Bir VDS sunucunun işlemci ve bellek kaynakları yeterli olsa bile ağ katmanında gerçekleşen yoğun saldırılar hizmetin erişilemez duruma gelmesine neden olabilir. Özellikle Layer 3 ve Layer 4 seviyesinde gerçekleştirilen DDoS saldırıları, doğrudan ağ bağlantısını, paket işleme kapasitesini ve bağlantı tablolarını hedef alır. Bu saldırıların etkisini azaltmak için yalnızca sunucu üzerinde güvenlik duvarı yapılandırmak çoğu zaman yeterli değildir.
Ağ hattı dolduğunda konuk işletim sistemindeki güvenlik duvarı, bağlantı kapasitesini geri kazandıramaz. VDS kiralama öncesinde Verunix VDS altyapısı sayfasında açıklanan ağ seçeneklerini incelerken Layer 3 ve Layer 4 filtrelemenin nerede uygulandığını sağlayıcıdan doğrulayın.
Etkili bir savunma mekanizması, veri merkezi ağından başlayarak sanallaştırma altyapısına ve işletim sistemi seviyesine kadar uzanan birden fazla güvenlik katmanından oluşmalıdır. Saldırı türünün doğru belirlenmesi, hangi trafiğin filtreleneceğini ve hangi noktada müdahale edileceğini anlamak açısından önemlidir.
Layer 3 ve Layer 4 DDoS Saldırıları Nedir?
OSI modelinin üçüncü katmanı olan Layer 3, IP paketlerinin yönlendirilmesinden sorumludur. Bu seviyedeki saldırılar genellikle yüksek hacimli paket trafiği oluşturarak ağ bağlantısının kapasitesini tüketmeyi veya yönlendirme altyapısında aşırı yük meydana getirmeyi amaçlar. ICMP Flood ve IP parçalama mekanizmalarını kötüye kullanan saldırılar bu kategoride değerlendirilebilir.
Layer 4 ise TCP ve UDP gibi taşıma katmanı protokollerini kapsar. Bu katmana yönelik saldırılar, sunucunun bağlantı yönetimini veya paket işleme kapasitesini zorlayabilir. SYN Flood, UDP Flood ve TCP bağlantı tablolarını tüketmeye yönelik yöntemler yaygın örnekler arasındadır.
SYN Flood Saldırıları
TCP bağlantısı kurulurken istemci ile sunucu arasında üç aşamalı bir el sıkışma işlemi gerçekleştirilir. SYN Flood saldırılarında hedefe çok sayıda SYN paketi gönderilerek sunucunun yarı açık bağlantı kaynaklarının tüketilmesi amaçlanır. Özellikle kaynak IP adreslerinin sahte olarak kullanıldığı saldırılarda bağlantıların tamamlanmaması, meşru kullanıcıların bağlantı kurmasını zorlaştırabilir.
UDP Flood Saldırıları
UDP bağlantısız bir protokol olduğundan TCP'deki gibi bir bağlantı kurulum sürecine ihtiyaç duymaz. Saldırganlar belirli veya rastgele portlara yoğun UDP paketleri göndererek sunucunun ağ işleme kapasitesini tüketmeye çalışabilir. Oyun sunucuları, DNS servisleri ve gerçek zamanlı iletişim uygulamaları bu tür trafik yoğunluklarından etkilenebilir.
Sunucu Güvenlik Duvarı ile Trafik Filtreleme
Linux tabanlı VDS sistemlerinde nftables ve iptables gibi araçlar kullanılarak paket filtreleme kuralları oluşturulabilir. Bu kurallar sayesinde kullanılmayan portlar kapatılabilir, belirli protokoller sınırlandırılabilir ve şüpheli trafik kaynaklarına müdahale edilebilir. Ancak filtreleme işlemlerinin sunucunun kendi kaynaklarını tükettiği unutulmamalıdır.
Örneğin bir web sunucusunda yalnızca gerekli TCP portlarının erişime açık tutulması, gereksiz saldırı yüzeyini azaltır. SSH erişiminin belirli yönetim IP adresleriyle sınırlandırılması da ek güvenlik sağlayabilir. Bununla birlikte güvenlik duvarı kuralları oluşturulurken hizmetin kullandığı UDP portları ve uygulamaya özgü bağlantı ihtiyaçları dikkate alınmalıdır.
Rate Limiting Uygulaması
Rate limiting, belirli bir zaman aralığında kabul edilen paket veya bağlantı sayısını sınırlandırmak için kullanılır. Özellikle SYN paketleri, ICMP trafiği ve yeni bağlantı girişimleri üzerinde uygun sınırlamalar uygulanabilir. Böylece anormal yoğunluk oluşturan kaynakların sunucu üzerindeki etkisi azaltılabilir.
Ancak sabit ve düşük limitlerin kullanılması meşru kullanıcıları da olumsuz etkileyebilir. NAT arkasında bulunan çok sayıda kullanıcının aynı IP adresinden bağlantı kurması veya oyun sunucularında ani oyuncu yoğunluğu yaşanması buna örnektir. Bu nedenle eşik değerleri gerçek trafik ölçümlerine göre belirlenmelidir.
TCP SYN Cookies ve Bağlantı Yönetimi
Linux çekirdeğinde bulunan SYN Cookies mekanizması, SYN Flood saldırılarına karşı kullanılabilen koruma yöntemlerinden biridir. Bu özellik, SYN kuyruğunun baskı altında kaldığı durumlarda bağlantı durumunun tutulmasına yönelik ihtiyacı azaltarak meşru TCP bağlantılarının kurulmasına yardımcı olabilir.
SYN Cookies desteği Linux sistemlerinde net.ipv4.tcp_syncookies parametresi üzerinden kontrol edilebilir. Bununla birlikte bu mekanizma ağ bant genişliğini tüketen saldırıları durdurmaz. Yalnızca TCP bağlantı kurulumu sırasında oluşan belirli kaynak tüketimi problemlerine karşı koruma sağlar.
Connection Tracking Tablosunun Korunması
Linux güvenlik duvarlarında kullanılan conntrack mekanizması, ağ bağlantılarının durumunu takip eder. Yüksek paket hızına sahip saldırılarda bağlantı takip tablosunun dolması, yeni bağlantıların işlenmesini zorlaştırabilir. Bu durum özellikle çok sayıda kısa süreli bağlantı veya farklı kaynak ve hedef kombinasyonları içeren saldırılarda ortaya çıkabilir.
Conntrack kapasitesinin artırılması bazı senaryolarda faydalı olsa da tek başına yeterli bir savunma yöntemi değildir. Gereksiz bağlantı takibinin azaltılması, uygun zaman aşımı değerlerinin kullanılması ve belirli trafik türlerinin erken aşamada filtrelenmesi daha dengeli sonuçlar sağlayabilir. Yapılandırma değişiklikleri yapılırken sunucunun bellek kapasitesi de değerlendirilmelidir.
Veri Merkezi Seviyesinde DDoS Filtrelemenin Önemi
Sunucu üzerinde uygulanan filtreleme, saldırı trafiği fiziksel bağlantıyı doldurduğunda etkisini kaybedebilir. Örneğin 1 Gbps bağlantı kapasitesine sahip bir sistemin 10 Gbps hacminde saldırıya maruz kalması durumunda paketler işletim sistemine ulaşmadan önce ağ bağlantısında darboğaz oluşabilir. Bu nedenle yüksek hacimli saldırıların sunucuya ulaşmadan önce filtrelenmesi gerekir.
Veri merkezi tarafında kullanılan DDoS koruma sistemleri, yönlendiriciler ve trafik temizleme altyapıları aracılığıyla zararlı paketleri ağın daha üst noktalarında ayıklayabilir. BGP tabanlı yönlendirme, trafik temizleme merkezleri ve operatör seviyesinde filtreleme bu yaklaşımın parçalarıdır. Gerektiğinde kullanılan RTBH yöntemi hedef IP adresine yönelik trafiği tamamen düşürebildiğinden hizmet erişilebilirliğini korumak için tek başına uygun değildir.
XDP ve eBPF ile Erken Paket Filtreleme
Linux sistemlerinde XDP (eXpress Data Path), uygun sürücü ve ağ yapılandırmalarında paketleri ağ işleme sürecinin erken aşamalarında değerlendirmeye olanak tanır. eBPF tabanlı filtreler sayesinde belirli trafik özelliklerine uyan paketler, standart ağ yığınının sonraki aşamalarına ulaşmadan düşürülebilir. Bu yaklaşım özellikle yüksek paket/saniye değerlerine sahip saldırılarda işlem yükünü azaltabilir.
Bununla birlikte sanallaştırılmış ortamlarda XDP desteği kullanılan sanal ağ sürücüsüne ve hypervisor yapılandırmasına bağlıdır. Her VDS üzerinde aynı performansın elde edilmesi beklenmemelidir. Ayrıca hatalı hazırlanmış filtrelerin meşru trafiği engelleyebileceği göz önünde bulundurulmalıdır.
Saldırı Tespiti İçin Ağ Trafiğinin İzlenmesi
DDoS saldırılarına müdahale edebilmek için trafik davranışının düzenli olarak analiz edilmesi gerekir. Yalnızca bant genişliğini izlemek yeterli değildir; paket/saniye (PPS), bağlantı/saniye (CPS), TCP bayraklarının dağılımı ve protokol bazlı trafik miktarları da değerlendirilmelidir. Özellikle küçük paketlerden oluşan saldırılar, düşük bant genişliği tüketmesine rağmen yüksek PPS nedeniyle sistem kaynaklarını zorlayabilir.
NetFlow, sFlow ve benzeri akış verileri ağ trafiğinin genel özelliklerini ortaya koyabilir. Sunucu tarafında ise tcpdump, iproute2 araçları ve güvenlik duvarı sayaçları kullanılarak daha ayrıntılı inceleme yapılabilir. Normal trafik davranışının önceden ölçülmesi, saldırı sırasında oluşan sapmaların belirlenmesini kolaylaştırır.
Katmanlı Savunma Yapısının Sürdürülebilirliği
Layer 3 ve Layer 4 saldırılarına karşı sürdürülebilir koruma, tek bir güvenlik kuralına veya yazılıma bağlı olmamalıdır. Operatör seviyesinde trafik filtreleme, işletim sistemi güvenlik duvarı, bağlantı yönetimi ve sürekli izleme mekanizmaları birlikte çalışmalıdır. Her katman farklı saldırı özelliklerini hedeflediğinden birbirini tamamlayan bir yapı oluşturur.
Koruma kurallarının düzenli olarak gözden geçirilmesi de en az ilk yapılandırma kadar önemlidir. Trafik alışkanlıkları değiştikçe daha önce belirlenen limitler yetersiz kalabilir veya normal kullanıcı bağlantılarını engelleyebilir. Gerçek trafik verilerine dayanan, test edilmiş ve gerektiğinde güncellenebilen filtreleme politikaları, hizmet sürekliliğinin korunmasında temel rol oynar.
