10 Gbps Hat Bağlantısına Rağmen Web Siteniz Neden Çöküyor? Layer 7 Saldırılarının Gizli Gücü

Akşam 21:00. Sunucunuz 10 Gbps’lik bir porta bağlı, işlemcisi güçlü, belleği bol. Buna rağmen site açılmıyor. Müşteriler “502 Bad Gateway” ekran görüntüleri gönderiyor. Ağ grafiğine baktığınızda ise şaşırtıcı bir tablo görüyorsunuz: Hattın yalnızca 112 Mbps’i kullanılıyor, yani kapasitenin yüzde biri. Ama sunucunun işlemcisi yüzde yüzde, PHP işçilerinin tamamı meşgul ve veritabanı bağlantıları sınıra dayanmış durumda.

Bu tablo, uygulama katmanındaki DDoS saldırılarının, yani Layer 7 saldırılarının tipik görüntüsüdür. Birçok site sahibi ve hatta bazı sistem yöneticileri, DDoS’a karşı korunmanın en iyi yolunun daha geniş bir bağlantı hattı olduğunu düşünür. Hacimsel saldırılar için bu kısmen doğrudur. Layer 7 saldırıları ise bambaşka bir mantıkla çalışır. Hattı doldurmaya hiç çalışmaz, doğrudan sunucunuzun düşünme kapasitesini hedef alırlar.

Bu yazıda bir HTTP isteğinin ağ üzerindeki maliyeti ile sunucudaki maliyeti arasındaki uçurumu sayılarla gösteriyor, sunucunun saldırı altında adım adım nasıl çöktüğünü anlatıyor ve Layer 7 saldırı korumasının bu zinciri nasıl kırdığını açıklıyoruz.

Bant genişliği neyi ölçer, neyi ölçmez?

Bant genişliği, bir bağlantı hattından saniyede ne kadar veri geçebileceğini gösterir. 10 Gbps, saniyede 10 gigabit, yani yaklaşık 1,25 gigabayt veri demektir. Bu, büyük bir dosyayı indirmek ya da binlerce kişiye aynı anda video yayını yapmak için muazzam bir kapasitedir.

Bir benzetmeyle düşünelim: Bant genişliği, sunucunuza giden otoyolun şerit sayısıdır. 10 Gbps’lik bir hat, onlarca şeritli dev bir otoyol gibidir. Ancak otoyolun sonunda tek bir gişe varsa ve her araç gişede uzun bir işlemden geçmek zorundaysa, şerit sayısının bir önemi kalmaz. Gişenin önünde kuyruk oluşur ve otoyol ne kadar geniş olursa olsun trafik durur.

Web sunucunuzun gişesi; işlemcisi, belleği, PHP işçileri ve veritabanıdır. Layer 7 saldırıları otoyolu doldurmaz. Gişeye, her biri uzun işlem gerektiren yüz binlerce araç gönderir. Otoyolu dolduran hacimsel saldırılar ise ağ katmanında durdurulur; iki saldırı türünün hangi katmanda gerçekleştiğini ve hangi korumayla durduğunu firewall ve WAF farkını anlattığımız yazıda inceledik.

Layer 7 saldırısı nedir? Küçük istekler, büyük yük

Layer 7 saldırısı, OSI modelinin yedinci katmanı olan uygulama katmanını, yani web sitenizin kendisini hedef alan bir DDoS türüdür. En yaygın biçimi HTTP flood’dur: Binlerce bot, sitenize gerçek bir ziyaretçinin göndereceği türden HTTP istekleri gönderir. Bu isteklerin her biri teknik olarak geçerlidir. Bağlantı kurallara uygundur, adres doğrudur, istek biçimi kusursuzdur. Fark, bu isteklerin sayısında ve amacındadır.

Bir isteğin ağ maliyeti ile sunucu maliyeti arasındaki uçurum

Bir HTTP isteği, başlıkları ve çerezleriyle birlikte ortalama 700 bayt civarındadır. Saniyede 20.000 istek gönderen bir saldırıyı düşünelim:

• Ağdaki maliyet: 20.000 istek × 700 bayt = saniyede 14 MB, yani yaklaşık 112 Mbps. Bu, 10 Gbps’lik hattın yüzde 1,1’idir. Ağ açısından neredeyse fark edilmeyecek bir trafiktir.
• Sunucudaki maliyet: Önbelleğe alınmamış dinamik bir sayfanın, örneğin bir arama sonucunun ya da bir ürün filtresinin, oluşturulması 150 milisaniye işlemci zamanı alıyorsa, tek bir işlemci çekirdeği saniyede yaklaşık 6-7 böyle isteği karşılayabilir. 8 çekirdekli bir sunucu, saniyede kabaca 53 dinamik isteği işleyebilir.

Sonuç çarpıcıdır: Saldırı, hattın yüzde birini kullanırken sunucunun kapasitesinin 370 katından fazla iş yükü getirir. Sunucunuzu çökertmek için hattınızı doldurmaya gerek yoktur. Gişeyi kilitlemek yeterlidir.

Ölçüt	Saldırı trafiği	Altyapının kapasitesi	Doluluk
Bant genişliği	112 Mbps	10.000 Mbps	Yaklaşık %1
Dinamik istek işleme	20.000 istek/sn	Yaklaşık 53 istek/sn (8 çekirdek)	370 kattan fazla
PHP işçileri	Tamamı meşgul	Sınırlı sayıda	%100
Veritabanı bağlantıları	Kuyrukta bekleyen sorgular	Tanımlı üst sınır	Sınırda

Bir kampanya gecesinin kayıtları: Saldırı nasıl gelişir?

Sayıların gerçek hayatta nasıl göründüğünü anlamak için bir e-ticaret sitesinin kampanya gecesini dakika dakika izleyelim. Rakamlar örnek amaçlıdır, ancak bu tür saldırılarda sık görülen bir seyri yansıtır.

• 20:55 · Kampanya e-postası gönderilmiş, site saniyede yaklaşık 300 istekle sorunsuz çalışıyor. İşlemci yüzde 40’ta, hat kullanımı 60 Mbps.
• 21:02 · İstek sayısı birkaç dakika içinde saniyede 18.000’e çıkıyor. Hat kullanımı yalnızca 140 Mbps’e yükseliyor, ağ ekibinin grafiklerinde alarm verecek bir şey yok. İşlemci ise yüzde 100’e dayanıyor.
• 21:05 · PHP işçilerinin tamamı meşgul. Gerçek müşterilerin sepete ekleme istekleri 30 saniyelik zaman aşımına takılıyor, ödeme sayfası açılmıyor.
• 21:15 · Site yöneticisi web sunucusunu ve veritabanını yeniden başlatıyor. Site 20 saniye boyunca açılıyor, ardından aynı noktaya dönüyor.
• 21:30 · Kayıtlar inceleniyor: İsteklerin büyük kısmı site içi arama sayfasına, her seferinde farklı bir kelimeyle geliyor. İstekler 9.000’den fazla farklı IP adresinden gönderiliyor, hiçbir adres dakikada birkaç istekten fazlasını göndermiyor.
• 21:40 · Alan adının trafiği Layer 7 koruma altyapısına yönlendiriliyor.
• 22:00 · Koruma devrede. Saldırı hâlâ sürüyor, ancak sunucuya ulaşan trafik saniyede yaklaşık 320 isteğe, yani gerçek ziyaretçi seviyesine iniyor. İşlemci yüzde 35’e düşüyor, siparişler yeniden gelmeye başlıyor.

Bu zaman çizelgesindeki en pahalı kalem saldırının kendisi değil, korumanın kampanyadan önce değil saldırı başladıktan sonra devreye alınmasıdır. Kampanyanın en değerli bir saati, sunucuya ulaşmaması gereken isteklerle geçmiştir.

Saldırganlar sitenizin en pahalı sayfalarını nasıl bulur?

Tecrübeli bir saldırgan, rastgele sayfalara istek göndermez. Önce sitenizi tarar ve hangi sayfaların sunucuyu en çok yorduğunu bulur. Bunun için karmaşık araçlara da ihtiyaç duymaz. Farklı sayfalara istek gönderip yanıt sürelerini ölçmek, hangi adreslerin pahalı olduğunu kolayca ortaya koyar.

Hedef	Neden pahalı?	Önbellek çözer mi?
Site içi arama	Her arama kelimesi için yeni veritabanı sorgusu	Hayır, kelimeler sonsuz çeşitlilikte
Ürün filtreleri ve sıralama	Çok sayıda parametreyle karmaşık sorgular	Kısmen, kombinasyonlar çok fazla
Sepet ve ödeme sayfaları	Kişiye özel, her istekte yeniden hesaplanır	Hayır
Giriş ve kayıt sayfaları	Parola karşılaştırması işlemci yoğun bir işlemdir	Hayır
Sayfa sonu numaraları	Derin sayfalarda ağırlaşan sorgular	Kısmen
API uç noktaları	Veritabanına doğrudan bağlanan çağrılar	Çoğu zaman hayır
Önbellek atlatılmış sayfalar	Adrese eklenen rastgele bir parametre	Hayır, her istek yeni görünür

Son satır özellikle önemlidir. Sayfa önbelleği kullanan bir sitede bile saldırgan, adresin sonuna ?v=839201 gibi her seferinde değişen bir parametre ekleyerek önbelleği devre dışı bırakabilir. Önbellek sistemi her isteği yeni bir sayfa olarak görür ve sunucudan yeniden oluşturmasını ister.

Layer 7 saldırı türleri

Uygulama katmanı saldırıları tek bir yöntemden ibaret değildir. Saldırganlar hedefe ve korumaya göre farklı teknikleri bir arada kullanır.

GET flood

En yaygın türdür. Botlar, belirli sayfalara ya da sitenin tamamına yoğun sayfa görüntüleme istekleri gönderir. Hedef genellikle dinamik ve önbelleğe alınmamış sayfalardır.

POST flood

Form gönderimini taklit eden isteklerdir. İletişim formları, arama kutuları ve giriş sayfaları hedef alınır. POST istekleri genellikle önbelleğe alınmadığı ve sunucuda veri işlemeyi tetiklediği için GET isteklerinden daha ağırdır.

Önbellek atlatma

Yukarıda anlattığımız rastgele parametre tekniğidir. Önbelleği olan siteleri hedef alırken saldırganın en sevdiği yöntemdir.

Yavaş saldırılar

Slowloris gibi yöntemlerde saldırgan çok sayıda bağlantı açar ve isteklerini olabildiğince yavaş gönderir. Her birkaç saniyede bir başlık satırı ekleyerek bağlantıyı açık tutar. Web sunucusunun aynı anda tutabileceği bağlantı sayısı sınırlı olduğundan, bu yarım kalmış bağlantılar gerçek ziyaretçilere yer bırakmaz. Bu saldırılar çok az trafikle büyük etki yaratır.

HTTPS ve TLS el sıkışma yükü

Şifreli bir bağlantının kurulması, sunucu için işlemci yoğun bir işlemdir. Her istekte yeni bağlantı açan bir saldırı, sayfa oluşturmadan önce bile sunucuyu şifreleme hesaplamalarıyla meşgul eder.

HTTP/2’ye özgü saldırılar

HTTP/2 protokolü, tek bir bağlantı üzerinden çok sayıda isteğin paralel gönderilmesine izin verir. Ekim 2023’te kamuoyuna duyurulan HTTP/2 Rapid Reset açığı, bu özelliğin kötüye kullanılmasıyla saniyede yüz milyonlarca isteğe ulaşan rekor büyüklükte saldırıların yapılmasına imkân verdi. Bu örnek, Layer 7 saldırılarının boyutunun artık bant genişliğiyle değil, istek sayısıyla ölçüldüğünü açıkça gösterdi.

Giriş sayfası ve API saldırıları

Kimlik bilgisi doldurma saldırıları da bir tür Layer 7 yüküdür. Sızdırılmış parola listeleri giriş sayfasında denenirken her deneme, parolanın güvenli şekilde karşılaştırılması için sunucuda kasıtlı olarak yavaş tasarlanmış bir işlemi tetikler. Mobil uygulamaların API’leri de benzer şekilde yoğun çağrılarla hedef alınabilir.

Sunucu saldırı altında adım adım nasıl çöker?

Bir Layer 7 saldırısı sunucuyu tek bir anda değil, birbirini tetikleyen bir zincirle çökertir. Bu zinciri bilmek, saldırı anında neyle karşı karşıya olduğunuzu anlamanızı sağlar:

1. Bağlantı havuzu dolar. Web sunucusu (Nginx, Apache veya LiteSpeed) aynı anda belirli sayıda bağlantıyı işleyebilir. Saldırı bağlantıları bu havuzu doldurdukça yeni bağlantılar beklemeye başlar.
2. PHP işçileri tükenir. Dinamik sayfaları oluşturan PHP-FPM işçilerinin sayısı sınırlıdır. Hepsi saldırı isteklerini işlemekle meşgul olduğunda gerçek ziyaretçilerin istekleri kuyruğa girer.
3. Veritabanı tıkanır. Her işçi veritabanına sorgu gönderir. Bağlantı sınırına ulaşan veritabanı yeni sorguları reddeder ya da bekletir. Kilitlenen tablolar diğer sorguları da yavaşlatır.
4. Bellek biter, takas başlar. Artan işçi ve sorgu sayısı belleği doldurur. Sistem diske takas yapmaya başladığında her şey katlanarak yavaşlar. Bellek tamamen biterse işletim sistemi en çok bellek kullanan süreci, çoğu zaman veritabanını, sonlandırır.
5. Zaman aşımları ve hata sayfaları gelir. Kuyrukta bekleyen istekler zaman aşımına uğrar. Ziyaretçiler 502, 503 veya 504 hatası görür.
6. Yeniden başlatmak işe yaramaz. Sunucuyu ya da servisleri yeniden başlatmak birkaç saniyelik bir rahatlama sağlar. Saldırı devam ettiği sürece kaynaklar yeniden dolar, sistem aynı noktaya döner.

Saldırının arkasındaki altyapı: Bu kadar istek nereden geliyor?

Saniyede on binlerce istek gönderebilmek için saldırganın on binlerce bilgisayarı olması gerekmez. Bugün Layer 7 saldırılarında kullanılan kaynakların büyük kısmı başkalarına aittir.

• Ele geçirilmiş cihazlar: Güvenlik kameraları, modemler ve akıllı ev cihazları gibi güncellenmeyen ve varsayılan parolalarla bırakılan milyonlarca cihaz, bot ağlarının parçası haline gelir. Sahipleri çoğu zaman cihazlarının bir saldırıya katıldığını bilmez.
• Ele geçirilmiş sunucular: Güvenliği zayıf bulut sunucuları ve web siteleri de bot ağlarına eklenir. Bir sunucunun işlem gücü, onlarca ev cihazına bedeldir.
• Ev internet vekil sunucu ağları: Bazı hizmetler, gerçek ev internet bağlantılarını vekil sunucu olarak kiralar. Bu bağlantılardan gelen istekler, gerçek müşterilerinizle aynı internet servis sağlayıcılarından geliyormuş gibi görünür.
• Kiralık saldırı hizmetleri: “Stres testi” adı altında pazarlanan kiralık DDoS hizmetleri, teknik bilgisi olmayan kişilerin bile birkaç dolara saldırı başlatabilmesini sağlar.

Bu tablo, IP adresi engellemenin neden yetersiz kaldığını açıklar. Saldırı binlerce farklı adresten gelir, adresler sürekli değişir ve bu adreslerin bir kısmı gerçek müşterilerinizle aynı ağları paylaşır. Etkili bir savunma, isteğin nereden geldiğine değil, nasıl davrandığına bakmak zorundadır. Ayrıca belirtelim: Türkiye’de bir bilişim sisteminin işleyişini engellemek ve bozmak Türk Ceza Kanunu kapsamında suçtur. Saldırıya uğradığınızda kayıtlarınızı saklamak, gerektiğinde hukuki süreç başlatmanız için de önemlidir.

Neden daha geniş hat ya da daha büyük sunucu çözüm değil?

Saldırı altındaki bir site sahibinin ilk refleksi genellikle kaynak artırmaktır: Daha geniş bir hat, daha fazla işlemci, daha fazla bellek. Bu önlemler normal trafik artışları için doğrudur, ancak Layer 7 saldırılarında beklenen etkiyi yaratmaz.

Sorun ekonomiktir. Sunucunuzun kapasitesini iki katına çıkarmak, maliyetinizi kabaca iki katına çıkarır. Saldırganın saldırısını iki katına çıkarması ise çoğu zaman birkaç tıklamadır. Kiralık bot ağları ve ev internet bağlantılarından oluşan vekil sunucu ağları, saldırganlara düşük maliyetle muazzam bir istek kapasitesi sunar. Kaynak yarışında savunan taraf her zaman dezavantajlıdır.

Önlem	Faydası	Layer 7 saldırısındaki sınırı
Daha geniş bant genişliği	Hacimsel saldırılara karşı dayanıklılık	Layer 7 saldırısı hattı zaten doldurmaz
Daha güçlü sunucu	Normal trafik artışlarını karşılar	Saldırgan istek sayısını daha ucuza artırır
Sayfa önbelleği ve CDN	Statik ve önbelleklenebilir sayfaları hızlandırır	Arama, sepet ve rastgele parametreli istekler atlatır
Sunucu tarafı hız sınırı	Tek kaynaktan gelen yoğunluğu keser	Sunucunun kendi kaynağını tüketir, dağıtık saldırıda yetersiz
Uzaktan Layer 7 koruma	Saldırı trafiğini sunucuya ulaşmadan süzer	Doğru yapılandırma ve kaynak sunucunun kilitlenmesi gerekir

Tablo bir şeyi daha gösteriyor: Hattı dolduran hacimsel saldırılar ile sunucuyu yoran Layer 7 saldırıları farklı katmanlarda durdurulur. Hacimsel saldırılar için ağ seviyesinde koruma sunan bir altyapı gerekir; DDoS korumalı VDS bu katmanı karşılar, Layer 7 koruma ise üzerine uygulama katmanında ikinci bir kalkan ekler. Paylaşımlı hosting kullanıyorsanız tablo daha da ağırlaşır: Paylaşımlı hostingde tek bir sitenin aldığı Layer 7 saldırısı aynı sunucudaki diğer siteleri de yavaşlatır.

Sunucu tarafı önlemlerin sınırı

Nginx kullanan bir sunucuda belirli adreslere hız sınırı koymak mümkündür. Örneğin site içi arama için kaynak başına saniyede beş istek sınırı şu şekilde tanımlanabilir:

limit_req_zone $binary_remote_addr zone=arama:10m rate=5r/s;

location /arama {
    limit_req zone=arama burst=10 nodelay;
}

Bu tür ayarlar tek bir adresten gelen yoğunluğa karşı faydalıdır ve iyi bir temel önlemdir. Ancak iki önemli sınırı vardır. Birincisi, bu kontrol sunucunun kendisinde çalışır. Saldırı trafiği yine sunucuya ulaşır, bağlantı kurar ve işlemci tüketir. İkincisi, IP adresi bazlıdır. On bin farklı adresten saniyede ikişer istek gönderen bir saldırı, hiçbir adres için sınırı aşmadan saniyede 20.000 isteğe ulaşır.

Önbellek doğru kurgulanırsa ne kadar yardımcı olur?

Önbelleği hafife almamak gerekir. Dinamik olarak oluşturulması 150 milisaniye süren bir sayfa, önbellekten 2 milisaniyede sunulabilir. Bu, aynı sunucunun önbelleğe alınabilen sayfalar için 75 kat daha fazla istek karşılayabilmesi demektir. Ana sayfa, kategori ve ürün sayfaları gibi herkese aynı görünen sayfalar için tam sayfa önbelleği, hem normal günlerde hem de saldırı anında sunucuya büyük bir pay bırakır.

Ancak önbelleğin etkili olması için birkaç kurala dikkat etmek gerekir. Pazarlama araçlarının eklediği takip parametreleri ve anlamsız sorgu ifadeleri önbellek anahtarından çıkarılmalıdır. Aksi halde her farklı parametre yeni bir sayfa gibi işlenir. Arama ve filtre sayfaları için kısa süreli önbellek bile, aynı kelimeyle tekrar tekrar yapılan isteklerin yükünü azaltır. Yine de önbellek bir koruma katmanı değil, bir verimlilik katmanıdır. Saldırganın önbelleği atlatmak için kullandığı yöntemleri ayırt etmek ve bu istekleri sunucuya ulaşmadan durdurmak, Layer 7 korumanın işidir.

Layer 7 DDoS koruması nasıl çalışır?

Layer 7 DDoS koruması, sunucunuzun önünde duran ve gelen istekleri sunucuya ulaşmadan inceleyen bir katmandır. Trafik alan adınızın DNS ayarlarıyla koruma altyapısına yönlendirilir; bu mimarinin dayandığı WAF’ın temel çalışma mantığını ayrı bir yazıda anlattık. Koruma, her isteği birkaç farklı açıdan değerlendirir.

İstek analizi

İsteğin adresi, parametreleri, başlıkları ve biçimi incelenir. Gerçek tarayıcıların gönderdiği isteklerle saldırı araçlarının ürettiği istekler arasında çoğu zaman ince ama tutarlı farklar bulunur. Başlıkların sırası, eksik alanlar ya da tutarsız tarayıcı bilgileri şüphe işaretidir.

Hız ve davranış analizi

Yalnızca tek bir adresin istek sayısına değil, isteklerin genel desenine bakılır. Aynı sayfaya binlerce farklı kaynaktan aynı anda gelen istekler, insan davranışına uymayan gezinme sıraları ve saniyeler içinde yüzlerce sayfa açan oturumlar tespit edilir.

Bot doğrulama

Şüpheli görülen ziyaretçilere bir doğrulama uygulanır. Gerçek tarayıcılar bu doğrulamayı arka planda, kullanıcının fark etmeyeceği kadar kısa sürede tamamlar. Saldırı araçlarının büyük kısmı ise tamamlayamaz ve istekleri sunucuya ulaşmadan reddedilir. Bu yöntem, IP adresi ne olursa olsun davranışa göre karar verdiği için dağıtık saldırılara karşı etkilidir.

Kaynak itibarı

Daha önce saldırılarda kullanıldığı bilinen adreslerden ve ağlardan gelen trafik daha sıkı denetlenir.

Koruma modları

Korumanın ne zaman devrede olacağı da önemlidir. Önem Bilişim’in hizmetinde Sensör Mod, trafiği izler ve saldırı algılandığında doğrulama mekanizmalarını devreye alır. Saldırı yokken ziyaretçileriniz hiçbir ek adımla karşılaşmaz. Sık hedef alınan siteler için 7/24 Mod ise trafiği sürekli olarak denetler. Her iki mod da Önem Bilişim Layer 7 güvenlik altyapısı üzerinde, kontrol panelinden destek beklemeden yönetilir.

Saldırıyı erken fark etmek: İzlenmesi gereken beş metrik

Layer 7 saldırıları bant genişliği grafiklerinde görünmediği için, birçok site sahibi saldırıyı müşteri şikâyetleriyle öğrenir. Oysa doğru metrikler izlendiğinde saldırı ilk dakikalarda fark edilebilir:

• Saniyedeki istek sayısı: Sitenizin normal günlerde ve kampanya saatlerinde saniyede kaç istek aldığını bilin. Normalin birkaç katına çıkan ve gerçek ziyaretçi verilerinizle (örneğin analitik aracındaki anlık kullanıcı sayısıyla) uyuşmayan bir artış, en erken uyarıdır.
• Sunucu yanıt süresi: Bir sayfanın ilk baytının ne kadar sürede geldiği, sunucunun ne kadar zorlandığını doğrudan gösterir. Yanıt süresinin birkaç saniyeye çıkması, kuyruk oluşmaya başladığının işaretidir.
• 5xx hata oranı: 502, 503 ve 504 hatalarının toplam istekler içindeki payı. Normalde sıfıra yakın olması gereken bu oranın yükselmesi, kaynakların tükendiğini gösterir.
• Aktif PHP işçisi sayısı: PHP-FPM’in durum sayfası, kaç işçinin meşgul olduğunu ve kuyrukta bekleyen istek sayısını gösterir. Tüm işçilerin sürekli meşgul olması, zincirin ikinci halkasının koptuğunu gösterir.
• Veritabanı bağlantı sayısı: Açık bağlantıların izin verilen üst sınıra yaklaşması, çöküşün yakın olduğunu haber verir.

Bu metrikler için eşik değerleri belirleyip aşıldığında size bildirim gönderen basit bir izleme sistemi kurmak, saldırıyla müşterilerinizden önce yüzleşmenizi sağlar.

Saldırı anında ilk 30 dakika: Adım adım müdahale

Saldırı başladığında panikle yapılan hareketler çoğu zaman durumu kötüleştirir. Aşağıdaki sıra, durumu kontrol altına almanıza yardımcı olur.

1. Saldırının katmanını doğrulayın. Ağ grafiğinde hat doluysa sorun hacimsel olabilir. Hat rahatken sunucu kaynakları sınırdaysa büyük olasılıkla Layer 7 saldırısıyla karşı karşıyasınızdır.
2. Kayıtlara bakın. Erişim kayıtlarında en çok istek gönderen adresleri ve en çok istenen sayfaları bulun. Aşağıdaki komutlar Nginx ve Apache’nin varsayılan kayıt biçiminde çalışır.
3. Geçici önlemleri devreye alın. Hedeflenen adres belirginse (örneğin site içi arama), o özelliği geçici olarak kapatmak sunucuya nefes aldırabilir.
4. Doğru hata kodunu verin. Siteyi geçici olarak bakım moduna alacaksanız ziyaretçilere ve arama motorlarına 503 kodunu, mümkünse bir Retry-After başlığıyla birlikte gösterin. Bu, arama motorlarına durumun geçici olduğunu bildirir.
5. Servisleri tekrar tekrar yeniden başlatmayın. Saldırı devam ederken yapılan yeniden başlatmalar kalıcı çözüm getirmez, kayıtların incelenmesini de zorlaştırır.
6. Sağlayıcınızla iletişime geçin ve korumayı devreye alın. Önem Bilişim’de saldırı altındaki siteler için 2 günlük acil koruma paketi bulunur. Bu paketle hızla başlayıp daha sonra aylık korumaya geçebilirsiniz.

# En çok istek gönderen 20 IP adresi
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# En çok istenen 20 adres
awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# Saniye bazında istek yoğunluğu
awk '{print $4}' /var/log/nginx/access.log | cut -d: -f2-4 | sort | uniq -c | sort -rn | head

Saldırı sırasında sitenin arama motorlarındaki görünürlüğünü korumak için neler yapmanız gerektiğini Layer 7 saldırılarının SEO’ya etkisi yazımızda ayrıntılı olarak anlattık.

Saldırı bittikten sonra: Kalıcı önlemler

Bir Layer 7 saldırısı sona erdiğinde en büyük hata, korumayı kaldırıp eski düzene dönmektir. Bir kez hedef alınan siteler, çoğu zaman yeniden hedef alınır. Saldırı sonrasında şu adımları atmanızı öneririz:

• Kaynak sunucunun IP adresini değiştirmeyi değerlendirin. Saldırgan sunucunuzun gerçek adresini öğrendiyse, koruma devreye girdikten sonra bile doğrudan sunucuya saldırabilir. Korumayı aldıktan sonra sunucunun IP adresini değiştirmek ve yeni adresi hiçbir yerde yayımlamamak bu riski ortadan kaldırır.
• Sunucuyu yalnızca koruma altyapısına açın. Web portlarını yalnızca koruma altyapısının IP adreslerinden gelen bağlantılara açmak, korumanın atlatılmasını engeller. VDS kullanıyorsanız bunun için gereken güvenlik duvarı temelini VDS sunucu güvenliği için ilk 5 ayar yazımızda bulabilirsiniz.
• Hedeflenen sayfaları gözden geçirin. Saldırının odaklandığı arama, filtre veya giriş sayfalarının sorgularını optimize edin, gerekirse bu sayfalara özel sınırlar tanımlayın.
• Önbellek stratejinizi güçlendirin. Rastgele parametrelerin önbelleği atlatmasını engelleyecek kurallar tanımlayın.
• İzlemeyi sürekli hale getirin. Sunucu kaynaklarını ve yanıt sürelerini izleyen bir sistem, bir sonraki saldırıyı ilk dakikalarda fark etmenizi sağlar.

Önem Bilişim Layer 7 koruma: Siteniz yerinde kalır, saldırı kapıda kalır

Önem Bilişim’in yaklaşımı, yalnızca geniş bir bant genişliği sunmak değil, web sitenize ulaşan zararlı trafiği uygulama katmanında analiz edip kaynağa ulaşmadan filtrelemektir. Saldırının boyutu ne olursa olsun, sunucunuzun yalnızca gerçek ziyaretçilere hizmet vermesi hedeflenir.

Layer 7 saldırı koruması kapsamında HTTP ve HTTPS flood saldırıları, kötü niyetli botlar ve korumayı atlatma girişimleri koruma altyapısında ayıklanır. Aynı kaynaktan kısa sürede gelen aşırı istekler, tüm paketlerde ücretsiz olarak sunulan rate limit ile sınırlandırılır. Koruma limitsiz trafik ve limitsiz kapasiteyle çalışır, yani saldırının büyüklüğü bir kotaya takılmaz. Altyapı ayrıca ağ katmanındaki (Layer 3/4) hacimsel saldırılara karşı da korumalıdır.

Koruma altındaki siteler için %99 site aktiflik garantisi sunulur. Siteniz mevcut sunucusunda kalır. Koruma genellikle 12 ile 24 saat içinde aktif edilir, saldırı altındaysanız 2 günlük paketle hemen başlayabilirsiniz.

Sık Sorulan Sorular

10 Gbps bağlantı neden Layer 7 saldırısını durduramaz?

Çünkü Layer 7 saldırıları bant genişliğini değil, sunucunun işlem kapasitesini hedef alır. Saniyede 20.000 isteklik bir saldırı, 10 Gbps’lik hattın yalnızca yüzde birini kullanır. Ancak her istek sunucuda işlemci, bellek ve veritabanı kaynağı tükettiği için sunucu, hat dolmadan çok önce kilitlenir.

Layer 7 saldırısı ile hacimsel DDoS saldırısı arasındaki fark nedir?

Hacimsel saldırılar bağlantı hattını yoğun trafikle doldurarak sunucuya giden yolu tıkar ve gigabit cinsinden ölçülür. Layer 7 saldırıları ise normal ziyaretçi gibi görünen HTTP istekleriyle sunucunun kendisini yorar ve saniyedeki istek sayısıyla ölçülür. İki saldırı türü farklı katmanlarda farklı korumalar gerektirir.

HTTP flood saldırısı nasıl önlenir?

Etkili yöntem, istekleri sunucuya ulaşmadan inceleyen bir Layer 7 koruma katmanıdır. Bu katman istek içeriğini, davranış desenlerini ve bot doğrulamasını birlikte kullanarak saldırı trafiğini gerçek ziyaretçilerden ayırır. Sunucu tarafı hız sınırları ve önbellek ise faydalı tamamlayıcı önlemlerdir.

Sunucumu büyütmek saldırıyı çözer mi?

Kalıcı olarak çözmez. Saldırganın istek sayısını artırması, sizin sunucu kapasitenizi artırmanızdan çok daha ucuzdur. Daha güçlü bir sunucu normal trafik artışları için doğru bir yatırımdır, ancak Layer 7 saldırılarında saldırı trafiğini sunucuya ulaşmadan süzen bir koruma gerekir.

Saldırı altındayken koruma ne kadar sürede devreye girer?

Önem Bilişim’in Layer 7 / WAF Koruma hizmetinde koruma genellikle 12 ile 24 saat içinde aktif edilir. Süre, alan adı yönlendirme adımlarının tamamlanmasına bağlıdır. Saldırı altındaki siteler için 2 günlük acil koruma paketiyle hızlı başlangıç yapılabilir.