Sunucuların Kabusu: DDoS Saldırıları Nedir, Nasıl Çalışır ve Rate Limiting ile Nasıl Korunuruz?
Dağıtık Hizmet Engelleme (DDoS) saldırılarının anatomisi, zombi botnet orduları, Nginx ve Fail2ban ile hız sınırlama (Rate Limiting) stratejileri.
Siber güvenlikte bazı saldırılar sistemlerdeki gizli verileri çalmayı hedeflerken, bazı saldırılar ise doğrudan sistemin nefesini kesmeyi, yani hizmet veremez hale getirmeyi amaçlar. İnternetin en yıkıcı ve yaygın saldırı tiplerinin başında gelen 'DDoS' (Distributed Denial of Service - Dağıtık Hizmet Engelleme), adından da anlaşılacağı gibi tek bir kaynaktan değil, dünyanın dört bir yanına yayılmış binlerce hatta milyonlarca cihazdan aynı anda gelen yapay trafik selidir.
Saldırganlar bu saldırıları gerçekleştirmek için önceden zararlı yazılımlarla ele geçirdikleri bilgisayarlar, akıllı televizyonlar, router'lar ve IoT cihazlarından oluşan devasa 'Botnet' (Zombi Cihaz) ağlarını kullanırlar. Komut verildiğinde bu milyonlarca cihaz, hedef sunucunun IP adresine aynı saniyede yoğun istekler (SYN Flood, UDP Flood veya HTTP Get/Post Flood) göndermeye başlar. Sunucunun bant genişliği tıkanır, işlemcisi (CPU) %100'e kilitlenir, RAM belleği tükenir ve nihayetinde meşru ziyaretçiler 'Bu siteye ulaşılamıyor / Connection Timed Out' hatasıyla karşılaşır.
Peki küçük veya orta ölçekli bir sunucu yöneticisi olarak bu yoğun trafik bombardımanına karşı kendimizi nasıl savunabiliriz? Savunmanın ilk ve en kritik kuralı 'Hız Sınırlaması' (Rate Limiting) uygulamaktır. Web sunucumuz (örneğin Nginx), aynı IP adresinden saniyede gelen istek sayısını sınırlandırabilir. Normal bir insanın bir sayfada saniyede 15-20 kez istek göndermesi imkansızdır; bu limit aşıldığı an Nginx isteği 503 Service Unavailable veya 429 Too Many Requests koduyla keserek sunucu çekirdeğinin yorulmasını önler.
İkinci güçlü savunma katmanı ise 'Fail2ban' gibi akıllı log analiz yazılımlarıdır. Sunucunun erişim loglarını (access.log ve error.log) milisaniyelik tarayan Fail2ban, şüpheli kalıplar sergileyen veya güvenlik duvarını zorlayan IP adreslerini Linux'un yerel çekirdek güvenlik duvarı olan iptables ile anında bloklar. Ayrıca web sitenizin önüne Cloudflare gibi küresel bir CDN/WAF kalkanı koymak, volumetrik (gigabit seviyesindeki) devasa saldırıların sunucunuza dahi ulaşmadan bulutta sönümlenmesini sağlar.
Unutulmamalıdır ki siber güvenlik tek seferlik kurulan bir yazılım değil, sürekli izlenmesi ve güncellenmesi gereken dinamik bir süreçtir. Kendi sunucumda aldığım Nginx anti-DDoS filtreleri, rate-limit kuralları ve Fail2ban jail'leri, bağımsız bir geliştirici olarak projelerimi ve verilerimi siber dünyanın fırtınalarına karşı ayakta tutan en temel yapı taşlarıdır.