Dağıtılmış Hizmet Reddi, İngilizcede Distributed Denial of Service olarak adlandırılan ve DDoS şeklinde kısaltılan, bir web sitesi, sunucu, uygulama, ağ veya çevrim içi hizmeti normal kullanıcılar için erişilemez hale getirmeyi amaçlayan siber saldırı türüdür. DDoS saldırılarında hedef sistem, çok sayıda kaynaktan gelen yoğun trafik, istek veya bağlantı denemesiyle zorlanır. Bu yoğunluk, sistemin bant genişliğini, işlem kapasitesini, bellek kaynaklarını veya uygulama servislerini tüketerek hizmet kesintisine yol açabilir. Cloudflare, DDoS saldırısını hedef sunucu, servis veya ağı yoğun internet trafiğiyle boğarak normal trafiği bozma girişimi olarak tanımlar.
DDoS saldırılarının DoS saldırılarından temel farkı, saldırı trafiğinin tek bir kaynaktan değil, çok sayıda kaynaktan gelmesidir. Saldırganlar çoğu zaman ele geçirilmiş bilgisayarlar, sunucular, IoT cihazları, kameralar, modemler veya farklı ağ kaynaklarından oluşan botnet yapılarından yararlanır. Bu dağıtık yapı, saldırıyı tespit etmeyi ve tek bir kaynağı engelleyerek durdurmayı zorlaştırır. Bu nedenle DDoS, özellikle çevrim içi gelir üreten veya kritik hizmet sunan kurumlar için ciddi bir erişilebilirlik ve iş sürekliliği riskidir.
DDoS saldırıları yalnızca e-ticaret sitelerini, online oyun platformlarını veya bahis sitelerini hedef almaz. Bankalar, medya kuruluşları, kamu kurumları, SaaS platformları, telekom şirketleri, finansal servisler, sağlık sistemleri, eğitim platformları ve API tabanlı servisler de hedef olabilir. Saldırıların amacı maddi çıkar, şantaj, siyasi motivasyon, hacktivizm, rakipleri yıpratma, hizmeti sabote etme, dikkat dağıtma veya güvenlik kapasitesini test etme olabilir. Bu nedenle DDoS saldırıları yalnızca teknik bir sorun değil, aynı zamanda operasyonel ve ticari bir risk olarak değerlendirilmelidir.
DDoS saldırıları genel olarak üç ana kategoriye ayrılır: hacimsel saldırılar, protokol tabanlı saldırılar ve uygulama katmanı saldırıları. CISA, DDoS tekniklerini volumetric, protocol ve application olmak üzere üç ana grupta ele alır. Benzer şekilde Canadian Centre for Cyber Security de DDoS saldırılarını hedefledikleri ağ katmanlarına göre bu üç geniş başlık altında açıklar. Bu sınıflandırma, saldırının hangi kaynağı tüketmeye çalıştığını ve hangi savunma yöntemlerinin gerekli olabileceğini anlamak açısından önemlidir.
Hacimsel DDoS saldırıları, hedefin veya hedefe giden ağ hattının bant genişliğini tüketmeye odaklanır. UDP Flood ve ICMP/Ping Flood gibi saldırılar bu gruba örnek gösterilebilir. Bu saldırılarda hedefe çok yüksek miktarda veri paketi gönderilerek ağ kapasitesi doldurulmaya çalışılır. Amaç, meşru kullanıcı trafiğinin hedef sisteme ulaşmasını zorlaştırmak veya tamamen engellemektir. Hacimsel saldırılar çoğu zaman yüksek trafik hacmiyle dikkat çeker ve ağ seviyesinde güçlü filtreleme, CDN, anycast altyapı veya DDoS koruma servisleri gerektirebilir.
Protokol tabanlı DDoS saldırıları, ağ ve taşıma katmanlarındaki protokol işleyişini veya bağlantı yönetimi kaynaklarını tüketmeye çalışır. SYN Flood bu saldırı türlerinin en bilinen örneklerinden biridir. Bu tür saldırılar yalnızca bant genişliğini değil, güvenlik duvarı, yük dengeleyici, sunucu TCP/IP yığını veya bağlantı tablosu gibi ara sistemlerin kaynaklarını da hedefleyebilir. Burada önemli düzeltme şudur: OSI, bir DDoS saldırısı türü değildir. OSI modeli, ağ iletişimini katmanlar halinde açıklamak için kullanılan referans modeldir; DDoS saldırıları ise bu katmanlardaki farklı kaynakları hedefleyebilir.
Uygulama katmanı DDoS saldırıları, genellikle OSI modelinin 7. katmanı olarak bilinen uygulama katmanını hedefler. HTTP GET/POST Flood, login sayfası yükleme, arama fonksiyonunu aşırı kullanma veya maliyetli API isteklerini yoğunlaştırma gibi senaryolar bu kapsama girebilir. Bu saldırılar bazen düşük hacimli görünür; çünkü saldırı trafiği normal kullanıcı davranışına benzeyen geçerli isteklerden oluşabilir. Cloudflare, uygulama katmanı DDoS saldırılarının web sitesi veya servis trafiğinin normal akışını bozmak için uygulama katmanını hedeflediğini belirtir.
DDoS saldırılarında UDP Flood, Ping Flood, SYN Flood ve HTTP Flood gibi teknik isimler sık kullanılır; ancak bunları ayrı ana kategoriler gibi değil, daha geniş saldırı sınıflarının örnekleri olarak düşünmek gerekir. UDP Flood ve Ping Flood çoğunlukla hacimsel saldırılar kapsamında değerlendirilirken, SYN Flood protokol/state-exhaustion saldırıları içinde yer alır. HTTP GET/POST Flood ise uygulama katmanı saldırılarına örnektir. Bir saldırı aynı anda birden fazla yöntemi kullanıyorsa buna çok vektörlü DDoS saldırısı denebilir.
DDoS saldırılarından korunmak için tek ve kesin bir savunma yöntemi yoktur. Etkili koruma; ağ, uygulama, DNS, CDN, güvenlik duvarı, WAF, rate limiting, trafik izleme ve olay müdahale süreçlerinin birlikte tasarlanmasını gerektirir. OWASP, hizmet reddi saldırılarının farklı katmanlarda birçok yöntemle yapılabileceğini ve kaynakları kullanılamaz hale getirmeyi hedeflediğini açıklar. Bu nedenle savunma da yalnızca tek bir ürünle değil, katmanlı bir güvenlik mimarisiyle ele alınmalıdır.
Hacimsel saldırılara karşı yüksek bant genişliği, CDN, anycast yönlendirme, upstream filtreleme ve DDoS scrubbing servisleri faydalı olabilir. Protokol saldırılarında güvenlik duvarı kuralları, SYN cookies, bağlantı limitleri, yük dengeleyici yapılandırmaları ve ağ cihazlarının doğru konfigürasyonu önem kazanır. Uygulama katmanı saldırılarında ise WAF, bot yönetimi, davranışsal analiz, endpoint bazlı rate limiting, CAPTCHA veya challenge-response mekanizmaları, cache stratejileri ve uygulama optimizasyonu kullanılabilir. Ancak bu kontroller yanlış yapılandırılırsa gerçek kullanıcı deneyimini de olumsuz etkileyebilir.
DDoS riskini azaltmak için kurumların saldırı öncesi hazırlık yapması gerekir. Kritik servisler, API uçları, ödeme sistemleri, giriş sayfaları, DNS kayıtları ve CDN yapılandırmaları gözden geçirilmelidir. Trafik eşikleri, normal trafik profili, alarm mekanizmaları, loglama, yük testi, kapasite planlaması ve olay müdahale planı oluşturulmalıdır. Saldırı anında kimin hangi aksiyonu alacağı, servis sağlayıcıyla nasıl iletişime geçileceği ve müşterilere nasıl bilgilendirme yapılacağı önceden belirlenmelidir.
DDoS testleri ve stres testleri de dikkatli yürütülmelidir. Kurumlar, kendi sistemlerinin kapasitesini ve savunma mekanizmalarını test etmek isteyebilir; ancak bu çalışmalar yalnızca yasal yetki, açık izin, kontrollü senaryo ve profesyonel güvenlik ekibiyle yapılmalıdır. Yetkisiz trafik testi veya üçüncü taraf sistemleri etkileme riski taşıyan denemeler hukuki ve operasyonel sorunlara yol açabilir. Bu nedenle DDoS dayanıklılık testleri, güvenlik politikaları ve servis sağlayıcı sözleşmeleriyle uyumlu şekilde planlanmalıdır.
DDoS saldırıları tamamen engellenemese de etkileri azaltılabilir. Amaç yalnızca saldırıyı durdurmak değil; hizmet sürekliliğini korumak, gerçek kullanıcı trafiğini ayırmak, kritik sistemleri çalışır tutmak ve saldırı sonrası analiz yapmaktır. Saldırıdan sonra trafik kaynakları, hedeflenen endpoint’ler, saldırı süresi, kullanılan vektörler, savunma sistemlerinin performansı ve iş etkisi incelenmelidir. Bu analiz, bir sonraki olay için daha güçlü bir savunma planı oluşturmayı sağlar.
Kısacası DDoS, çok sayıda kaynaktan gelen trafik veya isteklerle hedef sistemin hizmet veremez hale getirilmesini amaçlayan ciddi bir siber saldırı türüdür. Hacimsel, protokol tabanlı ve uygulama katmanı saldırıları farklı kaynakları hedefler ve farklı savunma yaklaşımları gerektirir. Başarılı korunma için CDN, WAF, rate limiting, trafik izleme, DDoS koruma servisleri, kapasite planlaması ve olay müdahale süreçleri birlikte yönetilmelidir. DDoS güvenliği, tek seferlik bir test değil, sürekli izleme ve dayanıklılık planlaması gerektiren bir iş sürekliliği konusudur.
