İnternetin ve bağlantılı sistemlerin hızlı büyümesi iletişim, çalışma ve yaşama biçimimizde devrim yarattı.
Ancak bu artan bağlantı, kötü niyetli aktörlerin yararlanabileceği güvenlik açıklarını da ortaya çıkardı. Siber saldırıların en yaygın ve yıkıcı biçimlerinden biri Hizmet Reddi (DoS) saldırısıdır.
Bu yazıda DoS saldırılarının ne olduğunu, nasıl çalıştığını, tarihsel önemini, nasıl tespit edileceğini, etkilerinin nasıl önlenip azaltılabileceğini inceleyeceğiz.
Hizmet Reddi (DoS) Saldırısı Nedir?
Hizmet Reddi (DoS) saldırısı, kötü niyetli bir aktörün bir bilgisayarı, ağı veya çevrimiçi hizmeti hedeflenen kullanıcılar için kullanılamaz hale getirmeye çalıştığı bir tür siber saldırıdır.
Bu, hedef sistemin aşırı istek, veri veya trafikle aşırı yüklenmesi, dolayısıyla kaynaklarının aşırı yüklenmesi ve meşru kullanıcıların bu sisteme erişmesinin engellenmesiyle gerçekleştirilir.
DoS saldırısının temel amacı kesintidir; saldırganın amacı verileri çalmak veya güvenlik sistemlerini ihlal etmek değil, hedefi çalışmaz hale getirmektir.
Örneğin, bir saldırgan bir web sitesini o kadar çok istekle doldurabilir ki site çok yavaşlayabilir veya tamamen çökebilir, bu da onu normal kullanıcılar için erişilemez hale getirebilir.
DoS Saldırısının Özellikleri:
- Tek Kaynak: Geleneksel DoS saldırıları tek bir bilgisayardan veya IP adresinden başlatılır.
- Kaynak Tükenmesi: Saldırı, bant genişliği, bellek veya CPU işlem gücü gibi sistem kaynaklarını tüketmeyi amaçlamaktadır.
- Geçici Kesinti: Etkiler genellikle geçicidir ve saldırı devam ettiği sürece devam eder.
DoS saldırılarının yürütülmesi genellikle basit olsa da mali kayıplar, itibar kaybı ve operasyonel kesintiler gibi yıkıcı sonuçlara yol açabilir.
Dağıtılmış Hizmet Reddi (DDoS) Saldırısı Nedir?
Dağıtılmış Hizmet Reddi (DDoS) saldırısı, DoS saldırısının gelişmiş ve daha yıkıcı bir versiyonudur.
DoS saldırısı tek bir makineden kaynaklanırken, DDoS saldırısı genellikle saldırgan tarafından kontrol edilen, güvenliği ihlal edilmiş cihazlardan oluşan bir ağ olan botnet aracılığıyla birden fazla kaynaktan başlatılır. DoS ve DDoS arasındaki temel farklar:
- Kaynak: DoS saldırıları tek kaynaktan, DDoS saldırıları ise birçok dağıtılmış kaynaktan gelir.
- Darbe: DDoS saldırılarının hafifletilmesi daha zordur çünkü birden fazla saldırı vektörü ve daha büyük ölçekte saldırı trafiği içerirler.
DDoS saldırıları özellikle etkilidir çünkü takip edilmesi zordur ve büyük ölçekli altyapıları bile etkileyebilir.
Dos ve DDos Arasındaki Fark:
Burada, aralarındaki farkları vurgulayan ayrıntılı bir karşılaştırma tablosu bulunmaktadır. arasında Ve DDoS saldırılar:
| Bakış açısı | DoS (Hizmet Reddi) | DDoS (Dağıtılmış Hizmet Reddi) |
| Tanım | Tek bir kaynağın hedef sistemi aşarak meşru kullanıcıların erişimine kapalı hale getirdiği bir saldırı türüdür. | Birden fazla dağıtılmış kaynağın (genellikle bir botnet) hedefe akın ederek hizmetin kesintiye uğramasına neden olduğu bir saldırı. |
| Saldırı Kaynağı | Tek bir makineden veya IP adresinden kaynaklanır. | Farklı konumlardaki birden fazla makine/cihazdan kaynaklanır. |
| Saldırı Ölçeği | Tek kaynağa dayanılması nedeniyle kapsam ve etki sınırlıdır. | Birden fazla saldırı kaynağının aynı anda çalışması nedeniyle daha büyük ölçekli ve daha yıkıcı. |
| Saldırı Karmaşıklığı | Yürütülmesi nispeten basittir ve hedefi bunaltmak için daha az kaynak gerektirir. | Daha karmaşıktır ve genellikle bir botnet aracılığıyla birden fazla cihazın koordinasyonunu gerektirir. |
| Tespit Zorluğu | Tüm trafik tek bir kaynaktan geldiğinden tespit edilmesi ve engellenmesi daha kolaydır. | Trafiğin çeşitli ve coğrafi olarak dağınık kaynaklardan gelmesi nedeniyle tespit edilmesi ve azaltılması zordur. |
| Kullanılan Araçlar | Ping, hping veya özel komut dosyaları gibi temel araçlar. | Gelişmiş araçlar, botnet’ler (güvenliği ihlal edilmiş IoT cihazları, PC’ler) veya kötü amaçlı yazılım bulaşmış sistemler. |
| Darbe | Tek kaynak bant genişliği veya kaynak kısıtlamaları nedeniyle sınırlı hasar. | Dağıtılmış kaynaklar, büyük ölçekli altyapıyı bile zorlayan devasa trafik oluşturduğundan daha büyük hasar. |
| Azaltma Karmaşıklığı | Güvenlik duvarları, hız sınırlama veya IP engellemeyle etkileri azaltmak daha kolaydır. | Saldırganlar birden fazla IP kullandığından ve geleneksel savunmaları atlamak için trafiği taklit edebildiklerinden bu durumu hafifletmek daha zordur. |
| Hedefe Gecikme | Trafiğin tek bir konumdan gelmesi nedeniyle nispeten daha yüksek gecikme. | Dağıtılmış kaynaklar hedefe daha yakın coğrafi konumlardan saldırabildiğinden gecikme süresi azalır. |
| Saldırı Maliyetleri | Saldırgan için düşük maliyet; minimum kaynak gerektirir. | Saldırgan için yüksek maliyet; büyük ölçekli bir saldırı için bir botnet’in yönetilmesini veya oluşturulmasını gerektirir. |
| Saldırı Türlerine Örnekler | Tek bir makineden başlatılan basit ping seli, SYN seli veya HTTP seli saldırıları. | Büyük ölçekli botnet saldırıları, hacimsel baskınlar veya güçlendirilmiş yansıma saldırıları (örneğin, DNS amplifikasyonu, NTP amplifikasyonu). |
| Takip Kolaylığı | Tüm trafik tek bir kaynaktan geldiğinden saldırganın izini sürmek daha kolaydır. | Trafiğin dağıtılmış ve çoğunlukla güvenliği ihlal edilmiş cihazlardan gelmesi nedeniyle izlenmesi zordur. |
| Kesinti Potansiyeli | Tek kaynak sınırlamaları nedeniyle yüksek kapasiteli sistemlerde sınırlı kesinti. | Büyük işletmelerde ve bulut altyapılarında bile ciddi ve yaygın kesinti potansiyeli. |
| Tarihteki Örnekler | – Ölüm Ping’i: Sistemi çökertecek kadar büyük paketler göndermek. | – Mirai Botnet (2016): DNS sağlayıcısı Dyn’i hedef alan ve Twitter ve Netflix gibi büyük web sitelerini kesintiye uğratan bir DDoS saldırısı. |
DoS Saldırısı Türleri
DoS ve DDoS saldırılarının siber güvenlik alanında uzun bir geçmişi vardır. Yöntemleri gelişse de kalıcı bir tehdit olmaya devam ediyorlar. İşte bazı önemli örnekler:
1. Şirin Saldırısı
Şirin saldırısı, İnternet Kontrol Mesajı Protokolü’nün (ICMP) yayın özelliğinden yararlanır.
Saldırgan, ağın yayın adresine sahte ICMP paketleri göndererek ağdaki tüm cihazların hedefe yanıt yağdırmasına neden olur. Bu, kurbanın IP adresine yönlendirilen yoğun bir trafikle sonuçlanır.
- Darbe: Hedef sistemin güçlendirilmiş trafikle doldurulması.
- Durum: Gelişmiş ağ yapılandırmaları nedeniyle modern sistemlerde büyük ölçüde azaltılmıştır.
2. Ping Seli
Pingflood’da saldırgan hedefe çok sayıda ICMP Yankı İsteği paketi (ping’ler) gönderir.
Hedefin her ping’e yanıt vermesi, kaynakları tüketmesi ve potansiyel olarak hizmet reddine yol açması gerekir.
- Darbe: Yüksek bant genişliği tüketimi.
- Uygulama Kolaylığı: Temel araçları kullanarak başlatmak kolaydır.
3. Ölüm Ping’i
Ölüm Ping’i, hatalı biçimlendirilmiş veya büyük boyutlu paketlerin hedef sisteme gönderilmesini içerir.
Bu paketler, bir IP paketi için izin verilen maksimum boyutu (65.535 bayt) aşarak arabellek taşmalarına ve sistem çökmelerine neden olur.
- Darbe: Sistem kararsızlığı veya çökmeleri.
- Azaltma: Modern sistemler büyük boyutlu paketleri reddedecek şekilde tasarlanmıştır.
4. Yavaş loris
Slowloris, bir web sunucusuna eksik HTTP istekleri gönderen “düşük ve yavaş” bir DoS saldırısıdır.
Sunucu, meşru istekleri işlemek için kaynakları bitene kadar bu bağlantıları açık tutar ve tamamlanmayı bekler.
- Darbe: Yüksek bant genişliği gerektirmeden kaynak tükenmesi.
- Saldırganlara Avantaj: Saldırıyı başlatmak için minimum kaynağa ihtiyaç vardır.
5. Arabellek Taşması Saldırıları
Arabellek taşması saldırısı, sistemin bellek tahsisindeki güvenlik açıklarından yararlanır. Bir program, bellek arabelleğinde işleyebileceğinden daha fazla veri depolamaya çalıştığında, fazla veri bitişik belleğe yayılır ve potansiyel olarak sistemin çökmesine, kararsız davranmasına veya yanıt vermemesine neden olur.
- Darbe: Bu tür bir saldırı, sabit disk alanı, bellek veya CPU zamanı gibi mevcut tüm sistem kaynaklarını tüketerek performansın düşmesine veya sistemin tamamen arızalanmasına neden olabilir.
- Sonuç: Meşru kullanıcılara hizmet reddi.
6. Sel Saldırıları
A sel saldırısı hedefi aşırı miktarda istek, paket veya veriyle bunaltmayı amaçlamaktadır. Trafiğin büyük hacmi hedefin bant genişliğini veya sunucu kapasitesini tüketerek meşru isteklere yanıt vermesini engelliyor. Sel saldırılarının türleri şunları içerir:
- UDP Sel: Rastgele bağlantı noktalarına yüksek miktarda Kullanıcı Datagram Protokolü (UDP) paketi göndererek hedefi sürekli olarak açık bağlantı noktalarını kontrol etmeye ve yanıt vermeye zorlar, böylece kaynakları gereksiz yere tüketir.
- SYN Flood: Çok sayıda SYN isteği göndererek ancak bağlantıyı hiçbir zaman tamamlamayarak TCP anlaşması sürecinden yararlanır, sunucuyu beklemede bırakır ve yeni bağlantıları kabul edemez hale getirir.
- ICMP (Ping) Taşkını: Hedefi ICMP Yankı İsteği (ping) paketleriyle aşırı yükleyerek bant genişliğini ve işlem gücünü tüketir.
- HTTP Taşkını: Hedefin kaynaklarını tüketmek için meşru HTTP isteklerini yüksek frekansta taklit eder.
DoS Saldırısının Belirtileri
Belirtileri genellikle normal ağ tıkanıklığına veya teknik sorunlara benzediğinden, bir DoS saldırısının tanımlanması zor olabilir. Ancak bazı temel göstergeler şunları içerir:
- Yavaş Ağ Performansı:
- Dosyalar, web siteleri veya uygulamalar için artan yükleme süreleri.
- Hizmetlere Erişilemezlik:
- Web siteleri veya çevrimiçi hizmetler yanıt vermiyor veya yüklenemiyor.
- Beklenmeyen Ağ Kesintileri:
- Aynı ağdaki cihazlar arasında bağlantı kaybı.
- Olağandışı Trafik Modelleri:
- Tek bir kaynaktan veya birden fazla şüpheli kaynaktan gelen trafikte ani bir artış.
İzleme araçları ve analizler, trafikteki meşru ani artışlar ile kötü amaçlı etkinlikler arasında ayrım yapılmasına yardımcı olabilir.
DoS ve DDoS saldırılarının artan sıklığı göz önüne alındığında, kuruluşların sistemlerini korumak için proaktif önlemler alması gerekiyor. İşte bazı temel stratejiler:
1. Bulut Azaltma Sağlayıcıları
Cloudflare, Akamai veya AWSShield gibi bulut tabanlı risk azaltma hizmetleri, kötü amaçlı trafiği altyapınıza ulaşmadan önce filtreleme konusunda uzmanlaşmıştır.
Bu sağlayıcılar, en büyük DDoS saldırılarını bile absorbe edecek geniş bant genişliğine sahip ölçeklenebilir çözümler sunuyor.
2. Güvenlik Duvarları ve Saldırı Tespit Sistemleri
- Güvenlik duvarları: Güvenlik duvarınızı, bilinen kötü amaçlı IP adreslerinden gelen trafiği engelleyecek veya tek bir IP’den gelen istek sayısını kısıtlayacak şekilde yapılandırın.
- Saldırı Tespit Sistemleri (IDS/IPS): Anormal trafik düzenlerini tespit edebilen ve potansiyel DoS saldırılarını gerçek zamanlı olarak engelleyebilen sistemleri dağıtın.
3. Ağ Segmentasyonu
Ağınızı daha küçük, yalıtılmış bölümlere ayırmak DoS saldırısının yayılmasını sınırlayabilir. Bu, bir segment etkilense bile ağın geri kalanının çalışır durumda kalmasını sağlar.
4. Bant Genişliği Yönetimi
Tek bir kaynağın oluşturabileceği trafik miktarını sınırlamak için bant genişliği daraltma uygulayın. Bu, kötü niyetli aktörlerin aşırı kaynak tüketmesini önler.
5. İçerik Dağıtım Ağları (CDN’ler)
CDN’ler gelen trafiği farklı coğrafi konumlardaki birden fazla sunucuya dağıtarak tek bir sunucu üzerindeki etkiyi azaltır. Bu, saldırganların sistemi alt etmesini zorlaştırır.
6. Düzenli Ağ Taramaları ve Güncellemeler
- Güvenlik Açığı Taramaları: Ağınızı, saldırganların yararlanabileceği zayıf noktalara karşı düzenli olarak tarayın.
- Yamalama: Bilinen güvenlik açıklarını kapatmak için yazılımlara, işletim sistemlerine ve donanıma güvenlik güncellemeleri ve yamalar uygulayın.
7. Kötü Amaçlı Yazılımdan Koruma Araçları
Ağınızdan bir DDoS saldırısı başlatmak için kullanılabilecek botnet’ler gibi kötü amaçlı yazılımları tespit etmek ve kaldırmak için kötü amaçlı yazılımdan koruma çözümleri dağıtın.
8. Bir Müdahale Planı Geliştirin
Bir DoS saldırısı durumunda atılacak adımları özetleyen kapsamlı bir olay müdahale planı hazırlayın. Bu şunları içermelidir:
- Saldırı kaynağının belirlenmesi.
- Etkilenen sistemlerin yalıtılması.
- Normal operasyonların geri yüklenmesi.
Hizmet reddi (DoS) saldırısı, hedef sistemi alt etmeyi ve meşru kullanıcılar için onu erişilemez hale getirmeyi amaçlayan yıkıcı bir siber tehdittir.
Geleneksel DoS saldırıları tek bir kaynaktan kaynaklanırken, dağıtılmış hizmet reddi (DDoS) saldırıları birden fazla kaynağı içerir ve bu saldırılara karşı savunma yapmak daha zor hale gelir.
Kuruluşlar ileri teknolojiyi kapsamlı planlamayla birleştirerek kendilerini koruyabilir ve hizmetlerine kesintisiz erişim sağlayabilirler.