Hizmet reddi belirtileri ve azaltma
- Hizmet reddinin hacimsel, protokol ve uygulama sınıfını belirtisinden ayırır, SYN cookie, temizleme ve RTBH arasından katmana uygun önlemi seçersin.
- Hizmet reddi saldırısı veri çalmaz, hizmeti gerçek kullanıcıya kapatır.
- Belirtiler gecikme, dolu bağlantı tablosu ve tükenen işlemci gücüdür.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +50 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Kampanya gecesinde Altay Kargo'nun gönderi takip sayfası önce yavaşlar, sonra yanıt vermez. Ekip ilk anda iki ihtimal görür: kampanyanın getirdiği gerçek kullanıcı yoğunluğu ya da bir hizmet reddi saldırısı. Yanlış teşhis pahalıdır. Gerçek kullanıcıyı saldırgan sanıp engellersen satışı kendin durdurursun.
Saldırıyı yoğunluk sanırsan sunucuları büyütür ve faturayı ödersin, saldırı yine sürer. Bu derste hizmet reddinin üç sınıfını, her birinin belirtisini ve doğru katmandaki önlemi görürsün. SYN taşkınını sunucu sayaçlarında, yansıtma saldırısını paket kaydında okursun. Sonunda ölçülmüş bir tabana göre alarm eşiği kurar ve müdahale planını hazırlarsın.
Hizmet reddinin üç sınıfı
Hizmet reddi saldırısının amacı bilgi çalmak değildir, hedefi gerçek kullanıcı için kullanılamaz hale getirmektir. Tek bir kaynaktan gelen sürüme DoS denir. Aynı saldırı yüzlerce farklı cihazdan aynı anda gelirse dağıtık hizmet reddi, kısaca DDoS olur. Dağıtık sürüm hem hacmi büyütür hem tek bir IP'yi engelleyerek durdurmayı imkânsız kılar, çünkü kaynak sürekli değişir.
Saldırı üç noktadan birini tüketmeyi hedefler: bant genişliğini, sunucunun bağlantı tablosunu ya da işlemci ve bellek kapasitesini. Hangisi tükenirse hizmet o noktada durur. Saldırgan çoğu zaman bu üçünden en ucuz olanı seçer, çünkü amaç kalıcı hasar değil, geçici de olsa erişimi kesmektir.
CISA'nın 2024 tarihli DDoS rehberi saldırıları üç sınıfa ayırır. Hacimsel saldırı bant genişliğini doldurur; UDP taşkını ile yansıtma ve yükseltme bu sınıftadır. Protokol saldırısı ağ protokollerinin durum tutma biçimini hedefler; SYN taşkını en bilinen örnektir.
Uygulama katmanı saldırısı belirli bir uygulamayı ya da servisi yorar; az sayıda ama pahalı HTTP isteği ya da bağlantıyı uzun süre açık tutan yavaş istekler bu sınıftadır. MITRE ATT&CK benzer bir ayrım yapar. T1498.001 doğrudan ağ taşkınını, T1498.002 yansıtma ve yükseltmeyi anlatır. SYN taşkını T1499.001 altında, işletim sistemini tüketen taşkın olarak geçer.
Belirti kümesi nettir. Kullanıcılar ani gecikme ve zaman aşımı bildirir. Sunucuda bağlantı tablosu dolar ve yeni istek reddedilir.
İşlemci ya da bellek kullanımı normalin kat kat üstüne çıkar. Bu tablo, meşru bir trafik artışıyla karışabilir; örneğin bir kampanya günü de benzer yük yaratır. Ayrım kaynak çeşitliliğinde ve istek biçiminde saklıdır. Saldırı trafiği genelde az sayıda benzer istek kalıbını binlerce kez tekrarlar, meşru yoğunluk ise farklı sayfalara, farklı zamanlamayla dağılır.
Etkinlik 1 / 6
Bir web sitesi aniden yavaşlıyor, sunucunun bağlantı tablosu doluyor ve istekler binlerce farklı IP'den, hep aynı sayfaya geliyor. Bu belirtiler en çok hangi durumu işaret eder?
Yansıtma ve yükseltme
Yansıtma saldırısında trafik kurbana doğrudan gelmez, üçüncü taraf sunuculardan gelir. Sorgu kurbanın adresi sahtelenerek açık bir UDP servisine gönderilir, servis de cevabı kurbana yollar. Yükseltme ise cevabın sorudan çok daha büyük olmasıdır.
CISA bu oranı bant genişliği yükseltme katsayısı (BAF) olarak tanımlar: yansıtıcının cevapta gönderdiği UDP yük baytının, isteğin UDP yük baytına oranı. 60 baytlık bir istek 3.000 baytlık cevap üretirse katsayı 3.000 bölü 60, yani 50 olur. CISA tablosunda DNS için 28 ile 54, NTP için 556,9, Memcached için 10.000 ile 51.000 arası değerler yer alır.
# Karşılığında sorgu olmayan büyük NTP cevapları udp.srcport == 123 && frame.len > 400 # Kayıtta isteği bulunmayan DNS cevapları dns.flags.response == 1 && !dns.response_to # Kaynak dağılımı için: Statistics > Endpoints > UDP
Kurban tarafında iz tersten okunur. Kurum hiç NTP sorgusu göndermediği halde kaynak portu 123 olan yüzlerce büyük UDP paketi alıyorsa bunlar yansıtılmış cevaplardır; birinci filtre onları boyutla birlikte süzer.
İkinci filtre Wireshark'ın sorgu ile cevabı eşleştirmesinden yararlanır: dns.response_to alanı olmayan cevapların kayıtta sorusu yoktur. Kaynak adresler binlerce farklı sunucuya dağılır. Bu sunucular çoğu zaman yanlış yapılandırılmış masum makinelerdir; asıl kaynak sahte adresin arkasında gizlidir. Sahteciliği kaynağında kesen önlem BCP38'dir (RFC 2827): her ağ, kendi adres bloğu dışında kaynak adres taşıyan paketi dışarı çıkarmaz.
Etkinlik 3 / 6
Bir yansıtıcı, 50 baytlık bir isteğe 1.500 baytlık cevap gönderiyor. CISA tanımına göre bant genişliği yükseltme katsayısı kaçtır?
Katmana göre azaltma
Azaltma yöntemi saldırının katmanına göre değişir. Hacimli bir saldırıda yukarı akış temizleme hizmeti ya da içerik dağıtım ağı, trafiği hedefe ulaşmadan süzer. Kara delik yönlendirmesi son çaredir: hedef IP'nin tüm trafiği çöpe yönlendirilir, o adres geçici olarak erişilmez olur ama ağın geri kalanı korunur. Uygulama katmanında ise hacim küçük ama istek karmaşıktır, bu yüzden farklı bir savunma gerekir.
Yavaş ve şüpheli bir isteğe zaman aşımı koymak ya da otomatikleştirilmiş isteği ayıklayan bir doğrulama adımı eklemek bu katmanda işe yarar. Yanlış katmana konan savunma boşa çıkar; hacim savunmasıyla karmaşık isteği ayıklayamaz, doğrulama adımıyla da hacmi durduramazsın.
Kara delik yönlendirmesinin iki biçimi vardır. RFC 5635'e göre hedef tabanlı RTBH, hedef önek için çöpe giden bir rota yayar; saldırı trafiği de meşru trafik de düşer. RFC bu yüzden saldırının hedef üzerindeki etkisinin tamamlandığını açıkça yazar.
Kaynak tabanlı RTBH ise uRPF ile birlikte saldırı kaynaklarını süzer ve hedefi açık tutar. Komşu ağa bu isteği iletmek için RFC 7999, BLACKHOLE adında iyi bilinen bir BGP topluluğu tanımlar: 65535:666. NIST SP 800-189 bu araçları kaynak adres doğrulama ve akış tanımlama (flowspec) ile birlikte anlatır.
Uygulama katmanında her istek pahalıdır. Arama sayfası, rapor üretimi ya da giriş formu gibi veritabanını yoran uç noktalar hedef alınır. Burada savunma isteğin kendisine bakar. İstemci başına hız sınırı, önbellekten sunulabilecek sayfaları önbelleğe almak ve yavaş isteklere zaman aşımı koymak işe yarar.
Web uygulama güvenlik duvarı, aynı kalıbı binlerce kez tekrarlayan istekleri hız kuralıyla keser. Otomatik ölçekleme yükü bir süre taşır, ama her yeni sunucunun bir faturası vardır. Saldırıyı durdurmaz, yalnız bedelini sana yükler.
Etkinlik 4 / 6
Her azaltma yöntemini en çok işe yaradığı saldırı türüyle eşle.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/4 seçenek yerleşti.
Alarm eşiği ve müdahale planı
Alarmın ne zaman çalacağını belirlemek için önce normal trafiği ölçmen gerekir. Altay Kargo'nun takip sayfasında sıradan trafik saniyede yaklaşık 150 istektir. Eşiği bu tabana göre kurarsın; çok düşük bir eşik sıradan yoğun bir günü bile alarma çevirir, çok yüksek bir eşik ise gerçek saldırıyı geç fark ettirir.
Tabanı en az bir hafta boyunca ölçersin, çünkü hafta içi ile hafta sonu, gündüz ile gece farklıdır. Kampanya günleri gibi bilinen zirveleri ayrıca not edersin. Saat dilimine göre değişen bir taban, tek bir sabit sayıdan daha az yanlış alarm üretir.
Etkinlik 5 / 6
Sitenin normal trafiği saniyede yaklaşık 150 istektir. Alarmın tetiklenmesi gereken eşiği tahmin et (istek/saniye).
Tahminini kaydır, sonra gönder.
Saldırı başladığında telefon numarası aramak için geç kalmışsındır. CISA rehberi hazırlığı saldırıdan önce yapmayı önerir. İnternet servis sağlayıcının ve varsa DDoS koruma hizmetinin acil iletişim bilgilerini önceden alırsın. Hangi koşulda trafiği temizleme merkezine yönlendireceğini, kimin onay vereceğini ve hangi hizmetin önce korunacağını yazılı hale getirirsin.
Kritik hizmetlerin listesi, normal trafik tabanı ve eşikler planın ekidir. Planı düzenli tatbikatla sınarsın. NIST SP 800-61 Rev. 3, olay müdahalesini kurumun genel siber risk yönetimine bağlar; hizmet reddi de bu döngüde bir olay türüdür.
Yeni açılan bir mobil uygulama sunucusunda da aynı sıra izlenir. Önce normal isteği bir hafta boyunca ölçer, sonra eşiği ve azaltma yöntemini bu ölçüme göre seçersin. Ölçüm olmadan seçilen eşik ya çok erken çalar ya da saldırıyı geç fark ettirir.
İyi bir kuralın üç bileşeni vardır: istek eşiği, kaynak çeşitliliği ve zaman penceresi. Tek kaynaktan gelen sıçrama DoS'a, aynı pencerede binlerce kaynaktan gelen sıçrama DDoS'a işaret eder.
Etkinlik 6 / 6
Yeni bir mobil uygulama sunucusu için hizmet reddi alarm kuralı tasarlayacaksın. Kısaca yaz.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.