DDoS Saldırısı Nasıl Anlaşılır? Belirtiler ve İlk Müdahale

Siteniz açılmıyor, SSH komutları geç yanıt veriyor, müşteriler "sunucuya ulaşamıyoruz" diye yazıyor. Akla ilk gelen şüphe çoğu zaman DDoS saldırısıdır. Oysa aynı belirtiler bozuk bir betikten, dolmuş bir diskten, kampanya kaynaklı gerçek bir trafik artışından ya da yanlış bir güvenlik duvarı kuralından da doğabilir. Bu rehber, DDoS saldırısı nasıl anlaşılır sorusuna somut cevap verir: hangi belirtilere bakmalısınız, Linux sunucuda hangi komutlarla teşhis koyarsınız, yanlış alarmı nasıl ayıklarsınız ve saldırı gerçekse ilk yarım saatte neler yaparsınız.

DDoS Saldırısı Tam Olarak Nedir?

DDoS (dağıtık hizmet engelleme), çok sayıda kaynaktan gelen yapay trafikle bir sunucunun, uygulamanın ya da ağ hattının cevap veremez hale getirilmesidir. Amaç veri çalmak değil, hizmeti erişilemez kılmaktır. Saldırılar üç ana gruba ayrılır:

Bu ayrım önemlidir çünkü teşhis ve çözüm yolu türe göre değişir. Hacimsel saldırıyı sunucuda çözemezsiniz; uygulama katmanı saldırısını ise büyük ölçüde sunucuda ve web sunucusu ayarlarında hafifletebilirsiniz.

DDoS Saldırısının 8 Tipik Belirtisi

1. Ani ve açıklanamayan yavaşlama: Sayfalar saniyeler yerine dakikalarda açılıyor ya da hiç açılmıyor.
2. Bağlantı sayısında patlama: Normalde birkaç yüz olan eşzamanlı bağlantı binlere ya da on binlere çıkıyor.
3. Tek bir yola yığılan istekler: Erişim günlüğünde aynı adres (ör. arama, giriş ya da bir API ucu) saniyede yüzlerce kez çağrılıyor.
4. Olağandışı kaynak dağılımı: Normalde Türkiye'den gelen trafik, hiç ziyaretçi beklemediğiniz ülkelerden gelmeye başlıyor.
5. Benzer istemci kimlikleri: Binlerce istek aynı ya da birbirine çok benzer User-Agent ile geliyor; çoğu oturum açmıyor, çerez kabul etmiyor.
6. Ağ arayüzü doygunluğu: Gelen trafik grafiği port hızına dayanıyor ve düz bir çizgi halinde duruyor.
7. Yüksek paket sayısı, düşük gerçek veri: Saniyedeki paket sayısı çok yüksek, işlenen gerçek iş yükü ise düşük.
8. Aynı saat aralığında birden fazla servisin bozulması: Web, SSH ve e-posta aynı anda yavaşlıyor; bu, sorunun uygulamada değil hatta olduğunu düşündürür.

Tek bir belirti kanıt değildir. İki ya da üçünün birlikte görülmesi şüpheyi ciddi biçimde artırır.

Önce Yanlış Alarmı Eleyin

Birçok saldırı şüphesi aslında başka bir sorundur. Müdahaleden önce şu beş kontrolü yapın:

• Kampanya ya da duyuru: Pazarlama ekibi bir e-posta ya da reklam başlattı mı? Sosyal medyada bağlantınız paylaşıldı mı?
• Disk ve bellek: Disk yüzde yüze yakınsa veritabanı yazamaz, site çöker. Bellek bittiğinde işletim sistemi süreçleri sonlandırır.
• Yedekleme ya da arama motoru botu: Planlı bir yedekleme işi ya da yoğun bir tarayıcı botu işlemciyi doldurabilir.
• Son değişiklik: Dün bir eklenti, betik ya da yapılandırma değişikliği yaptınız mı?
• Kendi güvenlik duvarınız: Yeni bir kural ya da güvenlik eklentisi meşru trafiği engelliyor olabilir.

Sunucunun neden yavaşladığını genel olarak ayırt etmek için sunucu yavaşladığında 10 dakikalık performans teşhisi rehberine de göz atabilirsiniz.

Adım Adım Teşhis: Linux Sunucuda Hangi Komutlar?

1. Kaynak durumuna bakın

uptime
top -o %CPU
free -h
df -h

Yük ortalaması çekirdek sayısının çok üzerindeyse ve işlemciyi web sunucusu ya da veritabanı süreçleri tüketiyorsa uygulama katmanı sorunu olasılığı yüksektir. Kaynaklar sakin ama erişim yoksa sorun ağ hattındadır.

2. Bağlantıları sayın ve kaynaklara göre gruplayın

ss -s
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -20

İlk komut toplam bağlantı özetini verir. İkincisi, kurulmuş bağlantıları kaynak IP'ye göre sayar. Tek bir adresin yüzlerce bağlantısı varsa bu bir şüphedir; binlerce farklı adres ise dağıtık bir saldırıya işaret edebilir. Bu komutta sütun numarası sürüme ve çıktı biçimine göre değişebilir, çıktıyı bir kez gözle kontrol edin.

3. Yarım açık bağlantıları kontrol edin

ss -n state syn-recv | wc -l
ss -n state time-wait | wc -l

SYN-RECV durumunda çok sayıda bağlantı, SYN flood'un klasik izidir. Normal bir sunucuda bu sayı genellikle çok düşüktür.

4. Ağ arayüzünün gerçek trafiğine bakın

cat /proc/net/dev
sudo apt install -y iftop nload
sudo iftop -i eth0 -nNP

Arayüz adınız eth0 olmayabilir; ip -br link ile doğrulayın. Gelen trafik port hızına yakınsa ve sunucu kaynakları rahatsa, saldırı sunucuya ulaşmadan hatta başlamış demektir. Bu durumda yapabileceğiniz tek şey hizmet sağlayıcınızı bilgilendirmektir.

5. Kısa bir paket yakalama alın

sudo tcpdump -i eth0 -nn -c 2000 -w /root/olay.pcap
sudo tcpdump -nn -r /root/olay.pcap | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -nr | head

İlk komut 2.000 paketlik kısa bir kayıt alır; yakalamayı sınırlı tutmak diski doldurmamanızı sağlar. Saldırı trafiğinin hangi porta, hangi protokole (TCP SYN, UDP, ICMP) yöneldiğini görmek, hizmet sağlayıcıya verilecek en değerli bilgidir.

6. Web erişim günlüğünü analiz edin

tail -n 20000 /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -20
tail -n 20000 /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -nr | head -20

Birincisi en çok istek yapan IP'leri, ikincisi en çok istenen yolları listeler. Apache kullanıyorsanız günlük yolu /var/log/apache2/access.log ya da dağıtıma göre farklı olabilir. Tek bir yola yığılan binlerce istek, uygulama katmanı saldırısının en net kanıtıdır.

Saldırı Türüne Göre Yorum Tablosu

İlk Yarım Saatte Yapılacaklar

1. Sakin kalın ve kayıt tutun: Başlangıç saatini, belirtileri ve komut çıktılarını bir metin dosyasına kaydedin.
2. Kapatmayın: Sunucuyu kapatmak saldırganın işini kolaylaştırır ve kanıtı siler.
3. Türü belirleyin: Yukarıdaki komutlarla hacimsel, protokol ya da uygulama katmanı olduğunu ayırın.
4. Gereksiz servisleri durdurun: Herkese açık olması gerekmeyen servisleri (veritabanı portu, yönetim arayüzleri, test siteleri) geçici olarak kapatın veya yalnız kendi IP'nize açın.
5. Hizmet sağlayıcınıza bildirin: Zaman aralığını, tespit ettiğiniz protokol ve port bilgisini ve yakalama dosyasını iletin. Hacimsel saldırılarda asıl çözüm hizmet sağlayıcının ağ katmanındadır.
6. Uygulama katmanında hafifletin: İstek sınırlama, önbellek ve bilinen kötü kaynakları engelleme.
7. Yetkisiz erişim var mı bakın: Saldırılar bazen dikkat dağıtmak için kullanılır; oturum açma günlüklerini ve dosya değişikliklerini kontrol edin.

Uygulama Katmanında Kullanabileceğiniz Hafifletme Örnekleri

Aşağıdaki örnekler küçük ve orta ölçekli HTTP saldırılarını yavaşlatır; hacimsel saldırıya karşı etkisizdir.

# Nginx: IP başına istek sınırı (http bloğu)
limit_req_zone $binary_remote_addr zone=genel:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=baglanti:10m;

# server veya location bloğu
limit_req zone=genel burst=20 nodelay;
limit_conn baglanti 30;

# Linux: SYN cookies durumunu görün
sysctl net.ipv4.tcp_syncookies

# Tek IP için geçici engelleme
sudo ufw deny from 203.0.113.50

Buradaki adres belgelendirme amaçlı örnek adrestir. Sınır değerlerini kendi gerçek trafiğinize göre ayarlayın; fazla sıkı bir sınır meşru ziyaretçileri de engeller. Güvenlik duvarı ve erişim ayarları için Linux sunucu güvenliği rehberi yararlı bir başlangıçtır.

Neden Sunucuda Çözemezsiniz: Hacimsel Saldırılar

Bir sunucunun portu 1 Gbps ise, o porttan sığabilecek veriden fazlasını gönderen bir saldırı hattı doldurur. Bu noktada sunucunuzun işlemcisi tamamen boşta olsa bile paketler sunucuya ulaşamaz, çünkü tıkanıklık sunucunun öncesindedir. Bu nedenle güvenlik duvarı kurmak, bir iptables kuralı yazmak ya da sunucuyu yeniden başlatmak hacimsel saldırılarda işe yaramaz. Bu tür saldırıların filtrelenmesi ağ seviyesinde, trafiğin sunucuya ulaşmasından önce yapılmalıdır. Konuyu genel çerçevede anlatan DDoS saldırılarından korunma rehberimiz ve oyun sunucuları için oyun sunucusu DDoS koruması yazımız bu açıdan faydalı olabilir.

Sonraki Saldırıya Hazırlanmak İçin 8 Alışkanlık

• Normal trafiği bilin: Saldırıyı ancak normalin ne olduğunu biliyorsanız fark edersiniz. Bağlantı sayısı ve trafik grafiğini düzenli izleyin.
• İzleme ve uyarı kurun: Eşzamanlı bağlantı, işlemci ve ağ doygunluğu için eşik uyarısı tanımlayın.
• Önbellek kullanın: Statik içeriği ve sık okunan sayfaları önbelleğe alın; HTTP saldırılarının etkisi düşer.
• Yönetim erişimini sınırlayın: SSH, RDP ve yönetim panellerini yalnız bilinen IP'lere açın.
• Kaynağı gizleyin: Web sitenizi bir ara katmanın arkasına alıyorsanız, sunucunun gerçek IP'sinin başka yerlerden (DNS kayıtları, e-posta başlıkları) sızmadığından emin olun.
• Yedeğiniz hazır olsun: Saldırı sırasında yan etkiyle bir şey bozulursa geri dönüş yolunuz olsun.
• Olay planı yazın: Kimin kimi arayacağını, hangi kayıtların toplanacağını önceden kağıda dökün.
• Koruma seçeneklerini önceden öğrenin: Saldırı başladıktan sonra seçenek araştırmak zordur. Hizmet sağlayıcınızın sunduğu korumanın kapsamını ve nasıl devreye girdiğini önceden sorun.

Gecikme ve Paket Kaybını Doğru Yorumlayın

Bazen sorun saldırı değil, hat üzerinde bir yerdeki gecikme ya da paket kaybıdır. Ping ve MTR sonuçlarını doğru okumak, sorunun sunucunuzda mı, yolun ortasında mı olduğunu ayırt etmenizi sağlar. Ayrıntılar için ping testi ve MTR rehberini okuyabilirsiniz.

Sık Yapılan Hatalar

• Teşhis yapmadan sunucuyu yeniden başlatmak ve kanıtı kaybetmek.
• Meşru bir trafik artışını saldırı sanıp ülke ya da IP aralıklarını toptan engellemek.
• Hacimsel saldırıyı sunucudaki güvenlik duvarıyla çözmeye çalışmak.
• Hizmet sağlayıcıya sunucunun yavaş olduğunu söyleyip protokol, port ve zaman bilgisi vermemek.
• Saldırı bittikten sonra kayıtları silmek; sonraki olay için örüntü kaybolur.
• Yönetim portlarını her yerden erişilebilir bırakmak.

Özet

DDoS saldırısını anlamanın yolu, belirtileri sayılara dökmektir: bağlantı sayısı, kaynak dağılımı, paket türü, işlemci yükü ve ağ doygunluğu. Kaynaklarınız rahatken hat doluysa hacimsel saldırı, işlemci doluyken ağ ılımlıysa uygulama katmanı saldırısı olasılığı yüksektir. Her durumda kayıt tutun, kapatmayın, hizmet sağlayıcınızı doğru bilgiyle bilgilendirin ve yetkisiz erişim izi olup olmadığını kontrol edin. Ağ seviyesinde koruma seçenekleri için DDoS koruma sayfasına, destek için iletişim sayfasına bakabilirsiniz.

İlgili Rehberler

• DDoS Saldırılarından Nasıl Korunulur? Güvenlik Rehberi
• Oyun Sunucusu DDoS Koruması Rehberi
• Sunucu Yavaşladı mı? 10 Dakikada Performans Teşhisi
• Ping Testi ve MTR Rehberi
• VDS Kiralama
• Kiralık Sunucu

Sık Sorulan Sorular