DDoS ve Kötü Bot Trafiğine Karşı Korunma Rehberi
DDoS saldırısı ve kötü bot trafiği siteyi nasıl yavaşlatır, hangi katmanlarda korunulur, hangi işletmeye ne kadar önlem yeter: sade bir rehber.
rabbitclip ekibiYayın: 5 dk okuma
Kısa cevap
DDoS saldırısı, bir siteye çok sayıda kaynaktan aynı anda aşırı istek göndererek sunucuyu yanıt veremez hale getirmeye çalışan saldırıdır; amaç veri çalmak değil, siteyi gerçek ziyaretçiye kapatmaktır. Kötü bot trafiği ise daha sessizdir: otomatik yazılımlar içerik kopyalar, form doldurur, giriş sayfalarını dener ya da sunucu kaynağını tüketir. Korunma tek bir ürüne değil, istek sunucuya ulaşmadan önce süzen katmanlara dayanır: ağ ucundaki filtre, uygulama güvenlik duvarı, hız sınırı ve sunucunun kendi ayarları.
İşletme sahibinin pratik sorusu çoğu zaman şudur: sitem yavaşladı ya da açılmıyor, bu saldırı mı yoksa gerçek bir kalabalık mı? Cevap trafiğin nereden ve nasıl geldiğinde saklıdır. Bir kampanya sonrası gelen yoğunluk dağınık ama davranışı insana benzer; saldırı ise genellikle aynı sayfaya, aynı biçimde, olağandışı bir hızla vurur.
Bu yazıda iki tehdidi birbirinden ayırıyor, korunma katmanlarını sıralıyor ve her işletmenin aynı önleme ihtiyacı olmadığını açıklıyoruz.
DDoS ile kötü bot trafiği arasındaki fark nedir?
DDoS gürültülüdür ve kısa sürede etki eder. Sunucunun ya da ağ bağlantısının kaldırabileceğinden fazla istek gelir, site yavaşlar ya da hiç açılmaz. Saldırı çoğu zaman birçok bilgisayara yayılmıştır; bu yüzden tek bir adresi engellemek işe yaramaz.
Kötü bot trafiği ise sürekli ve düşük yoğunlukludur. Bir bot fiyat listenizi tarar, bir diğeri yorum formuna bağlantı yağdırır, bir başkası yönetim paneli giriş sayfasında şifre dener. Hiçbiri siteyi bir anda çökertmez, ama sunucu kaynağını, reklam bütçesini (sahte tıklamalar) ve istatistiklerin güvenilirliğini aşındırır. İki tehdit farklı araçlarla karşılanır.
Sitenin saldırı altında olduğu nasıl anlaşılır?
İlk işaret, ziyaretçi sayısıyla uyuşmayan bir yavaşlamadır. Satış ya da reklam yoğunluğu yokken site yavaşlıyorsa ve sunucu kaynak grafikleri tavana vuruyorsa şüphelenmek gerekir. İkinci işaret, sunucu kayıtlarında aynı adres aralığından ya da aynı sayfaya gelen anormal sıklıkta istektir; olağandışı saatlerde yoğunlaşan trafik de ipucudur.
Kesin teşhis için sunucu kayıtlarına bakmak gerekir; bu işi sade bir dille anlatan bir yazımız da var. Belirtiler şunlar olabilir.
- Kampanya ya da duyuru olmadan ani trafik ve yavaşlık
- Tek bir sayfaya ya da giriş adresine yığılan istekler
- Gerçek müşterinin kullanmadığı ülkelerden gelen yoğun trafik
- Formlardan gelen anlamsız ya da tekrarlı kayıtlar
- Hosting sağlayıcısından gelen kaynak aşımı uyarıları
Korunma hangi katmanlarda kurulur?
İlk katman ağın ucudur. Sitenin önüne bir koruma ve dağıtım hizmeti koymak, saldırı trafiğinin büyük kısmını sunucunuza ulaşmadan emer. Ana sunucunun gerçek adresi gizli kalırsa saldırgan sunucuyu doğrudan hedef alamaz. Bu yaklaşımın günlük hız faydaları da ayrı bir yazımızın konusu.
İkinci katman uygulama düzeyindedir. Bir web uygulaması güvenlik duvarı (WAF) bilinen kötü kalıpları ve şüpheli istekleri keser; hız sınırı ise bir adresin belirli sürede yapabileceği istek sayısını kısıtlar. Üçüncü katman sitenin kendisidir: giriş sayfasına deneme sınırı koymak, forma görünmez doğrulama eklemek ve ağır sayfaları önbelleğe almak, aynı saldırıya karşı sunucunun dayanıklılığını artırır.
Katmanların her biri tek başına eksiktir. Ağ filtresi uygulama hatasını, WAF ise ağ taşmasını tek başına çözmez; birlikte çalıştıklarında risk dağılır.
Hangi işletmenin hangi önleme ihtiyacı var?
Önlemi sitenin gerçek riskine göre seçmek gerekir. Tanıtım amaçlı küçük bir kurumsal site için çoğu zaman ağ ucunda temel bir koruma, güncel yazılım ve giriş sayfasında deneme sınırı yeter. Siteniz kapalı kaldığında doğrudan gelir kaybetmiyorsanız pahalı ve karmaşık bir kurulum orantısız olur.
E-ticaret, rezervasyon ya da ödeme alan siteler farklıdır: kapalı kalınan her saat satış ve güven kaybıdır. Bu sitelerde WAF, hız sınırı, kötü bot yönetimi ve saldırı anında devreye girecek bir iletişim planı birlikte düşünülmelidir. Kampanya dönemi öncesi yük ve dayanıklılık denemesi yapmak da mantıklıdır.
Ne zaman yanlış seçim yapılır?
Korunmayı satın almanın doğru olmadığı durumlar da vardır. Sorun saldırı değil, yetersiz hosting ise (örneğin paylaşımlı sunucuda kaynak sınırına çarpan bir site) koruma hizmeti sorunu çözmez; asıl çözüm altyapıyı büyütmek ya da siteyi hafifletmektir. Önce trafiğin gerçekten saldırı olup olmadığını teşhis etmek gerekir.
Aynı şekilde, bir engelleme listesine dayanıp 'tüm botları kapattık' demek yanlıştır. Arama motoru tarayıcıları ve ödeme ya da izleme servisleri de botturlar; hepsini engellemek sitenizi aramalardan düşürebilir. Amaç botları yok etmek değil, kötü olanı iyi olandan ayırmaktır.
Sık yapılan hatalar neler?
En yaygın hata, korunmayı saldırı başladıktan sonra aramaktır. O anda DNS değişikliği ve yeni hizmet kurulumu hem zaman alır hem de ek hata riski getirir. Basit bir ağ ucu korumasını önceden kurmak, kriz anında yapılacak çalışmanın çok daha azını gerektirir.
Diğer hata, ana sunucunun gerçek adresini açıkta bırakmaktır; koruma hizmeti kurulsa bile saldırgan adresi başka bir kayıttan bulup doğrudan vurabilir. Sık görülen hatalar şunlardır.
- Koruma kurup sunucunun gerçek adresini ya da eski kayıtları açıkta bırakmak
- Giriş sayfasına deneme sınırı ve ikinci doğrulama koymamak
- Robots dosyasının kötü botları durduracağını sanmak; yalnızca uyan botlara hitap eder
- Saldırı anında kimin ne yapacağını önceden belirlememek
- Yazılım ve eklentileri güncellememek; saldırı çoğu zaman bilinen bir açığı kullanır
Saldırı sırasında ne yapılır?
Önce sakin kalmak ve neyin etkilendiğini anlamak gerekir: tüm site mi, yalnızca bir sayfa mı, yalnızca giriş mi? Sonra hosting sağlayıcısı ve varsa koruma hizmetiyle iletişime geçilir; birçok sağlayıcı saldırı anında trafiği süzmek için ek önlem alabilir. Bu konuşmayı kriz anında değil, önceden yapmış olmak büyük fark yaratır.
Saldırı bittikten sonra kayıtlar incelenir: hangi sayfa hedefti, hangi açık kullanıldı, hangi önlem işe yaradı. Bu bilgi bir sonraki kurulumu belirler. Sitenizin genel güvenlik durumuna hızlı bakmak için güvenlik ve SSL denetimi aracımızı kullanabilirsiniz.
DDoS ve kötü bot trafiğine karşı korunma tek bir araç değil, ağ ucu, uygulama ve site düzeyinde kurulan katmanlardır; ne kadarının gerektiği sitenin kapalı kalmasının bedeline göre belirlenir. Küçük bir tanıtım sitesine temel koruma yeter, gelir getiren sitelere ise katmanlı ve önceden planlanmış bir düzen gerekir. Sitenizin gerçek riskini birlikte değerlendirmek isterseniz rabbitclip ile bir keşif görüşmesi yapabiliriz.
Sık sorulanlar
DDoS saldırısı veri çalar mı?
Genellikle hayır; amaç siteyi erişilemez kılmaktır. Ancak saldırı bazen dikkat dağıtmak için kullanılır, bu yüzden saldırı sırasında ve sonrasında başka bir güvenlik açığı olup olmadığını da kontrol etmek gerekir.
Küçük bir site neden saldırıya uğrar?
Saldırganlar çoğu zaman belirli bir site seçmez; otomatik yazılımlar açık ve savunmasız siteleri tarar. Bu yüzden her sitenin güncel yazılım ve temel bir koruma katmanı olması gerekir.
Tüm botları engellemek doğru mu?
Hayır. Arama motoru tarayıcıları ve bazı izleme servisleri de botturlar ve engellenirse sitenin aramalardaki görünürlüğü zarar görür. Hedef, kötü niyetli botları iyi niyetlilerden ayırmaktır.
Hosting sağlayıcım beni korumaz mı?
Bazı sağlayıcılar temel ağ düzeyi koruma sunar, ama kapsamı farklıdır. Hangi saldırı türünü, hangi sınıra kadar karşıladığını sağlayıcınıza yazılı sormak en sağlıklı yoldur.
Hız sınırı gerçek müşteriyi engeller mi?
Makul bir eşik belirlenirse engellemez. Eşik, gerçek bir ziyaretçinin normal kullanımının üstünde ama saldırı hızının altında seçilir ve ilk haftalarda kayıtlara bakılarak ayarlanır.
