DoS ve DDoS Saldırıları

DoS (Denial of Service - Hizmet Reddi) ve DDoS (Distributed Denial of Service - Dağıtılmış Hizmet ReddiDDoS) saldırıları, günümüzde dijital altyapıları hedef alan en yaygın ve kötü şöhretli siber tehditler arasındadır. Bu saldırılar, temel olarak hedef alınan sunucuların, ağların veya dijital hizmetlerin kaynaklarını kasıtlı olarak tüketerek, meşru kullanıcıların sisteme erişimini cerrahi bir müdahaleyle engellemeyi amaçlar. Geleneksel ağ yapılarında olduğu kadar, Yazılım Tanımlı Ağlar (SDN) ve İçerik Odaklı Ağlar (NDN) gibi yeni nesil mimarilerde de bu saldırıların etkinliği, sisteme etkileri ve tasarım aşamasında dahil edilmesi gereken temel savunma mekanizmaları kritik bir araştırma konusudur.

DoS saldırıları, bir saldırganın tek bir kaynak veya IP adresi üzerinden hedef sistemi işlevsiz bırakmak amacıyla gerçekleştirdiği siber eylemlerdir.

• İşleyiş Mekanizması: Bu yöntemde saldırgan, kendi kontrolündeki cihazdan hedefe yönelik yüksek hacimli veri trafiği veya sistemin işleyemeyeceği hatalı biçimlendirilmiş veri paketleri gönderir.
• Kapsamı: Temel amaç veri sızdırmak değil, hedef sistemin işlemci (CPU), bellek (RAM) veya hat kapasitesi gibi kaynaklarını tüketerek hizmetin durmasına neden olmaktır.
• Tepki Süreci: Tek bir kaynağa dayalı olduğu için saldırının tespiti ve saldırganın IP adresinin belirlenmesi, karmaşık yapılı saldırılara göre daha kolaydır.

DDoS saldırıları, saldırganın (düşmanın) belirli hedeflere yönelik saldırılarını gerçekleştirmek için çok sayıda ele geçirilmiş sunucuyu ve cihazı kullandığı bir yapıdır.

• Botnet ve Zombi Kavramı: Bu saldırılarda kullanılan ele geçirilmiş cihazlar literatürde "zombi" olarak adlandırılır ve bu cihazların oluşturduğu ağa "botnet" denir.
• Etki Düzeyi: DDoS saldırıları genellikle kolayca gerçekleştirilebilir ve az teknik bilgi gerektirir. Buna rağmen, saldırının binlerce farklı noktadan aynı anda gelmesi nedeniyle hafifletilmesi oldukça zordur ve hedef sistemler üzerinde yıkıcı etkiler bırakır.

Kaynaktaki verilere ve teknik incelemelere göre bu iki saldırı türü arasındaki yapısal ayrımlar şunlardır:

• Kaynak Yapısı: DoS saldırıları tek bir kaynak (source) üzerinden icra edilirken; DDoS saldırıları dünya geneline yayılmış çok sayıda farklı kaynaktan ve "zombi" sistemlerden gönderilir.
• Savunma Kapasitesi: DoS saldırıları, doğru yapılandırılmış ve paket filtreleme (packet filtering) kabiliyeti olan bir güvenlik duvarı (Firewall) ile engellenebilir. Ancak DDoS saldırıları karşısında Firewall’lar sanılanın aksine tamamen korumasız durumdadır.
• IP Dinamiği: DDoS mimarisinde sürekli değişen IP adresleri veya "random source" (rastgele kaynak) kullanımı söz konusudur. Güvenlik duvarı tarafında bir IP adresi yasaklanana kadar trafik çoktan başka bir IP’den gelmeye başlar, bu da klasik güvenlik önlemlerini etkisiz kılar.

^DoS-DDoS(Karşılaştırılması)

Kaynakta detaylandırılan ve hem DoS hem de DDoS olarak icra edilebilen saldırı yöntemleri, hedefledikleri katmanlara göre aşağıda sınıflandırılmıştır:

1. Hacimsel ve Protokol Odaklı Saldırılar

Bu saldırılar ağın kapasitesini veya protokol kurallarını istismar eder:

• UDP Flood: Sunucu üzerindeki portlara (kapılara) aşırı yoğunlukta UDP paketi gönderilir. Sunucu her bir paketi kontrol etmeye çalışırken kaynaklarını tüketir, bu yoğun trafikle başa çıkamaz ve "offline" (çevrimdışı) olur.
• ICMP Flood (Ping Flood): Hedef sistemin ağ kapasitesini ve bant genişliğini tüketmek amacıyla sürekli ICMP (ping) istekleri gönderilerek veri iletim yolu felç edilir.
• TCP SYN Flood: TCP bağlantı protokolündeki "üç yollu el sıkışma" sürecini istismar eder. Sunucuya çok sayıda sahte bağlantı isteği gönderilir ancak onay süreci tamamlanmaz. Sunucu bağlantı tablosu dolar ve gerçek kullanıcıların istekleri karşılanamaz.
• IP/TCP Null Attack: Paket başlıklarına geçersiz veya boş değerler atanarak sunucunun ve güvenlik sistemlerinin bu paketleri anlamlandırmaya çalışırken yorulması ve kaynaklarını boşa harcaması sağlanır.

2. Uygulama Katmanı ve Oturum Saldırıları

Doğrudan yazılımın çalışma mantığını hedef alan saldırılardır:

• HTTP Flood: Web sunucuları üzerindeki GET (sayfa çağırma) ve POST (veri gönderme) işlevlerini binlerce bot üzerinden kullanarak sunucunun uygulama yanıt kapasitesini kilitler.
• Slow Session/Read Attack: Sunucu ile kurulan bağlantıların kasıtlı olarak çok yavaş ilerletilmesi veya verilerin çok düşük hızda okunmasıdır. Sunucunun kısıtlı sayıdaki bağlantı yuvası (slot) bu sahte oturumlar tarafından işgal edilir ve meşru kullanıcılara yer kalmaz.

3. Yeni Nesil Ağ Mimarilerine Özgü Saldırılar

Kaynağınızda modern mimariler olan NDN ve SDN üzerindeki özel tehditler şöyle belirtilmiştir:

• İlgi Taşkını (Interest Flooding): NDN mimarisine özgü olup, Bekleyen İlgi Tablosu (PIT) girişlerini tüketerek yeni ve meşru isteklere yer bırakmamayı hedefler.
• Önbellek Zehirlenmesi (Cache Poisoning): İçerik deposuna (Content Store) sahte içeriklerin yerleştirilmesiyle ağın güvenilirliğinin sarsılması amaçlanır.

Kaynağa bağlı kalarak uygulanabilecek savunma stratejileri şu şekildedir:

• Eşik Değerleri (Threshold): Güvenlik duvarları üzerinde mevcut yapıya uygun eşik değerleri belirlenmeli, saniyede gelebilecek paket sayısı kesin sınırlarla kısıtlanmalıdır.
• ISP Desteği: Özellikle DDoS saldırıları için en sağlıklı çözüm, İnternet Servis Sağlayıcı (ISP) düzeyinde sunulan koruma hizmetidir. ISP, trafiği henüz sizin ağınıza ulaşmadan "DDoS Attack Protection" merkezlerinde filtreleyerek zararlı veriyi ayıklar.
• Mimari Güvenlik: NDN mimarisi simetrik yol izleme özelliği sayesinde yansıma (reflection) saldırılarına karşı doğal bir direnç gösterirken; SDN yapısında ağın "beyni" olan kontrolcü (control plane) ve veri iletim anahtarları özel olarak korunmalıdır.