DDoS Koruma Nedir? Nasıl Çalışır? — Kapsamlı Rehber

DDoS (Distributed Denial of Service — Dağıtılmış Hizmet Reddi) saldırısı, birden fazla noktadan koordineli biçimde gönderilen sahte trafiğin hedef sunucuyu, ağı ya da uygulamayı bunaltarak meşru kullanıcılara hizmet veremez hale getirdiği siber saldırı türüdür. 2024 yılında küresel ölçekte %55 artış kaydeden DDoS saldırıları artık yalnızca büyük kurumları değil, küçük ve orta ölçekli web sitelerini, oyun sunucularını ve SaaS platformlarını da hedef almaktadır.

DDoS Saldırısı Türleri

DDoS saldırıları OSI modeline göre üç ana katmanda gerçekleşir. Her katmandaki saldırı farklı teknikler ve farklı savunma yöntemleri gerektirir.

Layer 3 / 4 — Ağ ve Taşıma Katmanı Saldırıları

Bu saldırılar, sunucunun veya ağın bant genişliğini ya da işlem kapasitesini tüketmeye odaklanır. Uygulama katmanına ulaşmadan önce filtrelenmesi gereken, hacimsel (volumetric) saldırılardır.

Layer 7 — Uygulama Katmanı Saldırıları

Gerçek HTTP istekleri gibi görünen bu saldırılar, düşük bant genişliğiyle yüksek hasar verebilir. Sunucunun CPU ve belleğini tüketirler. Tespit edilmesi çok daha zordur çünkü normal trafikten ayırt edilmeleri için derin paket incelemesi (DPI) gerekmektedir.

• HTTP Flood: Saniyede binlerce GET/POST isteği; sunucu her birini işlemeye çalışır
• Slowloris: Bağlantıyı açık tutarak yavaş yavaş başlıklar gönderir; sunucu bağlantı havuzunu doldurur
• SSL/TLS Exhaustion: TLS el sıkışması CPU yoğun bir işlemdir; çok sayıda yarım TLS bağlantısı sunucuyu zorlar
• Cache Bypass: Önbelleği devre dışı bırakacak özel parametre kombinasyonları kullanılarak her istek veritabanını sorgular

DDoS Koruması Nasıl Çalışır?

Modern DDoS koruması birden fazla savunma katmanının birlikte çalışmasıyla sağlanır. Tek bir yöntem yeterli değildir; derinlemesine savunma (defense-in-depth) prensibi geçerlidir.

1. Anycast Ağı ile Trafik Dağıtımı

Anycast, aynı IP adresinin dünya genelinde birden fazla coğrafi noktada duyurulması tekniğidir. Bir DDoS saldırısı başladığında saldırı trafiği onlarca scrubbing (temizleme) merkezine dağıtılır; hiçbir tek nokta tüm yükü taşımak zorunda kalmaz. Bu yöntemle teorik kapasite sınırı yüzlerce Tbps seviyesine çıkar.

2. Scrubbing Center — Trafik Temizleme

Gelen trafik önce temizleme merkezinden geçer. Burada:

• İmza tabanlı filtreleme: bilinen saldırı örüntüleri anında engellenir
• Hız sınırlama (rate limiting): belirli bir kaynak IP'den saniyede belirli sayıdan fazla paket düşürülür
• IP itibar listesi: bilinen botnet IP'leri otomatik bloke edilir
• Coğrafi filtreleme: yönetici isteğiyle belirli ülkelerden gelen trafik kısıtlanabilir

Temizlenen meşru trafik, güvenli bir GRE tüneli üzerinden hedef sunucuya iletilir.

3. Makine Öğrenmesi ile Davranışsal Analiz

Modern sistemler yalnızca statik kurallarla değil, davranış analizleriyle de çalışır. Normal trafik örüntüsü öğrenilir; sapma tespit edildiğinde sistem otomatik devreye girer. Bu yöntem özellikle Layer 7 saldırılarında kritiktir çünkü kural tabanlı sistemler meşru görünen trafiği engelleyemez.

Pletx Guard Mimarisi

JetSunucum altyapısında kullandığımız Pletx Guard, Türkiye lokasyonlu sunucular için özelleştirilmiş bir DDoS engelleme çözümüdür. Çalışma prensibi şu adımlardan oluşur:

1. BGP Flowspec: Saldırı tespit edildiğinde BGP Flowspec kuralları tüm ağ noktalarına dağıtılır; filtreleme sunucuya ulaşmadan gerçekleşir
2. XDP/eBPF Filtreleme: Linux çekirdeğinin ağ yığınına entegre edilen XDP (eXpress Data Path) teknolojisi, saniyede milyarlarca paketi kernel-bypass ile işler; gecikme eklenmez
3. GRE Tünel Yönlendirme: Temizlenen trafik sunucunuza özel bir GRE tüneli üzerinden iletilir
4. Anlık Raporlama: Saldırı başladığında ve sona erdiğinde bildirim gönderilir; hangi vektörün kullanıldığı raporlanır

JetSunucum'da DDoS Koruması Nasıl Aktif Edilir?

JetSunucum'da sunulan tüm VDS paketlerinde DDoS koruması herhangi bir ek kurulum gerektirmeksizin aktif gelir. Sunucunuz altyapıya entegre edildiği anda koruma başlar.

Sunucu Tarafında Alınabilecek Ek Önlemler

Ağ katmanı korumanın yanı sıra sunucu seviyesinde de önlem almanız önerilir. Bu önlemler özellikle Layer 7 saldırılarına karşı etkindir.

Nginx Rate Limiting

# /etc/nginx/nginx.conf içine ekleyin
http {
    limit_req_zone $binary_remote_addr zone=api:10m rate=30r/m;
    limit_conn_zone $binary_remote_addr zone=conn:10m;
}

# Site konfigürasyonunda
server {
    location /api/ {
        limit_req zone=api burst=10 nodelay;
        limit_conn conn 20;
    }
}

UFW ile Temel Koruma

# SYN flood koruması için kernel parametreleri
echo "net.ipv4.tcp_syncookies = 1" >> /etc/sysctl.conf
echo "net.ipv4.tcp_max_syn_backlog = 2048" >> /etc/sysctl.conf
echo "net.ipv4.tcp_synack_retries = 2" >> /etc/sysctl.conf
sysctl -p

# ICMP flood sınırlama
iptables -A INPUT -p icmp --icmp-type echo-request -m limit \
  --limit 1/s --limit-burst 4 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

Fail2Ban ile HTTP Flood Engelleme

# /etc/fail2ban/jail.local
[nginx-req-limit]
enabled  = true
filter   = nginx-req-limit
action   = iptables-multiport[name=ReqLimit, port="http,https"]
logpath  = /var/log/nginx/error.log
findtime = 600
bantime  = 7200
maxretry = 10

Sık Sorulan Sorular

DDoS saldırısı devam ederken sunucuma erişebilir miyim?

Evet. Pletx Guard trafik temizlemeyi ağ katmanında yaptığı için meşru bağlantılar — SSH, RDP dahil — kesintisiz iletilir. Saldırı süresince sunucunuzu yönetebilirsiniz.

Layer 7 saldırıları da korunuyor mu?

JetSunucum altyapısında standart olarak L3/L4 koruma bulunmaktadır. L7 (HTTP flood, Slowloris vb.) saldırılarına karşı Nginx, Cloudflare gibi WAF çözümlerini sunucu tarafında yapılandırmanızı öneririz.

Korumanın devreye girmesi ne kadar sürer?

BGP Flowspec kuralları saniyeler içinde aktif olur. Büyük hacimli saldırılarda temizleme merkezlerinin devreye girmesi 5–30 saniye sürebilir. Bu sürede kısa süreli bir erişim dalgalanması yaşanabilir.