kontrol maddeleri, ağ hizmetlerinin sürekliliğini ve kesintilere karşı dayanıklılığını şart koşar. Benzer şekilde, kişisel verilerin korunmasını hedefleyen KVKK (Kişisel Verilerin Korunması Kanunu) ve GDPR (General Data Protection Regulation) mevzuatları, veri sorumlularının sistem güvenliğini sağlamak için gerekli teknik tedbirleri almasını zorunlu kılar. DDoS saldırıları nedeniyle uzun süreli hizmet kesintisi yaşayan ve güvenlik mimarisinde zafiyet barındıran kuruluşlar, idari para cezalarıyla ve tazminat davalarıyla karşı karşıya kalabilir.

DoS ve DDoS Saldırıları Arasındaki Temel Farklar Nelerdir?

DoS (Denial of Service) ve DDoS (Distributed Denial of Service) saldırıları, nihai amaçları bakımından benzerlik gösterse de, saldırının gerçekleştirilme biçimi, kaynak çeşitliliği ve engelleme metodolojileri açısından kökten farklılaşır. DoS saldırısı, tek bir internet bağlantısı ve tek bir cihaz (sunucu, bilgisayar veya ağ cihazı) kullanılarak hedef sisteme yönelik gerçekleştirilen bir eylemdir. Bu senaryoda saldırgan, doğrudan kendi internet hattı üzerinden veya kiraladığı tek bir sunucudan hedefe paket gönderir. DoS saldırıları, kaynak IP adresi kolayca tespit edilebildiği için sınır güvenlik duvarları (firewall) veya erişim kontrol listeleri (ACL - Access Control List) üzerinden uygulanan paket filtreleme kuralları ile hızlıca etkisiz hale getirilebilir.

DDoS saldırıları ise doğası gereği dağıtıktır. Saldırgan, tek bir sistem yerine dünyanın farklı coğrafyalarına yayılmış binlerce benzersiz sistemden oluşan bir orduyu koordine eder. Bu dağıtık yapı, saldırının tek bir IP adresini engelleyerek durdurulmasını imkansız kılar. Saldırı trafiği, meşru kullanıcı trafikleriyle neredeyse aynı karakteristik özellikleri taşıyabilir. Bu durum, geleneksel imza tabanlı (signature-based) güvenlik çözümlerinin zararlı trafiği ayırt etmesini son derece zorlaştırır. DoS saldırılarında hedef sistemin bant genişliği sınırları zorlanırken, DDoS saldırılarında taşıyıcı omurgaların (peering noktaları ve ISS geçitleri) kapasitesi dahi aşılabilir.

DDoS Saldırıları Nasıl Çalışır? (Botnet ve Zombi Ağları)

DDoS saldırılarının yıkıcı gücü, arkalarındaki organize altyapı olan Botnet ve zombi bilgisayar (compromised host) ağlarından gelir. Bir botnet oluşturma süreci, saldırganın internete bağlı, güvenlik açığı (vulnerability) barındıran veya varsayılan kimlik bilgileriyle (default credentials) çalışan cihazları tespit etmesiyle başlar. Bu cihazlar genellikle akıllı ev aletleri (IoT), IP kameralar, güncellenmemiş sunucular, modemler veya kullanıcıların farkında olmadan zararlı yazılım (malware) bulaştırdığı kişisel bilgisayarlardır. Zararlı yazılım cihaza yerleştikten sonra, cihaz sahibinin ruhu bile duymadan arka planda çalışmaya başlar ve bir "zombi" haline gelir.

Zombi haline gelen bu cihazlar, internet üzerinden saldırganın kontrolündeki Komuta ve Kontrol (C2 - Command and Control) sunucusuna bağlanır. Modern botnet mimarilerinde C2 iletişimi, tespit edilmeyi zorlaştırmak amacıyla IRC kanalları yerine şifreli HTTP/HTTPS protokolleri, DNS tünelleme veya eşler arası (P2P - Peer-to-Peer) ağlar üzerinden gerçekleştirilir. Saldırgan, hedef aldığı kuruluşun IP adresini veya alan adını (domain) belirleyip tetikleme emri verdiğinde, C2 sunucusu tüm zombi ağlarına eş zamanlı talimat gönderir. Bu talimatla birlikte milyonlarca zombi cihaz, hedef adrese aynı anda veri paketleri göndermeye başlar.

Saldırının işleyiş sürecinde siber güvenlik uzmanlarının en çok zorlandığı konu, "IP Spoofing" (IP adresi sahteciliği) tekniğidir. Özellikle UDP tabanlı saldırılarda, botnet içindeki zombi cihazlar paketlerin kaynak IP adresi kısmına kendi gerçek IP adresleri yerine hedef kurbanın IP adresini veya tamamen rastgele IP adreslerini yazarak paket gönderirler. Bu durum, gelen paketlerin gerçek kaynağının tespit edilmesini zorlaştırırken, hedef sunucunun ve sınır ağ geçitlerinin yanlış yönlendirilmiş yanıt paketleriyle daha da boğulmasına neden olur.

Hedeflerine Göre DDoS Saldırı Türleri

DDoS saldırıları, hedef aldıkları sistem bileşenlerine ve ağ mimarisindeki katmanlara göre farklılık gösterir. Güvenlik analizlerinde bu sınıflandırma için ISO/OSI (Open Systems Interconnection) referans modeli temel alınır. Saldırılar genellikle üç ana kategoride incelenir: Hacim odaklı saldırılar, protokol seviyesindeki saldırılar ve uygulama katmanı saldırıları.

Hacim Odaklı (Volumetric) Saldırılar (UDP, ICMP Flood)

Hacim odaklı saldırılar (volumetric attacks), hedef sistemin internet bant genişliğini (bandwidth) tamamen doyurarak (saturation) kullanılmaz hale getirmeyi amaçlar. Bu saldırı türünde amaç, sunucunun işlem kapasitesini tüketmekten ziyade, sunucuya giden fiziksel veya mantıksal hattı tıkamaktır. Saldırı boyutu genellikle saniyede iletilen bit (Gbps - Gigabit per second) veya saniyede iletilen paket (Pps - Packets per second) cinsinden ölçülür.

UDP Flood siber güvenlik literatüründe en sık karşılaşılan hacimsel saldırılardan biridir. Saldırgan, kurbanın sunucusundaki rastgele portlara çok sayıda UDP (User Datagram Protocol) paketi gönderir. UDP bağlantısız (connectionless) bir protokol olduğu için, hedef sunucu her gelen paket için ilgili portta dinleme yapan bir uygulama olup olmadığını kontrol etmek zorundadır. Eğer o portta çalışan bir servis yoksa, sunucu kaynağı olarak "ICMP Destination Unreachable" (Erişilemez Hedef) yanıtı üretilir. Milyonlarca paket için bu işlem tekrarlandığında, sunucunun hem ağ kartı hem de çıkış bant genişliği bloke olur. ICMP Flood saldırılarında ise doğrudan "Ping" (Echo Request) paketleri kullanılarak ağ geçitlerinin (router) ve switchlerin paket yönlendirme tabloları doldurulur.

Protokol ve Ağ Katmanı Saldırıları (SYN Flood, Smurf)

Protokol odaklı saldırılar, OSI modelinin 3. (Ağ) ve 4. (Taşıma) katmanlarındaki protokol açıklarını ve tasarım limitlerini hedef alır. Bu saldırıların ana hedefi bant genişliği değil; güvenlik duvarları, yük dengeleyiciler (load balancers) ve sunucu işletim sistemlerinin bağlantı durum tablolarıdır (state tables).

SYN Flood saldırısı, TCP (Transmission Control Protocol) protokolünün temel el sıkışma (3-way handshake) mekanizmasını istismar eder. Normal bir TCP bağlantısında istemci sunucuya bir SYN (Synchronize) paketi gönderir, sunucu buna SYN-ACK (Synchronize-Acknowledgment) ile yanıt verir ve istemciden gelecek son ACK (Acknowledgment) paketini bekler. Bu süreçte sunucu belleğinde bu bağlantı için bir alan (half-open connection) ayrılır. SYN Flood saldırısında, zombi bilgisayarlar sahte IP adresleriyle (IP spoofing) binlerce SYN paketi gönderir ancak asla son ACK paketini göndermez. Sunucu, bağlantı zaman aşımına (timeout) uğrayana kadar bu yarı açık bağlantıları bellekte tutmaya çalışır. Sonuç olarak, sunucunun bağlantı tablosu (connection queue) dolar ve yeni, meşru bağlantı isteklerini kabul edemez hale gelir.

Uygulama Katmanı (Application Layer) Saldırıları (HTTP Flood, Zero-day)

OSI modelinin 7. katmanını (Application Layer) hedef alan bu saldırılar, sistem kaynaklarını en az ağ trafiğiyle en verimli şekilde tüketmeyi amaçlayan son derece sinsi yöntemlerdir. Genellikle web sunucularını (Apache, Nginx, IIS) veya doğrudan web uygulamalarının arka planındaki veritabanı (SQL) motorlarını hedef alırlar. Saldırı trafiği yasal HTTP/HTTPS isteklerinden (GET/POST) oluştuğu için, geleneksel imza tabanlı güvenlik duvarlarını aşmakta oldukça başarılıdırlar.

HTTP Flood saldırılarında, botnetler hedef web sitesinin ana sayfasını veya daha da tehlikelisi, veritabanı sorgusu tetikleyen arama/kayıt formları gibi yüksek kaynak tüketen dinamik sayfalarını sürekli sorgular. Saldırgan için bir HTTP GET isteği göndermek milisaniyeler sürerken ve çok az bant genişliği harcarken; sunucu tarafında bu isteğin işlenmesi, veritabanına sorgu atılması, HTML sayfasının render edilmesi ve istemciye geri gönderilmesi ciddi CPU ve bellek tüketimine yol açar. Bu asimetrik güç dengesi, çok düşük bir trafik hacmiyle bile (örneğin sadece 100 Mbps) koca bir sunucu altyapısının çökertilmesini sağlayabilir. Sıfırıncı gün (Zero-day) uygulama katmanı saldırıları ise web sunucusu yazılımlarının henüz yamalanmamış (unpatched) güvenlik açıklarını sömürerek servislerin kilitlenmesine neden olur.

Bir DDoS Saldırısına Uğradığınızı Nasıl Anlarsınız? (Kritik Belirtiler)

Bir DDoS saldırısını erkenden teşhis etmek, kriz anında verilecek tepkinin süresini doğrudan kısaltır ve iş sürekliliğini korur. DDoS saldırıları genellikle kendilerini sistem kaynaklarının aniden tükenmesiyle belli eder ancak her yavaşlık veya erişim problemi doğrudan bir siber saldırı anlamına gelmeyebilir. Doğru bir teşhis için siber güvenlik ekiplerinin ve sistem yöneticilerinin belirli anomali göstergelerini ve telemetri verilerini yakından takip etmesi gerekir.

• Açıklanamayan Trafik Patlamaları: Ağ izleme (Network Monitoring) araçlarında, normal kullanıcı davranış modellerine uymayan, günün olağan dışı saatlerinde meydana gelen ve kademeli değil, dikey bir ivmeyle yükselen bant genişliği tüketimi en belirgin işarettir.

• Sunucu Yanıt Sürelerinin (Latency) Aşırı Uzaması: Web sunucusunda herhangi bir donanımsal arıza veya aşırı meşru kullanıcı yükü (örneğin, Black Friday gibi kampanya dönemleri) olmamasına rağmen, sunucu yanıt sürelerinin saniyeler seviyesine çıkması veya bağlantıların sürekli "Gateway Timeout" (504) vermesi.

• Tek Tip İstek Karakteristikleri: Log analizlerinde, gelen isteklerin hep aynı URL yapısını hedeflemesi, aynı User-Agent (tarayıcı kimliği) bilgisini kullanması, benzer coğrafi bölgelerden (örneğin, hedef pazarınız olmayan ülkelerden) gelmesi veya benzer sorgu parametreleri içermesi.

• CPU ve Bellek Kullanımının Maksimuma Ulaşması: Sunucu işletim sistemlerinde (Linux/Windows) işlemci yükünün aniden %100 seviyesine kilitlenmesi ve özellikle @@CODE0@@, @@CODE1@@ veya MySQL gibi servislerin işletim sistemi tarafından otomatik olarak (Out of Memory Killer) sonlandırılması.

• Ping Paket Kayıpları (Packet Loss): Sınır yönlendiricilere (Router) veya doğrudan sunucu IP adresine atılan ICMP ping isteklerinin yüksek oranda paket kaybına uğraması ya da tamamen yanıtsız kalması, yerel ağ arayüzlerinin (NIC) tıkandığını gösterir.

DDoS Saldırılarının Kurumlara Yönelik Finansal ve İtibari Etkileri

DDoS saldırılarının kurumlara faturası yalnızca teknik bir aksaklıktan ibaret değildir. Dijital platformların dakikalarca bile kapalı kalması, özellikle finans, e-ticaret, SaaS (Software as a Service) ve kamu hizmetleri sektörlerinde yıkıcı sonuçlar doğurur. Yapılan siber güvenlik araştırmaları, büyük ölçekli bir DDoS saldırısının işletmelere saatlik maliyetinin on binlerce dolardan başlayıp milyonlarca dolara kadar uzanabildiğini göstermektedir.

İlk ve en doğrudan etki doğrudan gelir kaybıdır. Kullanıcıların sepetindeki ürünleri satın alamadığı, ödeme geçitlerinin çalışmadığı veya biletleme sistemlerinin çöktüğü her saniye, cironun sıfırlanması anlamına gelir. Bu durumun e-ticaret siteleri için anlamı nettir: Müşteri, alternatif bir platforma yönelir. İkinci büyük darbe ise itibar ve müşteri güveni kaybıdır. Sürekli erişim sorunu yaşayan bir bankacılık uygulaması veya yatırım platformu, kullanıcılarının gözünde "güvensiz" imajı çizer. Güven kaybı, uzun vadede müşteri aboneliklerinin iptal edilmesine (churn rate artışı) ve marka değerinin borsada veya pazarda gerilemesine yol açar.

Ayrıca, operasyonel olarak siber güvenlik ve BT ekiplerinin tüm planlı işlerini durdurarak acil durum müdahalesine yoğunlaşması, projelere ayrılan zamanı sabote eder ve ciddi bir operasyonel iş gücü maliyeti yaratır. Hukuki açıdan ise, hizmet seviyesi taahhütlerini (SLA - Service Level Agreement) karşılayamayan B2B servis sağlayıcıları, müşterilerine tazminat ödemek zorunda kalabilir. KVKK ve GDPR uyumluluğu kapsamında, eğer DDoS saldırısı bir "sis bombası" olarak kullanılıp veritabanı sızıntısına yol açtıysa, regülatör kurumlar tarafından verilecek milyonlarca liralık idari para cezaları da bu tablonun bir diğer karanlık yüzüdür.

DDoS Saldırıları Nasıl Önlenir? (Proaktif Güvenlik Stratejileri)

DDoS saldırılarını tamamen engellemek teorik olarak imkansızdır; çünkü internet protokolleri doğası gereği açık tasarlanmıştır. Ancak, doğru mimari tasarımlar, proaktif savunma katmanları ve modern siber güvenlik teknolojileri kullanılarak saldırıların etkisi tamamen sönümlendirilebilir ve iş süreçlerinin kesintisiz devam etmesi sağlanabilir.

WAF (Web Application Firewall) Kurulumu ve Yapılandırması

Web Uygulaması Güvenlik Duvarı (WAF), HTTP/HTTPS trafiğini uygulama katmanında (Layer 7) denetleyen kritik bir bariyerdir. Geleneksel güvenlik duvarları sadece IP adreslerine ve portlara bakarken, WAF gelen her HTTP isteğinin başlıklarını (headers), gövdesini (body), çerezlerini (cookies) ve parametrelerini derinlemesine inceler.

Modern bir WAF çözümü (örneğin; Cloudflare, Imperva, AWS WAF veya F5 Advanced WAF), gelişmiş davranışsal analiz yöntemlerini kullanır. WAF üzerinde tanımlanan kurallar sayesinde, tipik botnet araçlarının kullandığı bilinen kullanıcı aracı (User-Agent) dizilimleri engellenir. "Rate Limiting" kuralları entegre edilerek, tek bir oturumun veya IP adresinin saniyede yapabileceği maksimum istek sayısı sınırlandırılır. Ayrıca WAF, TLS parmak izi (TLS Fingerprinting - JA3/JA4) teknolojisini kullanarak, gelen isteğin gerçek bir tarayıcıdan (Chrome, Safari, Firefox vb.) mı yoksa Python/Go dilleriyle yazılmış otomatik bir saldırı scriptinden mi geldiğini anında tespit edebilir.

CDN (İçerik Dağıtım Ağı) ve Anycast Mimarisi Kullanımı

İçerik Dağıtım Ağları (CDN - Content Delivery Network), web sitenizin statik ve dinamik içeriklerini dünya geneline yayılmış uç sunucularda (edge servers) önbelleğe alarak kullanıcıya en yakın noktadan sunar. DDoS savunmasında CDN'lerin en büyük gücü, sahip oldukları devasa toplam ağ kapasitesi ve "Anycast" yönlendirme mimarisidir.

Anycast mimarisi sayesinde, dünya genelindeki tüm CDN uç noktaları tek bir IP adresini paylaşır. Bir DDoS saldırısı başladığında, saldırganların oluşturduğu botnet trafiği tek bir merkeze yönlenmek yerine, zombi cihazların coğrafi konumuna en yakın olan CDN veri merkezlerine dağıtılır. Örneğin, Brezilya'daki zombilerin oluşturduğu trafik Sao Paulo'daki CDN ucunda, Almanya'daki zombilerin trafiği ise Frankfurt'taki CDN ucunda sönümlendirilir. Bu sayede, sitenizin asıl barındığı ana sunucu (origin server) saldırı trafiğinden hiç etkilenmez ve meşru kullanıcılara hizmet vermeye devam eder.

Ağ Trafiği İzleme ve Yapay Zeka Destekli Anomali Tespiti

Saldırıların henüz başlangıç aşamasındayken durdurulması, ağ trafiğinin sürekli olarak anlık (real-time) izlenmesi ve analiz edilmesiyle mümkündür. Geleneksel imza tabanlı tespit yöntemleri, her gün yeni varyasyonları geliştirilen "sıfırıncı gün" (zero-day) DDoS saldırılarına karşı yetersiz kalmaktadır.

Yapay zeka (AI) ve makine öğrenimi (ML) destekli ağ izleme araçları, sisteminizin normal şartlar altındaki trafik akış modelini öğrenerek bir "temel çizgi" (baseline) oluşturur. Ağ paketlerinin boyutları, protokol dağılımları, TCP bayraklarının oranları ve kaynak-hedef IP ilişkileri sürekli analiz edilir. Bu çizginin dışına çıkan en ufak bir anomali (örneğin, beklenmedik bir SYN/ACK oranı sapması veya UDP paket yoğunlaşması), sistem tarafından otomatik olarak algılanır. Yapay zeka destekli bu sistemler, insan müdahalesine gerek kalmadan dinamik firewall kuralları üreterek saldırı trafiğini milisaniyeler içinde bloke edebilir.

Hız Sınırlama (Rate Limiting) ve Katı IP Filtreleme Politikaları

Hız sınırlama (Rate Limiting), bir kullanıcının veya sistemin belirli bir zaman diliminde yapabileceği maksimum işlem limitini belirleme disiplinidir. Bu yöntem, özellikle API uç noktalarını (endpoints) ve giriş (login) sayfalarını korumak için elzemdir.

Örneğin, Nginx web sunucusunda aşağıdaki gibi bir yapılandırma ile IP başına istek sınırlandırması yapılabilir:

# IP adresine göre limit bölgesi tanımlama (Saniyede 10 istek limiti)
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location /login/ {
        # Sınırı uygulama ve ani yükselmeler için 5 paketlik esneklik (burst) tanıma
        limit_req zone=one burst=5 nodelay;
        proxy_pass http://backend;
    }
}

Bu basit kural, botnetlerin login sayfasına saniyede yüzlerce istek göndererek sunucuyu kilitlemesini ve kaba kuvvet (brute-force) saldırıları gerçekleştirmesini engeller. Katı IP filtreleme politikaları kapsamında ise; bilinen proxy sunucuları, Tor çıkış düğümleri (exit nodes), veri merkezi (datacenter) IP blokları ve hedef pazarınız dışındaki ülkelerin IP adresleri (Geo-blocking) sınır kapısında doğrudan engellenebilir.

ISS (İnternet Servis Sağlayıcı) Seviyesinde Temizleme (Scrubbing) Merkezleri

Hacimsel saldırıların boyutu (örneğin, 100 Gbps ve üzeri), şirketinize gelen fiziksel fiber hattın veya veri merkezinizin toplam bant genişliği kapasitesini aştığında, yerel sunucularda veya yazılımsal güvenlik duvarlarında yapabileceğiniz hiçbir şey kalmaz; çünkü hat fiziksel olarak tıkanmıştır. Bu durumda tek çözüm, trafiğin daha sizin ağınıza ulaşmadan önce internet omurgasında temizlenmesidir.

ISS seviyesinde çalışan Trafik Temizleme Merkezleri (Scrubbing Centers), bu amaçla kurulmuş devasa filtreleme altyapılarıdır. Bir saldırı algılandığında, BGP (Border Gateway Protocol) yönlendirmesi değiştirilerek (BGP Anycast veya DNS değişikliği ile) şirketinize gelen tüm trafik öncelikle bu temizleme merkezlerine yönlendirilir. Temizleme merkezindeki yüksek kapasiteli donanımlar, gelen terabaytlarca boyutundaki karmaşık trafiği süzgeçten geçirir. Zararlı DDoS paketleri (kirli trafik) burada drop edilirken (paket filtreleme), temiz ve meşru kullanıcı trafiği (yeşil trafik) tünelleme protokolleri (GRE tünel veya MPLS) üzerinden güvenli bir şekilde sunucularınıza iletilir.

Saldırı Anında Ne Yapılmalı? (Acil Durum Müdahale Planı)

Bir DDoS saldırısı başladığında panik yapmak ve plansız hareket etmek, kesinti süresini uzatmaktan ve sistem mimarisine daha fazla zarar vermekten başka bir işe yaramaz. Her kurumun, siber saldırı anında devreye sokacağı önceden test edilmiş bir "Acil Durum Müdahale Planı" (Incident Response Playbook) bulunmalıdır.

İlk adım, durumun hızlıca doğrulanması ve sınıflandırılmasıdır. Yaşanan erişim sorununun bir DDoS saldırısı mı, yoksa veritabanındaki bir kilitlenme veya ISP kaynaklı bir kesinti mi olduğu netleştirilmelidir. Ağ metrikleri ve CPU yükleri analiz edilerek saldırının türü (Hacimsel mi, L7 mi?) belirlenir. Durum netleştikten sonra, siber güvenlik kriz masası toplanır ve önceden atanmış roller doğrultusunda herkes kendi görevini yerine getirmeye başlar.

İkinci aşama, savunma kalkanlarının devreye alınması ve trafiğin kaydırılmasıdır. Eğer bulut tabanlı bir CDN/WAF hizmeti kullanılıyorsa, saldırı türüne uygun olarak "Under Attack Mode" (Saldırı Altındayım Modu) aktif edilir. Bu mod, siteye giren tüm kullanıcılara javascript tabanlı hızlı bir tarayıcı doğrulaması (challenge-response) uygulayarak botnetleri anında eler. Eğer saldırı hacimsel ise, internet servis sağlayıcısı aranarak trafik temizleme (Scrubbing) merkezinin devreye sokulması talep edilir.

Üçüncü adım, iletişim yönetimidir. Saldırı sırasında iş ortakları, müşteriler ve gerekirse kamuoyu (eğer yasal yükümlülük varsa) süreç hakkında şeffaf ve profesyonel bir dille bilgilendirilmelidir. Destek ekiplerinin iş yükünü azaltmak amacıyla sosyal medya veya durum sayfaları (status pages) üzerinden kesintinin farkında olunduğu ve üzerinde çalışıldığı duyurulmalıdır. Saldırı sönümlendikten sonra ise mutlaka detaylı bir "Post-Mortem" (Saldırı Sonrası Değerlendirme) raporu hazırlanmalı; saldırının nasıl başladığı, hangi savunma katmanının yetersiz kaldığı analiz edilerek altyapı güvenlik kuralları güncellenmelidir.