DDoS (Distributed Denial of Service / Dağıtık Hizmet Engelleme) saldırısı, bir web sitesini, sunucuyu ya da ağ servisini binlerce farklı kaynaktan gelen sahte trafikle boğarak gerçek kullanıcıların erişemez hale gelmesini amaçlayan bir siber saldırı türüdür. Amaç veri çalmak değil, hizmeti çökertmek veya yavaşlatmaktır; yani sistemi "meşgul edip kilitlemektir".
Basit bir benzetmeyle: bir dükkânın kapısına aynı anda binlerce sahte müşteri yığılırsa, gerçek müşteriler içeri giremez. DDoS de tam olarak dijital dünyada bunu yapar. Bu yazıda saldırının nasıl çalıştığını, türlerini ve en önemlisi ondan nasıl korunulacağını yeni başlayan biri olarak adım adım öğreneceksin.
DoS ile DDoS arasındaki fark nedir?
İkisi de hizmeti engellemeyi hedefler, ancak ölçek ve kaynak sayısı farklıdır. DoS (Denial of Service) genellikle tek bir bilgisayardan yapılan saldırıdır ve engellenmesi kolaydır. DDoS ise binlerce cihazın oluşturduğu bir ağdan (botnet) aynı anda gelir; trafik dağıtık olduğu için tek bir IP'yi engellemek işe yaramaz. Bu dağıtıklık, DDoS'u durdurmayı çok daha zor hale getirir.
| Özellik | DoS | DDoS |
|---|---|---|
| Saldırı kaynağı | Tek cihaz / tek IP | Binlerce dağıtık cihaz (botnet) |
| Engellenmesi | Görece kolay (IP engelle) | Zor (trafik dağınık gelir) |
| Trafik hacmi | Sınırlı | Çok yüksek olabilir |
| Kaynağı bulmak | Daha basit | Karmaşık, gizlenmiş |
DDoS saldırısı nasıl çalışır?
DDoS saldırılarının çoğu bir botnet ile yapılır. Botnet, saldırganın kötü amaçlı yazılımla ele geçirdiği internete bağlı cihazlardan oluşan bir "zombi ordusudur". Bu cihazlar bilgisayarlar, sunucular, hatta güvenliği zayıf akıllı kameralar ve IoT cihazları olabilir. Sahipleri genellikle cihazlarının bu saldırıya katıldığından habersizdir.
Saldırgan bu binlerce cihaza aynı anda "şu hedefe istek gönder" komutu verir. Hedef sunucu, kapasitesinin çok üzerinde istek aldığı için ya çok yavaşlar ya da tamamen yanıt veremez hale gelir. Trafik binlerce farklı ve masum görünen adresten geldiği için, gerçek ziyaretçiyle saldırganı ayırmak oldukça zorlaşır.
DDoS saldırı türleri nelerdir?
DDoS saldırıları genellikle hedefledikleri katmana göre üç ana grupta incelenir. Her tür farklı bir zayıf noktayı hedefler ve farklı savunma gerektirir.
| Tür | Hedef | Örnek yöntemler |
|---|---|---|
| Hacimsel (Volumetric) | Bant genişliğini doldurmak | UDP flood, DNS amplification |
| Protokol saldırıları | Sunucu/güvenlik duvarı kaynakları (L3/L4) | SYN flood, ping of death |
| Uygulama katmanı (L7) | Web uygulamasının kendisi | HTTP flood, yavaş istek saldırıları |
Hacimsel saldırılar en sık karşılaşılan türlerdendir; hedefin internet hattını fiziksel olarak doldurur. Protokol saldırıları sunucunun bağlantı yönetimindeki zayıflıkları kullanır. Uygulama katmanı saldırıları ise az trafikle bile büyük hasar verebilir çünkü doğrudan siteyi çalıştıran yazılımı yorar; tespit edilmeleri de en zor olanıdır.
DDoS saldırısı belirtileri nelerdir?
Bir DDoS saldırısı yaşadığını gösteren bazı işaretler vardır. Web sitesinin aniden ve nedensiz şekilde çok yavaşlaması ya da erişilemez olması ilk uyarıdır. Tek bir IP aralığından ya da belirli bir coğrafyadan gelen anormal trafik artışı, sunucu kaynaklarının (CPU, bant genişliği) beklenmedik biçimde dolması ve normalde nadir gelen sayfalara ani istek yağması diğer tipik belirtilerdir. Ancak bu belirtiler bazen yüksek meşru trafikle (örneğin bir kampanya) karışabilir; bu yüzden log analizi önemlidir.
DDoS saldırısından nasıl korunulur?
Tek bir sihirli çözüm yoktur; korunma katmanlı bir yaklaşım gerektirir. Yeni başlayanların bilmesi gereken temel savunma adımları şunlardır:
- CDN ve DDoS koruma servisi kullan: Cloudflare gibi servisler trafiği kendi ağlarında süzerek büyük saldırıları hedefe ulaşmadan durdurur. Ücretsiz planları bile küçük siteler için ciddi koruma sağlar.
- Hız sınırlama (rate limiting): Tek bir IP'nin belirli sürede yapabileceği istek sayısını sınırlarsan, otomatik saldırı trafiğini baştan azaltırsın.
- Web Application Firewall (WAF): Uygulama katmanı saldırılarını kalıp bazlı yakalayıp filtreler.
- Ölçeklenebilir altyapı: Otomatik ölçeklenen (auto-scaling) sunucular ani yükü dağıtarak çökme riskini azaltır.
- Trafik izleme ve alarmlar: Anormal trafiği erken fark etmek, tepki süresini kısaltır.
- Bir olay müdahale planı: Saldırı anında kimin ne yapacağını önceden belirlemek panik anında zaman kazandırır.
Unutma: koruma proaktif olmalıdır. Saldırı başladıktan sonra kurulan savunma çoğu zaman geç kalır. Küçük bir kişisel proje çalıştırıyorsan bile, siteni bir CDN arkasına almak atabileceğin en kolay ve etkili ilk adımdır.
DDoS yapmak yasal mı?
Hayır. Türkiye'de izinsiz olarak bir bilişim sistemini engellemek, bozmak veya erişilemez kılmak Türk Ceza Kanunu m.244 ("Sistemi engelleme, bozma, verileri yok etme veya değiştirme") kapsamında suçtur ve hapis cezası öngörür. "Sadece test ediyordum" ya da "eğlence olsun diye" gibi gerekçeler seni sorumluluktan kurtarmaz.
DDoS'u yalnızca kendine ait sistemlerde, izole bir laboratuvar ortamında ya da yazılı izin verilen bir yük/dayanıklılık testinde deneyebilirsin. Bu yazının amacı saldırı yapmayı öğretmek değil, saldırıyı tanıyıp savunmayı öğretmektir. Etik hackerlar bu bilgiyi sistemleri korumak için kullanır, yıkmak için değil.
Bu konuları güvenli ve yasal bir ortamda pratik etmek istersen, tarayıcı içinde çalışabileceğin ücretsiz AltaySec Pratik CTF alıştırmalarına ve AltaySec Labs laboratuvarlarına göz atabilirsin. Ağ ve trafik kavramlarını kendi kontrollü ortamında denemek, gerçek dünyada nasıl savunma yapılacağını öğrenmenin en sağlıklı yoludur.
Sık Sorulan Sorular
DDoS ile hacklenmek aynı şey mi?
Hayır, farklı şeylerdir. Hacklenmek genellikle bir sisteme yetkisiz erişim sağlamak veya veri çalmakla ilgilidir. DDoS ise sisteme girmez; sadece onu aşırı trafikle meşgul ederek erişilemez hale getirir. DDoS bir "kapıyı tıkama" saldırısıdır, veri sızdırma değildir.
Küçük bir web sitesi DDoS hedefi olur mu?
Evet, olabilir. Saldırganlar bazen rastgele, otomatik araçlarla ya da fidye amacıyla küçük siteleri de hedef alır. Neyse ki küçük siteler için ücretsiz CDN ve temel koruma servisleri çoğu saldırıyı durdurmaya yeter, bu yüzden korumaya erken başlamak önemlidir.
VPN kullanmak DDoS'a karşı korur mu?
Kişisel kullanımda VPN, gerçek IP adresini gizleyerek bireysel bir kullanıcının hedef alınmasını zorlaştırabilir. Ancak bir web sitesini veya sunucuyu korumak söz konusu olduğunda VPN yeterli değildir; bunun için CDN, WAF ve özel DDoS koruma servisleri gerekir.
Bir DDoS saldırısı ne kadar sürer?
Değişkendir. Bazı saldırılar birkaç dakika sürerken, bazıları saatler hatta günler boyunca dalgalar halinde devam edebilir. Sürenin kesin bir kuralı yoktur; bu yüzden önemli olan saldırı başlamadan önce savunmayı hazır tutmaktır.