DDoS Saldırı Türleri: Volumetric, Protocol ve L7 Anatomisi

"Sunucu ayakta ama site açılmıyor" dendiğinde aklınıza DDoS gelmeli. Peki hangi DDoS? Volumetric mı, Protocol mu, yoksa Layer 7 mi? 3 ana saldırı türünün teknik anatomisi, gerçek log örnekleri ve pratik savunma konfigürasyonlarıyla kapsamlı rehber.

Bir DDoS saldırısını hâlâ “siteye çok trafik gelir ve çöker” diye özetleyenler, yalnızca ekranın sonuç kısmını görmüş demektir. Gerçekte DDoS; ağ mimarisi, TCP/IP davranışları, uygulama mantığı ve sistem kaynak yönetimi üzerinden yürüyen çok katmanlı bir yıpratma savaşıdır.

Türkiye’de son yıllarda bankalar, e-devlet servisleri, e-ticaret altyapıları ve SaaS platformları, bu saldırı türlerinin her biriyle karşılaştı. Bazıları dakikalarca sürer, bazıları günlerce devam eder. Bazıları manşet olur, bazıları ise yalnızca loglarda iz bırakır.

Bu makalede DDoS’u güncel saldırı teknikleri ve savunma gerçekleriyle, üç ana başlık altında derinlemesine inceliyoruz.

1️⃣ Volumetric Attacks – Bant Genişliğini Tüketme

Temel hedef: Sunucuya ulaşmak değil, sunucuya giden yolu kapatmak.
Volumetric saldırılar genellikle UDP tabanlıdır, çünkü UDP bağlantısızdır ve saldırgan için maliyeti düşüktür.

Yaygın Volumetric Türler

Türkiye’den örnek:
Orta ölçekli bir ödeme platformu, altyapısı sağlam olmasına rağmen erişilemez hâle gelir. Sunucular ayakta, CPU düşük, disk sağlıklı. Sorun: 100 Mbps uplink hattının saniyede 1.5 Gbps DNS yanıtıyla dolmasıdır.

Savunma:

• CDN ve Anycast altyapısı
• ISP seviye filtreleme
• Trafik temizleme (scrubbing) servisleri

2️⃣ Protocol Attacks – State Tüketimi

Amaç: Bant genişliği değil, state ve sistem kaynakları.
TCP/IP’nin çalışma mantığını hedef alır; firewall, load balancer ve kernel TCP stack kritik noktalardır.

Önemli Protocol Attack Türleri

Teknik Detay – SYN Flood:
Saldırgan yalnızca SYN paketlerini gönderir, TCP handshake tamamlanmaz. Sunucu bellek ayırır, state tutar, yeni bağlantılar drop edilir. Türkiye’de hâlâ yaygın problem: varsayılan backlog değerleri ve SYN cookie kapalı sistemler.

Savunma:

• SYN cookie aktif etme
• Stateful firewall tuning
• TCP backlog ve somaxconn ayarları

3️⃣ Layer 7 (Application Layer) Attacks – Uygulama Mantığını Hedefleme

Amaç: Sunucu değil, uygulama mantığını çökertmek.
IP ve istekler meşru görünür, tespit zor.

Önemli L7 Saldırı Türleri

Türkiye Örneği:
Bir SaaS platformu, API endpoint’lerinde rate limit tanımlamamıştı. Botnet kullanılmadan, birkaç sunucudan sürekli POST istekleri gönderildi. Sistem çökmedi, ancak response time 40 saniyeye çıktı.

Savunma:

• WAF kuralları ve davranış analizi
• Endpoint bazlı rate limiting
• Bot fingerprinting ve CAPTCHA

4️⃣ Gerçek Trafik Log’larıyla DDoS Tespiti

Log analizi, saldırıyı erken fark etmenin anahtarıdır.

• Volumetric: Nginx access log’larında aynı endpoint’e kısa sürede binlerce istek, IP’ler sürekli değişiyor, User-Agent boş veya anlamsız.
• Protocol: Kernel ve firewall log’ları, netstat ile anormal connection state, firewall state table doluluk uyarıları.
• Layer 7: Aynı IP’den düşük hacimli ama sürekli istekler, belirli endpoint’lerde yoğunlaşma, CPU değil thread pool doluyor.

5️⃣ Nginx / Apache / Cloudflare Konfigürasyonları

Nginx:

limit_req_zone $binary_remote_addr zone=one:10m rate=5r/s; server {    location /login {        limit_req zone=one burst=10 nodelay;    } }

Apache:

• mod_reqtimeout
• mod_evasive
• mod_security

Cloudflare:

• Bot Fight Mode
• Rate Limiting Rules
• Managed WAF
• Country / ASN kısıtlamaları

6️⃣ Türkiye’de Sık Yapılan Mimari Hatalar

• “Biz küçük siteyiz, bize saldırmazlar”
• Tek sunucu, tek IP, tek lokasyon
• WAF = Savunma sanrısı
• Log tutulmuyor veya izlenmiyor
• Yasal boyut göz ardı ediliyor

7️⃣ DDoS Türlerinin Teknik Karşılaştırması

8️⃣ Hukuki ve Etik Boyut (Türkiye)

• TCK 243–244: Bilişim sistemini engelleme veya bozma suçtur
• İzinsiz test veya karşı saldırı hukuka aykırıdır
• Kurumsal testler: yazılı izin, log kaydı, zaman ve IP aralığı

🔹 Sonuç

DDoS, tek tip bir saldırı değil, farklı katmanlara yayılan bir strateji kümesidir.
Savunma da çok katmanlı olmalıdır:

• Volumetric: CDN + ISP filtering
• Protocol: TCP tuning + firewall
• Layer 7: WAF, rate limit, davranış analizi

Bir sistem, en zayıf halkası kadar dayanıklıdır. DDoS savunması da öyle.