Hizmet Engelleme ve DDoS

Hizmet Engelleme (DoS) saldırısı, bir sistemi veya ağ kaynağını trafikle aşırı yükleyerek ya da hizmetin çökmesine neden olan güvenlik açıklarından yararlanarak meşru kullanıcılar için kullanılamaz hâle getirmeye çalışır.

DoS tek bir kaynaktan başlatılır. DDoS (Dağıtık DoS), saldırı trafiği oluşturmak için ele geçirilmiş binlerce veya milyonlarca cihazı (botnet'leri) ya da güçlendirme yöntemlerini kullanır. Kaynak küresel olarak dağıtıldığı için DDoS'u engellemek çok daha zordur.

Hacimsel saldırılar, hedefin bant genişliğini ham trafikle doldurur:

• UDP taşkınları — sahte UDP paketleri bant genişliğini tüketir
• ICMP taşkınları — ping paketleri hedefi aşırı yükler
• DNS güçlendirmesi — küçük DNS sorguları kurbana büyük yanıtlar döndürür

Gbps cinsinden ölçülür — bazı saldırılar 1 Tbps'yi aşar.

Protokol saldırıları, ağ protokollerindeki zayıflıklardan yararlanır:

• SYN taşkını — binlerce TCP SYN paketi göndererek sunucunun bağlantı tablolarını tüketir
• Ölüm Pingi — güvenlik açığı bulunan sistemleri çökerten, aşırı büyük ICMP paketleri gönderir
• Smurf saldırısı — sahte ICMP paketleri ağ yayın adresine gönderilir ve tüm ana makineler kurbana yanıt verir

Uygulama katmanı (Katman 7) saldırıları, meşru görünen isteklerle belirli uygulama işlevlerini hedef alır:

• HTTP taşkını — milyonlarca GET/POST isteği gönderir
• Slowloris — kısmi HTTP üstbilgilerini yavaşça göndererek tüm sunucu bağlantılarını meşgul eder
• SSL tüketimi — TLS el sıkışmasının CPU maliyetini kötüye kullanır

Güçlendirme, istenenden çok daha fazla veri döndüren protokollerden yararlanır:

• DNS güçlendirmesi: 60 kat güçlendirme katsayısı
• NTP güçlendirmesi: 556 kat güçlendirme katsayısı
• Memcached güçlendirmesi: 51.000 kat güçlendirme katsayısı (2018: 1,7 Tbps saldırı)

Saldırganlar kaynak olarak kurbanın IP adresini sahte gösterir — yansıtıcılar kurbana çok büyük yanıtlar gönderir.

Temizleme merkezleri, DDoS trafiğini hedefe ulaşmadan önce karşılayıp filtreleyen özel altyapılardır. Büyük sağlayıcıların (Cloudflare, Akamai, AWS Shield) yüzlerce Tbps temizleme kapasitesi vardır.

Uygulama düzeyindeki savunmalar:

• IP/kullanıcı başına hız sınırlama
• Şüpheli trafik örüntüleri için CAPTCHA sorgulamaları
• Bağlantı hızını düşürme
• IP itibarına göre engelleme (bilinen botnet IP adresleri)

Anycast, saldırı trafiğini dünya genelindeki birden çok veri merkezine dağıtır. Tüm trafiği tek bir hedefin karşılaması yerine yük dağıtılır. Cloudflare ve diğer CDN'ler, büyük hacimli saldırılarla başa çıkmak için anycast kullanır.

DDoS, siber savaş aracı olarak yaygın biçimde kullanılır. Önemli olaylar:

• 2007 Estonya — siyasi kriz sırasında devlet ve bankacılık siteleri çevrimdışı bırakıldı
• 2022 Ukrayna — Rusya'nın işgali sırasında Ukrayna devlet siteleri hedef alındı
• Hacktivistler, siyasi mesajlar vermek için DDoS kullanıyor

Kuruluşlar, yetkilendirilmiş yük sınama araçlarıyla dayanıklılıklarını sınayabilir:

• siege — HTTP yük sınaması
• ab (Apache Bench) — basit HTTP karşılaştırmalı performans ölçümü
• Ticari stres sınaması hizmetleri (yetkilendirmeyle)

Sahibi olmadığınız veya yazılı izin almadığınız sistemleri asla sınamayın.

Tüm kullanılabilir sunucu bağlantılarını meşgul etmek için eksik HTTP üstbilgilerini çok yavaş gönderen saldırı türü hangisidir?

DoS/DDoS saldırıları, hedefleri trafikle aşırı yükleyerek veya protokol zayıflıklarından yararlanarak hizmeti engeller. Saldırı türleri arasında hacimsel saldırılar (UDP/DNS taşkınları), protokol saldırıları (SYN taşkını) ve uygulama katmanı saldırıları (Slowloris, HTTP taşkınları) bulunur. Savunmalar arasında temizleme merkezleri, anycast, hız sınırlama ve CAPTCHA vardır. Güçlendirme saldırıları, yansıtıcılardan yararlanarak saldırı gücünü katlar.