Hizmet Engelleme Saldırıları

DoS (Hizmet Engelleme) saldırısı, bir hizmeti aşırı yükleyerek meşru kullanıcılar için kullanılamaz hâle getirmeye çalışır. Veri çalan saldırıların aksine DoS, CIA üçlüsünün üçüncü ayağı olan kullanılabilirliği hedefler.

Saldırgan, bir sunucuyu veya ağı kaldırabileceğinden daha fazla trafik ya da istekle doldurarak kaynaklarını tüketir; bunun sonucunda gerçek kullanıcılar hizmete erişemez.

Sıradan bir DoS tek bir kaynaktan gelir. DDoS (Dağıtık Hizmet Engelleme) aynı anda, çoğu zaman binlerce kaynaktan gelir ve durdurulması çok daha zor olur.

Saldıran tek bir IP'yi engellemek kolaydır; çoğu ele geçirilmiş ve masum makinelerden oluşan, on binlerce dağınık adresten gelen trafiği engellemek ise DDoS'u bu kadar tehlikeli yapan asıl zorluktur.

DDoS saldırıları genellikle saldırganın uzaktan denetlediği, kötü amaçlı yazılım bulaşmış bilgisayarlar ve IoT cihazlarından oluşan bir ağ olan botnet tarafından gerçekleştirilir. Bulaşmış her makine, yani bir bot veya zombi, komut üzerine saldırı trafiği gönderir.

Cihaz sahipleri çoğu zaman cihazlarının saldırılara katıldığından habersizdir. Kameralar gibi güvenliği zayıf IoT cihazları, çok büyük saldırı hacimleri oluşturabilen dev botnet'lerin kurulmasına yol açmıştır.

Hacimsel saldırılar, internet bant genişliğini tamamen doldurmak için hedefi çok büyük miktarda trafikle boğar. Hat gereksiz verilerle doluysa meşru trafik geçemez.

UDP taşkınları ve ICMP (ping) taşkınları buna örnektir. Savunma, taşkını bağlantınızı doldurmadan önce karşılayacak veya filtreleyecek yeterli kapasiteye ya da üst ağda temizleme hizmetine sahip olmaktır.

Protokol saldırıları, protokollerin çalışma biçiminden yararlanarak sunucu veya cihaz kaynaklarını tüketir. Klasik bir örnek SYN taşkınıdır: Saldırgan çok sayıda TCP bağlantısı başlatır (SYN paketleri gönderir), ancak bunları hiçbir zaman tamamlamaz ve sunucunun bağlantı tablosunu doldurur.

Sunucu, tamamlanmayan el sıkışmalarını bekler ve sonunda yeni bağlantıları kabul edemez hâle gelir; böylece gerçek kullanıcıların hizmet alması engellenir.

Uygulama katmanı saldırıları, işlenmesi pahalı olan, görünüşte meşru isteklerle doğrudan yazılımı hedefler. Karmaşık aramalar veya sayfaların tekrar tekrar yüklenmesi buna örnektir. Bu saldırılar çok daha az bant genişliği kullandığından daha gizlidir.

Her istek normal göründüğü için saldırı trafiğini gerçek kullanıcılardan ayırmak zordur. Bu da meşru ziyaretçilere zarar vermeden bu saldırıları tespit edip filtrelemeyi özellikle güçleştirir.

Çoğaltma saldırıları, saldırganın gücünü katlar. Saldırgan, taklit edilmiş bir kaynak adresiyle (kurbanın adresi) küçük istekleri, yanlış yapılandırılmış DNS veya NTP sunucuları gibi çok daha büyük yanıtlar veren sunuculara gönderir.

Küçücük bir istek kurbana yöneltilmiş dev bir yanıtı tetikler. Böylece saldırgan spoofing'in arkasına gizlenerek trafiğini birçok kat artırır.

DoS belirtileri arasında ani trafik artışları, hizmetlerin yavaşlaması veya zaman aşımına uğraması, alışılmadık derecede yüksek kaynak kullanımı ve çok sayıda adresten gelen bağlantı seli bulunur. İzleme ve temel ölçümler, anormal yükselişi hızlıca fark etmeye yardımcı olur.

Hızlı tespit önemlidir: Normal bir trafik artışıyla saldırı arasındaki farkı ne kadar erken anlarsanız, azaltma çalışmaları o kadar erken başlatılabilir ve kesinti süresi o kadar sınırlanabilir.

Savunmalar katmanlandırılır:

• Hız sınırlama, kaynak başına istek sayısını sınırlar.
• Güvenlik duvarları ve IPS, bilinen saldırı kalıplarını filtreler.
• Bulut DDoS temizleme hizmetleri, büyük taşkınları üst ağda karşılar.
• İçerik Dağıtım Ağları (CDN'ler), yükü çok sayıda sunucuya dağıtır.

İnternetteki spoofing karşıtı filtreleme de çoğaltma saldırılarını kaynağında azaltır.

DoS, saldırı trafiği meşru trafiğe benzeyebildiği ve sayısız kaynaktan gelebildiği için özellikle zordur. Her şeyi basitçe engelleyemezsiniz; aksi hâlde hizmeti kendiniz engellemiş olursunuz.

En dayanıklı savunma; yeterli kapasiteyi, üst ağda temizlemeyi, iyi filtrelemeyi ve bir olay planını birleştirir. Mutlak önlemenin mümkün olmadığını kabul eder ve gerçekçi hedef olarak dayanıklılığı benimser.

Bir DoS, hedefi aşırı yükleyerek kullanılabilirliğe saldırır; DDoS ise bunu bir botnet aracılığıyla çok sayıda kaynaktan gerçekleştirir. Türleri arasında hacimsel, protokol (SYN taşkınları gibi), uygulama katmanı ve çoğaltma saldırıları bulunur. Savunmalar; hız sınırlama, güvenlik duvarları, CDN'ler ve bulut temizleme hizmetlerini, ayrıca çoğaltmayı azaltmak için spoofing karşıtı önlemleri birleştirir.

DoS hakkındaki bilginizi sınayın.

Bir DoS, kullanılabilirliği engellemek için bir hizmeti aşırı yükler; DDoS ise bir botnet üzerinden çok sayıda kaynak kullanır. Saldırı türleri arasında hacimsel taşkınlar, SYN taşkınları gibi protokol saldırıları, gizli uygulama katmanı saldırıları ve spoofing yoluyla gerçekleştirilen çoğaltma saldırıları bulunur. Savunmalar; hız sınırlama, güvenlik duvarları, CDN'ler ve bulut DDoS temizleme hizmetlerini katmanlandırır.