DDoS Saldırısı Nedir, Nasıl Engellenir? Ev, Oyun ve Site İçin

DDoS saldırısı nasıl engellenir sorusunun kısa cevabı şu: tek bir araçla değil, katmanlarla. Site sahibiysen trafiği saldırı gelmeden önce bir CDN ya da DDoS koruma hizmetinin arkasına alırsın, uygulamada oran sınırlama ve WAF kurarsın, sağlayıcınla bir müdahale planı hazırlarsın. Oyunda saldırı yiyorsan IP adresini değiştirir, internet sağlayıcını arar ve saldırganı oyunun raporlama aracıyla bildirirsin.

DDoS saldırısı nedir ve nasıl çalışır?

Basit bir benzetmeyle başlayalım. Bir dükkânın kapısına aynı anda binlerce sahte müşteri yığılırsa gerçek müşteriler içeri giremez. DDoS dijital dünyada bunu yapar. Sisteme girmez, veri çalmaz. Hizmeti meşgul eder ve gerçek kullanıcıyı dışarıda bırakır.

Saldırıların çoğu bir botnet ile yapılır. Botnet, saldırganın ele geçirdiği internete bağlı cihazlardan oluşan bir ağdır. Bu cihazlar bilgisayar, sunucu, güvenliği zayıf bir akıllı kamera ya da modem olabilir. Sahipleri çoğu zaman cihazlarının saldırıya katıldığını bilmez. Botnetlerin nasıl kurulduğunu ve kendi cihazının bunlardan birine katılıp katılmadığını nasıl anlayacağını botnet nedir yazısında bulabilirsin. Evdeki cihazını korumanın ilk adımı, modemin varsayılan şifresini değiştirmek ve kamera gibi akıllı cihazların yazılımını güncel tutmaktır.

Saldırgan bu cihazlara aynı anda "şu hedefe trafik gönder" komutu verir. Hedef kapasitesinin üstünde istek alır, yavaşlar ya da hiç yanıt vermez. Trafik binlerce farklı adresten geldiği için gerçek ziyaretçiyi saldırgandan ayırmak zorlaşır.

Kanada Siber Güvenlik Merkezi'nin rehberi iki noktaya daha dikkat çeker. Birincisi, DDoS bazen dikkati dağıtmak için kullanılır ve bu sırada veri çalmak gibi başka bir saldırı yürütülür. İkincisi, hedef sen olmasan da etkilenebilirsin: internet ya da bulut sağlayıcın saldırı alırsa senin hizmetin de kesilir.

DoS ile DDoS arasındaki fark nedir?

İkisi de hizmeti engellemeyi hedefler. Fark kaynak sayısındadır. DoS genellikle tek bir kaynaktan gelir ve o kaynağı engellemek çoğu zaman yeter. DDoS çok sayıda cihazdan aynı anda gelir. Tek bir IP'yi engellemek işe yaramaz, çünkü trafik dağınıktır.

DDoS saldırı türleri nelerdir?

DDoS saldırıları hedefledikleri katmana göre üç grupta incelenir. Her grup farklı bir kaynağı tüketir ve farklı bir savunma ister.

Hacimsel saldırılar hattı doldurur. Sunucun ne kadar güçlü olursa olsun, hat dolunca trafik kapına ulaşmaz. Protokol saldırıları bağlantı kurulumundaki boşluğu kullanır. SYN flood bağlantı isteğini art arda gönderir ama bağlantıyı tamamlamaz. Yarım kalan bağlantılar sunucunun kapasitesini doldurur. Uygulama katmanı saldırıları az trafikle bile ağır hasar verebilir. Pahalı bir arama sayfasına saniyede yüzlerce istek atmak veritabanını yorar. Bu istekler normal ziyaretçiye benzediği için tespiti en zor olanlardır.

Tekrarlayan isteğin günlükte nasıl göründüğünü tarayıcıda dene. Tekrarlayan Vuruş saha görevinde bir WAF günlüğünü okursun. Aynı isteği yüzlerce kez tekrarlayan kaynağı bulur ve onu oran sınırına alırsın. Görev ücretsizdir, kurulum gerekmez.

DDoS saldırısı nasıl engellenir?

DDoS saldırısı katmanlı savunmayla engellenir. Hiçbir katman tek başına yetmez. Hacimsel saldırı sunucuna ulaşmadan hattı doldurur. Uygulama katmanı saldırısı ise ağ filtresinden normal trafik gibi geçer. Site sahibi için DDoS saldırı koruması şöyle dağılır:

CDN katmanına ücretsiz başlayabilirsin. Cloudflare'in DDoS koruma belgesine göre ölçümsüz standart DDoS koruması ücretsiz plan dahil bütün planlarda var (Kasım 2026 itibarıyla). CDN'in bir zayıf noktası var: sunucunun gerçek IP adresi biliniyorsa saldırgan CDN'i atlayıp doğrudan sunucuya gelir. Cloudflare'in kaynak sunucuyu koruma rehberi bu yüzden geçişten sonra sunucu IP'sini değiştirmeyi ve CDN dışından gelen trafiği engellemeyi önerir. Eski DNS kayıtları eski adresi saklayabilir.

WAF, uygulama katmanındaki kötü kalıpları süzer. Ağ güvenlik duvarıyla farkını WAF nedir yazısında anlattık.

Oran sınırlama, tek bir adresin belirli sürede yapabileceği istek sayısını keser. nginx'te şöyle görünür:

limit_req_zone $binary_remote_addr zone=arama:10m rate=5r/s;

server {
server_name hedef.example;

location /ara {
limit_req zone=arama burst=10 nodelay;
}
}
```

Bu ayar her IP adresine /ara sayfasında ortalama saniyede 5 istek tanır ve 10 isteklik ani artışı kabul eder. Sınırı aşan istek varsayılan olarak 503 yanıtı alır. Ayrıntılar nginx limit_req belgesinde. Oran sınırlama tek kaynaktan gelen tekrarı durdurur. Binlerce farklı adresten gelen dağıtık trafiği tek başına durduramaz, bu yüzden CDN ve sağlayıcı katmanıyla birlikte çalışır.

Uygulamanın kendisini de dayanıklı yaz. OWASP'ın hizmet reddi kopya kâğıdı şu önlemleri öne çıkarır:

• İstek boyutunu ve dosya yükleme boyutunu sınırla.
• Yavaş istek saldırısına karşı okuma zaman aşımı ve bağlantı süresi sınırı koy.
• Sık istenen içeriği önbellekten sun.
• Pahalı işe girmeden önce ucuz kontrolleri çalıştır.
• Ağır işlevleri kimlik doğrulamasının arkasına al.

Aynı belge, CAPTCHA'nın kötüye kullanıma karşı işe yaradığını ama DoS'a karşı koruma sağlamadığını da not eder. Protokol katmanında Linux'un SYN cookies özelliği bağlantı kuyruğu taştığında devreye girer. Linux çekirdek belgesi bu özelliğin varsayılan olarak açık olduğunu ve bir yedek mekanizma olduğunu yazar. Asıl koruma yine sağlayıcı ve CDN katmanındadır.

DDoS saldırısı nasıl anlaşılır?

DDoS saldırısı en çok ani ve açıklanamayan yavaşlamayla anlaşılır. Tipik belirtiler şunlardır:

• Site ya da hizmet birden çok yavaşlıyor ya da hiç açılmıyor.
• Tek bir IP aralığından, ülkeden ya da istemci türünden olağan dışı trafik geliyor.
• İşlemci, bellek ya da bant genişliği beklenmedik biçimde doluyor.
• Normalde az istenen bir sayfaya ya da API ucuna istek yağıyor.

Bu belirtiler gerçek ziyaretçi artışıyla karışabilir. Bir kampanya ya da haber sonrası gelen kalabalık da siteyi yavaşlatır. Kanada Siber Güvenlik Merkezi bu yüzden normal trafiğin bir çizgisini önceden çıkarmayı ve günlükleri sürekli izlemeyi önerir. Çizgi yoksa saldırıyı kalabalıktan ayıramazsın.

Siten saldırı altındaysa ne yapmalısın?

Siten saldırı altındaysa önce bunun gerçekten saldırı olduğunu doğrula, sonra sağlayıcınla birlikte trafiği süz. Kanada Siber Güvenlik Merkezi'nin Temmuz 2022 tarihli rehberi müdahaleyi dört adıma ayırır:

1. Tanımla. Yavaşlamayı normal trafik çizginle karşılaştır. Ağ yöneticini ve internet sağlayıcını arayıp kesintinin nedenini doğrula.
2. Sınırla. İnternete açık varlıklarını belirle. Güvenlik duvarını ve sağlayıcının DDoS koruma hizmetini devreye al. Sağlayıcıyla olabildiğince erken konuş.
3. Toparlan. Saldırı sırasında başka bir zararlı etkinlik olup olmadığını kontrol et. Bağlantıları kademeli aç ve hizmetin döndüğünü duyur.
4. Ders çıkar. Yapılanları gözden geçir ve müdahale planını güncelle.

Saldırının başladığı ve bittiği saatleri, sağlayıcıyla yazışmaları ve varsa tehdit ya da fidye mesajlarını sakla. Şikâyet için en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına başvurabilirsin. Bu dört adım genel olay müdahalesi döngüsünün parçasıdır. Planın tamamını nasıl yazacağını olay müdahalesi nedir yazısında bulabilirsin. Saldırının günlükte bıraktığı izleri ve azaltma yollarını adım adım görmek için hizmet reddi belirtileri ve azaltma dersine geç.

Oyunda DDoS yiyorum, ne yapmalıyım?

Oyunda DDoS yiyorsan önce sorunun gerçekten saldırı olduğunu anla, sonra IP adresini değiştir ve internet sağlayıcına haber ver. Ev bağlantısına yönelik saldırı oyunun sunucusunu değil, senin modemini hedef alır. Hat dolunca evdeki bütün cihazların interneti aynı anda gider.

Saldırı mı, sıradan bağlantı sorunu mu? Şu işaretlere bak:

• Bağlantın belirli bir oyuncuyla tartıştıktan ya da onu yendikten hemen sonra kopuyor.
• Evdeki bütün cihazlarda internet aynı anda gidiyor ve birkaç dakika sonra geri geliyor.
• Kopma maç sırasında tekrar ediyor, oyun kapalıyken olmuyor.
• Oyunun kendisinde genel bir kesinti duyurusu yok.

Saldırı olduğundan şüpheleniyorsan sırayla şunları yap:

1. Modemi kapat, bir süre bekle ve yeniden aç. Ev aboneliklerinde IP adresi çoğu zaman dinamiktir. Modem yeniden bağlanınca yeni bir adres alabilirsin. Bu operatöre ve bağlantı türüne göre değişir. Sabit IP kullanıyorsan adres değişmez.
2. İnternet sağlayıcını resmî müşteri hizmetleri numarasından ara. Saldırı aldığını saatleriyle anlat ve IP adresinin değiştirilmesini iste. Sağlayıcı trafiği kendi tarafında görebilir.
3. Saldırganı oyunun raporlama aracıyla bildir. Tehdit mesajı attıysa ekran görüntüsü al. Kullanıcı adını, saati ve sunucuyu not et.
4. IP adresinin nereden sızdığını bul ve kapat. Eşler arası (P2P) bağlantı kuran oyunlar ve sesli sohbet araçları, kendi kurduğun oyun sunucusu ve tıkladığın tanımadık bağlantılar IP adresini karşı tarafa gösterebilir. Tıkladığın her bağlantının sunucusu IP adresini görür. Oyunun ya da sohbet uygulamasının ayarlarında doğrudan bağlantı seçeneği varsa kapat.
5. Saldırı tekrar ediyorsa şikâyet et. En yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına başvur. Saatleri, mesajları ve sağlayıcıyla yazışmaları sakla.

Bazı oyunlar oyuncu trafiğini aktarma sunucularından geçirir. Valve'ın Steam Datagram Relay belgesi, bu yöntemde IP adreslerinin açığa çıkmadığını ve hem sunucuların hem oyuncuların DoS saldırısından korunduğunu yazar. Böyle oyunlarda doğrudan saldırı zorlaşır, ama sohbet aracı ya da tıklanan bir bağlantı yine adresini verebilir. IP adresiyle başka neler yapılabildiğini ve ev adresinin bulunup bulunamayacağını IP adresi ile ne yapılabilir yazısında anlattık.

Canlı saldırı haritası DDoS'u gösterir mi?

Canlı saldırı haritası DDoS'u birebir göstermez ve gerçek zamanlı bir savaş görüntüsü değildir. Tehdit Panosu'ndaki dünya haritası, gönüllülerin SANS Internet Storm Center'a gönderdiği güvenlik duvarı ve bal küpü (honeypot) kayıtlarına dayanır. Veri saatte bir yenilenir. Gösterdiği şey, saldırı trafiğinin raporlandığı kaynak ülkedir. Saldırganın kim olduğunu söylemez, çünkü kaynak adres ele geçirilmiş birinin cihazı olabilir. Panoda en çok hedeflenen portları ve USOM listesine düşen zararlı adresleri de görürsün. Bu tür haritaların ne gösterip ne göstermediğini canlı siber saldırı haritası yazısında ayrıntılı anlattık.

DDoS'un yasal sınırı nerede?

Başkasının sistemine DDoS saldırısı yapmak suçtur. TCK 244/1'e göre bir bilişim sisteminin işleyişini engelleyen ya da bozan kişi bir yıldan beş yıla kadar hapis cezasıyla cezalandırılır. Hedef bir banka, kredi kurumu ya da kamu kurumuysa 244/3 gereği ceza yarı oranında artar. "Sadece denedim" savunması, ücretli stresser siteleri ve 18 yaş altı için ne olduğu gibi soruların cevabını DDoS atmak suç mu yazısında bulabilirsin.

Kaynaklar

• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu (m. 244)
• Canadian Centre for Cyber Security: Protecting your organization against denial of service attacks (ITSAP.80.100)
• OWASP: Denial of Service Cheat Sheet
• Cloudflare Docs: DDoS Protection, planlara göre kapsam
• Steamworks: Steam Datagram Relay