DDoS Saldırısı Nedir? Türleri ve Korunma Yöntemleri

DDoS (Distributed Denial of Service, dağıtık hizmet engelleme) saldırısı, binlerce farklı kaynaktan bir sunucuya aynı anda sahte trafik gönderilerek sunucunun, ağ bağlantısının veya uygulamanın gerçek kullanıcılara hizmet veremez hâle getirilmesidir. Saldırılar ağ katmanında (L3), taşıma katmanında (L4) veya uygulama katmanında (L7) yapılabilir; korunmak için trafiğin sunucuya ulaşmadan önce saldırı trafiğini ayıklayan bir filtreleme altyapısından geçmesi gerekir.

Bu rehberde DDoS saldırılarının nasıl çalıştığını, türlerini, oyun sunucuları ve web siteleri üzerindeki etkisini ve hem sağlayıcı hem sunucu tarafında alabileceğiniz önlemleri anlatıyoruz.

DDoS saldırısı nasıl çalışır?

Saldırgan, kontrolünü ele geçirdiği çok sayıda cihazı (virüslü bilgisayarlar, güvenliği zayıf modemler, IP kameralar, ele geçirilmiş sunucular) bir botnet olarak kullanır. Bu cihazlar komut aldığında hedefe aynı anda trafik gönderir. Trafik tek bir adresten gelmediği için basit bir IP engellemesiyle durdurulamaz; "dağıtık" kelimesi buradan gelir.

Günümüzde DDoS saldırıları, kiralık saldırı hizmetleri (booter/stresser) sayesinde teknik bilgisi olmayan kişilerce bile birkaç dolara başlatılabiliyor. Bu yüzden özellikle oyun sunucuları ve küçük işletmeler sık hedef oluyor.

DDoS saldırı türleri

Hacimsel saldırılar (L3/L4)

Amaç, bağlantıyı trafikle boğmaktır. En etkili türlerden biri yansıtma ve yükseltme (amplification) saldırısıdır: saldırgan, kurbanın IP adresini taklit ederek internetteki yanlış yapılandırılmış DNS, NTP, memcached gibi sunuculara küçük istekler gönderir; bu sunucular kurbana çok daha büyük yanıtlar döndürür. Böylece küçük bir botnet bile çok büyük trafik üretebilir.

Protokol saldırıları (L4)

SYN flood gibi saldırılar, TCP bağlantı kurulumunu yarıda bırakarak sunucunun bağlantı tablosunu doldurur. Sunucunun bant genişliği dolmadan bile yeni bağlantılar reddedilmeye başlar.

Uygulama katmanı saldırıları (L7)

Gerçek kullanıcı isteklerine benzeyen ama çok sayıda gönderilen isteklerle uygulamayı yorar. Örneğin bir web sitesinin arama sayfasına saniyede binlerce istek göndermek, veritabanını kilitleyebilir. Trafik hacmi düşük olabileceği için tespiti hacimsel saldırılardan zordur.

Oyun sunucuları neden bu kadar sık hedef olur?

• Rekabet: Popüler Minecraft, FiveM ve Rust toplulukları arasında oyuncu çekme rekabeti yoğundur.
• Kişisel husumet: Yasaklanan bir oyuncu veya kaybeden bir rakip saldırı başlatabilir.
• UDP trafiği: Birçok oyun UDP kullanır. UDP bağlantısız bir protokol olduğu için sahte trafiği gerçek oyuncu trafiğinden ayırmak daha zordur.
• Gecikme hassasiyeti: Web sitesinde birkaç yüz milisaniyelik gecikme fark edilmezken oyunda oyuncuların sunucudan düşmesine yol açar.

Bu yüzden oyun sunucularında korumanın yalnızca var olması yetmez, oyun trafiğinin yapısını tanıyan filtrelere sahip olması gerekir. Genel amaçlı bir filtre, saldırıyı durdururken gerçek oyuncu trafiğini de kesebilir.

DDoS'tan nasıl korunulur?

Sağlayıcı tarafında koruma

Büyük hacimli bir saldırıyı sunucunun içinden durduramazsınız; trafik sunucunuza ulaştığında bağlantınız zaten dolmuştur. Etkili koruma, trafiğin sağlayıcının ağında, sunucuya ulaşmadan önce süzülmesidir. Koruma seçerken şunlara bakın:

1. Dahil mi, ek ücretli mi? Bazı firmalar korumayı ayrı bir ürün olarak satar.
2. Hangi katmanları kapsıyor? Yalnızca L3/L4 mü, uygulama katmanı da mı?
3. Saldırıda ne oluyor? Bazı sağlayıcılar saldırı başladığında IP adresinizi tamamen kapatır (null route). Bu, ağlarını korur ama sizin hizmetinizi de durdurur.
4. Oyun trafiğine uygun mu? UDP tabanlı oyunlar için özel filtreler var mı?

Oculeth'te DDoS koruması tüm hizmetlere dahildir ve ayrı satılmaz. Sanal sunucularda katman 3-4 ve uygulama katmanı saldırıları filtrelenir; oyun sunucularında ise oyun trafiğine özel filtreler kullanılır.

Sunucu ve uygulama tarafında önlemler

Sağlayıcı koruması temel katmandır; kendi tarafınızda da riski azaltabilirsiniz:

• Kullanmadığınız portları kapatın. Güvenlik duvarında yalnızca gerekli portlar açık kalsın.
• Yönetim panellerini gizleyin. RDP, SSH, txAdmin ve veritabanı portlarını yalnızca kendi IP adresinize açın.
• Gerçek IP adresinizi saklayın. Web sitelerinde bir ters vekil (reverse proxy) veya CDN kullanmak, sunucu IP'sini gizler. Minecraft'ta Velocity gibi bir proxy arkasında alt sunucuların IP'lerini dışarı açmayın.
• Hız sınırlama (rate limiting) uygulayın. Web sunucunuzda (Nginx, LiteSpeed) ve uygulamanızda IP başına istek sınırı koyun.
• Önbellek kullanın. Önbellekten sunulan sayfalar, L7 saldırılarında veritabanına yük binmesini önler.
• Oyun içi önlemler: Minecraft'ta bağlantı hızı sınırlayan ve bot girişlerini engelleyen eklentiler; FiveM'de güvenilir kaynaklardan script kullanımı.

Saldırı sırasında ne yapmalısınız?

Saldırı başladığında panikle sunucuyu yeniden başlatmak veya IP adresini sık sık değiştirmek çoğu zaman işe yaramaz. Daha sağlıklı bir sıra şudur:

1. Belirtileri not edin: Saldırının başladığı saat, etkilenen hizmet (web, oyun portu, RDP) ve gözlemlediğiniz durum.
2. Sağlayıcınıza bildirin: Destek ekibi ağ tarafındaki filtreleme kayıtlarını görebilir ve gerekirse ek önlem alabilir.
3. Sunucu kaynaklarını kontrol edin: CPU, bellek ve bağlantı sayısı normal mi? Uygulama katmanı saldırılarında sorun ağda değil, uygulamanın kendisinde görülür.
4. Topluluğunuzu bilgilendirin: Oyuncularınıza veya müşterilerinize kısa bir duyuru, gereksiz panik ve destek yükünü azaltır.
5. Saldırı sonrasını değerlendirin: Hangi portların hedef alındığına bakın, açık olması gerekmeyen portları kapatın ve kayıtları saklayın.

Saldırı altında olduğunuzu nasıl anlarsınız?

• Sunucu açık görünmesine rağmen kimse bağlanamıyor veya herkes aynı anda düşüyor.
• Ağ grafiklerinde ani ve olağan dışı bir trafik artışı var.
• Ping değerleri bir anda yükseliyor, paket kaybı yaşanıyor.
• Web sitesinde CPU kullanımı tavan yaparken ziyaretçi analitiğinde gerçek ziyaretçi artışı görünmüyor.

Bu belirtileri gördüğünüzde sağlayıcınızın destek ekibine saat ve belirtilerle birlikte bilgi verin. Sorunun saldırı mı, uygulama hatası mı olduğunu ayırt etmek için sunucu kaynak kullanımına da bakın; Minecraft'ta TPS normal ama oyuncular kopuyorsa sorun büyük ihtimalle ağ tarafındadır. Bu ayrımı Minecraft lag sorunu rehberimizde ayrıntılı anlattık.

Hangi sunucu türünün sizin için uygun olduğuna karar verirken oyun sunucusu kiralama rehberimiz ve VDS kiralarken dikkat edilmesi gerekenler yazılarımız yardımcı olabilir. DDoS korumalı VDS sunucuları ve web hosting paketlerini ürün sayfalarında inceleyebilirsiniz.

Sık sorulan sorular

DDoS saldırısı verilerimi çalar mı?

Hayır, DDoS saldırısının amacı veri çalmak değil hizmeti durdurmaktır. Ancak bazen başka bir saldırının dikkat dağıtıcısı olarak kullanılabilir; bu yüzden saldırı sırasında ve sonrasında sunucu kayıtlarını ve güvenlik güncellemelerini kontrol etmek iyi bir alışkanlıktır.

DDoS koruması saldırıyı tamamen engeller mi?

İyi bir koruma, saldırı trafiğinin büyük kısmını sunucuya ulaşmadan süzer ve gerçek kullanıcıların erişmeye devam etmesini sağlar. Hiçbir koruma her saldırıyı sıfır etkiyle durduracağını garanti edemez; bu yüzden sağlayıcı korumasını kendi tarafınızdaki önlemlerle desteklemelisiniz.

Layer 7 DDoS saldırısı nedir?

Uygulama katmanını hedef alan, gerçek kullanıcı isteklerine benzeyen saldırılardır. Örneğin bir web sitesine sürekli ağır sayfa istekleri göndererek veritabanını yormak. Hacimleri düşük olabileceği için tespit edilmesi zordur; önbellek ve hız sınırlama en etkili önlemlerdendir.

Oyun sunucum neden sürekli saldırı alıyor?

Popüler oyun toplulukları rekabet ve kişisel husumet nedeniyle sık hedef olur. Yönetim portlarını kapatmak, sunucu IP'sini gereksiz yerlerde paylaşmamak ve oyun trafiğine uygun DDoS koruması olan bir sunucu kullanmak etkiyi en aza indirir.

Oculeth'te DDoS koruması ücretli mi?

Hayır. DDoS koruması Oculeth'in tüm hizmetlerine dahildir ve ayrı bir ürün olarak satılmaz.