- Konu sahibi
- #1
DDoS saldırısını tespit etmek için trafik artışını, sunucu kaynaklarını ve erişim günlüklerini aynı zaman aralığında karşılaştırın. Şüpheli istekler belirli sayfalarda yoğunlaşıyorsa koruma hizmetinde hedefli hız sınırı veya filtre uygulayın; ağ bağlantısı doluyorsa barındırma sağlayıcınızdan trafiğin sunucuya ulaşmadan filtrelenmesini isteyin. Tek başına yüksek trafik veya sitenin yavaşlaması saldırı kanıtı değildir.
Ardından web sunucusunun erişim ve hata günlüklerinde aynı dönemi inceleyin. İsteklerin zamanı, hedef yolu, HTTP yöntemi, durum kodu ve kaynak adresi yararlıdır. Bir CDN veya ters vekil kullanıyorsanız onun trafik ve güvenlik kayıtlarına da bakın: Sunucudaki günlükler, sunucuya hiç ulaşmadan engellenen istekleri göstermeyebilir. IP adresleri vekile ait görünüyorsa gerçek ziyaretçi adresinin günlüklere güvenilir vekil yapılandırmasıyla aktarılıp aktarılmadığını kontrol edin; istemciden gelen adres başlıklarına doğrudan güvenmeyin.
Şu ayrım, ilk müdahaleyi seçmenize yardımcı olur:
Bu gözlemler kesin teşhis değildir. Örneğin bir kampanya, arama motoru taraması veya hatalı istemci de ani artış yaratabilir. Çok sayıda farklı IP görülmesi tek başına DDoS'u kanıtlamaz; düşük istek sayısı da yavaş bağlantılarla kaynak tüketen bir saldırıyı tamamen dışlamaz. 5xx hataları sunucu tarafında sorun olduğunu gösterir, fakat nedenin saldırı olduğunu tek başına söylemez.
Web uygulaması güvenlik duvarı (WAF), HTTP isteklerini belirlenen kurallara göre değerlendirir. Hız sınırı ise belirli bir ölçüte uyan isteklerin belirli sürede ne kadarına izin verileceğini sınırlar. Kural oluştururken şu sırayı izleyin:
CDN kullanmak tek başına yeterli olmayabilir: Saldırgan kaynak sunucunun doğrudan erişilebilen IP adresini hedeflerse trafik CDN'yi atlayabilir. Koruma sağlayıcısının yönlendirdiği web trafiğinin çalıştığını doğruladıktan sonra, sunucu güvenlik duvarında web portlarına erişimi sağlayıcının güncel IP aralıklarıyla sınırlandırın. Yönetim ve izleme erişimlerini ayrıca planlayın; kuralı kaydetmeden önce kendinizi sunucudan kilitlemeyecek bir erişim yolunuz olduğundan emin olun. Doğrudan hedef alınmış bir kaynak IP için barındırma sağlayıcısından IP değişikliği gerekip gerekmediğini de değerlendirmesini isteyin.
Sunucunun internet bağlantısı saldırı trafiğiyle dolmuşsa sunucuda uygulanacak bir kural, hatta ulaşmış trafiği geri alamaz. Bu durumda barındırma veya ağ sağlayıcınıza olayın başlangıç saatini ve saat dilimini, hedef IP'yi, etkilenen hizmeti, gözlenen trafik ve hata ölçümlerini iletin. Trafiğin ağ seviyesinde incelenmesini ve uygun DDoS filtrelemesinin devreye alınmasını isteyin. CDN kullanıyorsanız koruma sağlayıcısına da olay aralığını ve ilgili güvenlik olaylarını bildirin.
Müdahaleden sonra erişilebilirliği farklı bağlantılardan, hata oranlarını ve normal kullanıcı işlemlerini izleyin. Trafik azaldığında geçici sert kuralları gözden geçirin; gereksiz kısıtlamaları kaldırıp kayıtları güvenli biçimde saklayın. Destekle paylaşacağınız günlüklerden oturum bilgilerini, parolaları ve diğer hassas verileri çıkarın.
Önce trafiğin nerede yoğunlaştığını bulun
DDoS, çok sayıda kaynaktan veya dağıtılmış bağlantıdan gelen trafiğin siteyi ya da altyapısını erişilemez hâle getirmeyi hedeflemesidir. İncelemeye sorunun başladığı saat aralığını belirleyerek başlayın. Barındırma panelinizde veya izleme aracınızda gelen ağ trafiğini, bağlantı sayısını, CPU ve bellek kullanımını, yanıt sürelerini ve hata oranlarını normal bir dönemle karşılaştırın.Ardından web sunucusunun erişim ve hata günlüklerinde aynı dönemi inceleyin. İsteklerin zamanı, hedef yolu, HTTP yöntemi, durum kodu ve kaynak adresi yararlıdır. Bir CDN veya ters vekil kullanıyorsanız onun trafik ve güvenlik kayıtlarına da bakın: Sunucudaki günlükler, sunucuya hiç ulaşmadan engellenen istekleri göstermeyebilir. IP adresleri vekile ait görünüyorsa gerçek ziyaretçi adresinin günlüklere güvenilir vekil yapılandırmasıyla aktarılıp aktarılmadığını kontrol edin; istemciden gelen adres başlıklarına doğrudan güvenmeyin.
Şu ayrım, ilk müdahaleyi seçmenize yardımcı olur:
| Gözlem | Olası durum ve ilk işlem |
|---|---|
| Ağ trafiği veya bağlantılar çok yüksek, siteye erişim zor | Ağ katmanı yoğunluğu olabilir; sağlayıcıdan hat ve filtreleme ölçümlerini isteyin. |
| Belirli bir yola HTTP istekleri ve sunucu yükü artıyor | Uygulama hedefleniyor olabilir; yolu ve istek örüntüsünü inceleyip hedefli kural uygulayın. |
| Trafik normal, uygulama veya veritabanı hata veriyor | Uygulama arızası veya kaynak sorunu olabilir; hata kayıtlarını ve son değişiklikleri inceleyin. |
Şüpheli isteklere hedefli koruma uygulayın
Önce varsa CDN veya DDoS koruma sağlayıcınızın yönetim panelinde ilgili alan adını seçin. Trafik analizi ve güvenlik olaylarında sorunlu saat aralığını açın; yoğunlaşan yol, yöntem, istek hızı ve uygulanan engelleme işlemlerini inceleyin. Koruma özelliklerinin ve filtre seçeneklerinin kullanılabilirliği sağlayıcıya ve hizmet planına bağlıdır.Web uygulaması güvenlik duvarı (WAF), HTTP isteklerini belirlenen kurallara göre değerlendirir. Hız sınırı ise belirli bir ölçüte uyan isteklerin belirli sürede ne kadarına izin verileceğini sınırlar. Kural oluştururken şu sırayı izleyin:
- Günlüklerden gerçekten yoğunlaşan yolu ve varsa HTTP yöntemini belirleyin. Örneğin yalnız giriş istekleri etkileniyorsa bütün site yerine giriş yolunu hedefleyin.
- Normal kullanım hızını ve aynı IP'yi paylaşan kullanıcıları dikkate alarak süre ve eşik seçin. Kullanılabiliyorsa önce kayıt veya simülasyon modunda hangi isteklerin eşleşeceğini görün.
- Tarayıcıdan erişilen sayfalarda uygun bir doğrulama adımı veya hız sınırı uygulayın. API ve otomatik istemcilerin tarayıcı doğrulamasını geçemeyebileceğini hesaba katarak onlar için uygun bir işlem seçin.
- Kuralı kaydedip etkinleştirin. Güvenlik olaylarında eşleşen istekleri, sunucuda yükü ve hata oranlarını izleyin; normal bir tarayıcıyla ve varsa API istemcisiyle ilgili işlevi deneyin.
Kaynak sunucuyu ve ağ bağlantısını koruyun
CDN kullanmak tek başına yeterli olmayabilir: Saldırgan kaynak sunucunun doğrudan erişilebilen IP adresini hedeflerse trafik CDN'yi atlayabilir. Koruma sağlayıcısının yönlendirdiği web trafiğinin çalıştığını doğruladıktan sonra, sunucu güvenlik duvarında web portlarına erişimi sağlayıcının güncel IP aralıklarıyla sınırlandırın. Yönetim ve izleme erişimlerini ayrıca planlayın; kuralı kaydetmeden önce kendinizi sunucudan kilitlemeyecek bir erişim yolunuz olduğundan emin olun. Doğrudan hedef alınmış bir kaynak IP için barındırma sağlayıcısından IP değişikliği gerekip gerekmediğini de değerlendirmesini isteyin.
Sunucunun internet bağlantısı saldırı trafiğiyle dolmuşsa sunucuda uygulanacak bir kural, hatta ulaşmış trafiği geri alamaz. Bu durumda barındırma veya ağ sağlayıcınıza olayın başlangıç saatini ve saat dilimini, hedef IP'yi, etkilenen hizmeti, gözlenen trafik ve hata ölçümlerini iletin. Trafiğin ağ seviyesinde incelenmesini ve uygun DDoS filtrelemesinin devreye alınmasını isteyin. CDN kullanıyorsanız koruma sağlayıcısına da olay aralığını ve ilgili güvenlik olaylarını bildirin.
Müdahaleden sonra erişilebilirliği farklı bağlantılardan, hata oranlarını ve normal kullanıcı işlemlerini izleyin. Trafik azaldığında geçici sert kuralları gözden geçirin; gereksiz kısıtlamaları kaldırıp kayıtları güvenli biçimde saklayın. Destekle paylaşacağınız günlüklerden oturum bilgilerini, parolaları ve diğer hassas verileri çıkarın.
Moderatör tarafında düzenlendi:
