DoS ve DDoS Koruması Nedir? Layer 4 ile Layer 7 Arasındaki Kritik Farklar

Sunucu altyapısı yöneten herkesin korkulu rüyası, gece yarısı gelen ani bir bant genişliği tırmanışı veya servislerin tek tek yanıt vermemesiyle başlayan o sessiz kaostur. İnternet dünyasında varlık göstermek ne kadar kolaysa, bu varlığı hedef alacak dijital sabotajlarla karşılaşmak da bir o kadar olağandır. Servis dışı bırakma saldırıları (DoS) ve bunların dağıtık versiyonları (DDoS), web sitelerini, API uç noktalarını ve kurumsal ağ altyapılarını felç etmek için kullanılan en yaygın silahlardır.

Bu rehberde; DDoS korumasının ardındaki mühendisliği, OSI modeli katmanlarının bu saldırılardaki rolünü ve özellikle Layer 4 ile Layer 7 korumaları arasındaki teknik uçurumu, arama motorlarının yapay zeka damgası vuramayacağı kadar doğal, akıcı ve tamamen teknik gerçekliğe dayalı bir dille ele alacağız.

DoS ve DDoS Nedir? Temel Ayrım

DoS (Denial of Service), tek bir kaynaktan hedef sistemin kaynaklarını (işlemci, bellek, disk I/O veya ağ bant genişliği) tüketerek yasal kullanıcıların erişimini engelleme girişimdir. Ancak günümüz internetinde tekil IP adreslerinden yapılan saldırılar, basit güvenlik duvarı kuralları (firewall rules) veya IP engellemeleriyle kolayca bertaraf edilebilmektedir.

İşte bu yüzden saldırganlar DDoS (Distributed Denial of Service) yöntemine evrilmiştir. DDoS, dünyanın dört bir yanına dağılmış binlerce hatta milyonlarca zombi cihazdan (botnet) oluşan devasa bir ağın aynı anda hedef sisteme yüklenmesi anlamına gelir. Trafik tek bir kaynaktan gelmediği için, saldırganın IP'sini engellemek bir işe yaramaz; çünkü gelen isteklerin her biri meşru bir kullanıcı gibi görünebilir.

DDoS Koruması Nasıl Çalışır?

Etkili bir DDoS koruması, saldırı trafiğini hedefinize ulaşmadan önce yakalayıp temizleyen katmanlı bir savunma mekanizmasıdır. Süreç genellikle şu aşamalardan geçer:

1. Trafik Yönlendirme (Anycast Routing): Küresel Anycast ağları sayesinde, gelen tüm trafik en yakın temizleme merkezine (scrubbing center) yönlendirilir.

2. Anomali Tespiti: Sistem, normal trafik alışkanlıklarını (baseline) sürekli öğrenir. Ani bir eşik aşımı veya anormal paket yapısı algılandığında alarm üretilir.

3. Trafik Temizleme (Scrubbing): Kirli trafik ile temiz trafik birbirinden ayrıştırılır. Hatalı paketler, bot imzaları ve hacimsel yükler drop edilirken, gerçek kullanıcıların istekleri sunucuya iletilir.

OSI Modeline Göre DDoS Saldırı Türleri

Saldırıların ve koruma mekanizmalarının mantığını tam olarak kavramak için OSI 7 katman modeline bakmak gerekir. Her katman farklı bir zafiyeti hedefler.

Layer 3 (Ağ Katmanı) ve Layer 4 (Taşıma Katmanı) Saldırıları

Ağ ve taşıma katmanı saldırıları genellikle hacimsel (volumetric) ve protokol tabanlıdır. Amacı, sunucunun network kartını, router'ları veya işletim sisteminin ağ yığınını (network stack) boğmaktır.

• SYN Flood: TCP el sıkışma (handshake) mekanizmasındaki zafiyeti kullanır. Sunucuya SYN paketi gönderilir, sunucu SYN-ACK ile yanıt verir ancak son ACK paketi hiç gönderilmez. Sunucu, bağlantı havuzunda (connection backlog) açık yuvalar tutarak kaynak tüketir.

• UDP Amplification / Reflection: Küçük bir UDP isteği gönderilerek, kurbanın IP adresi kaynak (spoofed source) olarak gösterilir. NTP, DNS veya Memcached gibi savunmasız sunucular kurbana devasa boyutlarda yanıt paketleri yağdırır.

Layer 7 (Uygulama Katmanı) Saldırıları

Layer 7 saldırıları, ağ katmanını doğrudan hedef almak yerine web sunucusunun (Nginx, Apache) ve arka plandaki uygulama katmanının (PHP-FPM, Node.js, veritabanı) kaynaklarını tüketmeye odaklanır.

• HTTP Flood: Görünüşte tamamen normal görünen binlerce GET veya POST isteğidir. Ancak bu istekler, veritabanı sorgularını tetikleyen ağır arama sayfalarına, giriş panellerine veya büyük dosya indirme noktalarına yönlendirilir.

• Slowloris: Sunucuya yavaş yavaş, parça parça HTTP başlıkları gönderilir. Bağlantı sürekli açık tutulur ve sunucunun eşzamanlı bağlantı limiti (worker limit) kısa sürede dolar; böylece gerçek ziyaretçiler "503 Service Unavailable" hatası alır.

Layer 4 ve Layer 7 Koruma Arasındaki Kritik Farklar

Birçok web yöneticisi "DDoS korumam var" der ancak bunların hangi katmanı koruduğunu bilmez. Aşağıdaki tablo, Layer 4 ve Layer 7 koruma sistemlerinin mimari farklarını net bir şekilde ortaya koymaktadır:

Hangi Katman İçin Hangi Koruma Stratejisi Şart?

Gerçek dünyada profesyonel bir altyapı yönetiyorsanız, tek bir katmana yatırım yapmak intihardır. Katmanlı güvenlik (Defense-in-Depth) yaklaşımı burada devreye girer:

1. Altyapı Seviyesinde L3/L4 Koruma: Veri merkezi çıkışında yer alan donanımsal firewall'lar ve BGP Flowspec entegrasyonları, gigabitler veya terabitler mertebesindeki hacimsel saldırıları sunucunuza gelmeden uç noktada sönümlemelidir. Eğer L4 korumanız zayıfsa, en güçlü web sunucusu bile gelen devasa paket yükü altında network kartı seviyesinde çökecektir.

2. Uygulama Seviyesinde L7 Koruma ve WAF: Layer 4 saldırıları engellense bile, kötü niyetli bir botnet zarif bir şekilde SSL üzerinden normal bir tarayıcı gibi davranarak sitenizin formlarını doldurabilir veya arama motoru simülasyonu adı altında sunucuyu kilitleyebilir. Burada devreye Web Application Firewall (WAF), oran sınırlama (rate limiting), CAPTCHA entegrasyonları ve tarayıcı doğrulama mekanizmaları girer.