DDoS Koruması ve Sunucu Güvenliği: Kapsamlı Rehber

DDoS Nedir ve Neden Bu Kadar Tehlikelidir?

Modern internet ekosisteminde bir sunucu barındırmak, yalnızca web sitenizi ya da oyun sunucunuzu yayına almaktan ibaret değildir. Sunucunuz yayına girdiği ilk andan itibaren global siber saldırıların radarına girer. Bu tehditlerin başında ise DDoS (Distributed Denial of Service - Dağıtık Hizmet Engelleme) saldırıları gelir.

Basit bir DoS saldırısı tek bir cihazdan gerçekleştirilir ve hedef sunucunun güvenlik duvarı tarafından tek bir IP engellenerek dakikalar içinde durdurulabilir. Ancak DDoS, dünya geneline yayılmış on binlerce, hatta yüz binlerce ele geçirilmiş bilgisayar, router, kamera ve IoT cihazından (botnet ağları) oluşan devasa bir orduyla gerçekleştirilir. Hedef sunucuya eş zamanlı olarak gönderilen bu yapay trafik, sunucunun işlemcisini, belleğini veya veri merkezi internet omurgasını saniyeler içinde kilitleyerek meşru kullanıcıların sisteme erişmesini engeller.

İster kurumsal bir e-ticaret altyapısı yönetin, ister rekabetin üst seviyede olduğu popüler bir oyun sunucusu barındırın, profesyonel bir DDoS koruması altyapınızın can damarıdır.

DDoS Saldırı Türleri: 3 Ana Kategori

DDoS saldırılarını doğru anlamak ve bertaraf edebilmek için saldırganların hedef aldığı ağ katmanlarını bilmek şarttır. Siber güvenlik literatüründe DDoS saldırıları 3 ana başlık altında sınıflandırılır:

1. Volumetrik (Bant Genişliği Odaklı) Saldırılar

Amacı doğrudan sunucunun ve veri merkezinin internet hattını doyum noktasına ulaştırmaktır. Gbps (Gigabit per second) ve Tbps seviyelerine ulaşabilen bu saldırılarda bant genişliği dolduğu için meşru kullanıcı istekleri sunucuya fiziksel olarak ulaşamaz.

  • UDP Flood: Sunucudaki rastgele UDP portlarına yüksek hacimli sahte paketler göndererek sistemin sürekli "Port Erişilemez" yanıtı üretmesini ve tükenmesini sağlar.
  • DNS / NTP Amplification (Yansıtma ve Büyütme): Saldırganlar, sahte kaynak IP ile açık DNS veya NTP sunucularına küçük sorgular gönderir. Bu sunuculardan dönen onlarca kat büyük yanıtlar doğrudan kurban sunucunun üzerine yönlendirilir.
  • ICMP (Ping) Flood: Çok sayıda yankı (echo) isteği göndererek sunucu ağ kartını ve işlemcisini felç etmeyi hedefler.

2. Protokol (Ağ & Taşıma Katmanı - Layer 3 & 4) Saldırıları

Bu saldırı türü bant genişliğini doldurmaktan ziyade, sunucunun ve ara ağ cihazlarının (güvenlik duvarı, router, yük dengeleyici) bağlantı tablolarını (state tables) tüketmeyi amaçlar.

  • SYN Flood: TCP üçlü el sıkışma (3-way handshake) protokolündeki zayıflığı kullanır. Saldırgan sürekli SYN paketleri gönderir, sunucu SYN-ACK ile yanıt verip beklemeye geçer ancak saldırgan ACK göndermez. Böylece sunucunun açık bağlantı tablosu hızla dolar ve yeni bağlantı kabul edemez hale gelir.
  • Ping of Death & Smurf Attack: Bozuk veya devasa boyutlu paketlerle işletim sisteminin ağ yığınını çökertebilen eski ama varyantları halen kullanılan yöntemlerdir.
  • ACK / RST Flood: Oturum açılmamış bağlantılara sahte onay paketleri gönderilerek sunucunun bu paketleri doğrulamak için aşırı CPU harcaması sağlanır.

3. Uygulama Katmanı (Layer 7) Saldırıları

Layer 7 saldırıları siber güvenlik uzmanlarının "sinsi saldırılar" olarak tanımladığı, tespit edilmesi en güç yöntemdir. Ağ katmanında büyük bir trafik hacmi görünmez; ancak gelen istekler doğrudan Apache, Nginx, LiteSpeed, PHP veya MySQL/PostgreSQL veritabanını hedef alır.

  • HTTP / HTTPS Flood: Sunucunun karmaşık veritabanı sorguları çalıştıran sayfalarına (arama, sepet, oturum açma sayfaları) binlerce eşzamanlı GET/POST isteği göndererek bellek ve CPU'yu tüketir.
  • Slowloris: Sunucuya çok yavaş HTTP başlıkları göndererek bağlantıları kasıtlı olarak saatlerce açık tutar. Web sunucusunun eşzamanlı bağlantı limiti (max clients) dolduğunda yeni ziyaretçiler web sitesine giremez.
  • XML-RPC / API Floods: WordPress ve benzeri CMS sistemlerinin API noktalarını hedef alan yoğun istek fırtınalarıdır.

Sunucu Seviyesinde Yazılımsal Güvenlik Önlemleri

Donanımsal korumanın yanı sıra, sunucunuzun işletim sistemi seviyesinde de doğru güvenlik politikalarıyla zırhlandırılması gerekir. Aşağıdaki adımlar sunucu seviyesinde güvenliği artırmanın en etkili yollarıdır:

Linux (iptables) ile SYN Flood ve Geçersiz Paket Koruması:

Sunucunuzun terminalinde uygulayabileceğiniz temel SYN sınırlandırma kuralı:

# Geçersiz paketleri anında düşürün
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

# TCP SYN paketlerine saniyede sınır koyun (SYN Flood mitigasyonu)
iptables -A INPUT -p tcp --syn -m limit --limit 2/s --limit-burst 6 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

# ICMP (Ping) paketlerini sınırlayın
iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 4 -j ACCEPT
iptables -A INPUT -p icmp -j DROP
  • Fail2Ban Kurulumu: SSH, FTP veya web servislerine yapılan şüpheli istekleri ve kaba kuvvet denemelerini takip ederek saldırgan IP'leri otomatik olarak güvenlik duvarından süreli/süresiz banlar.
  • UFW (Uncomplicated Firewall) Kullanımı: Kullanılmayan tüm portları kapatın. Yalnızca ihtiyaç duyulan (örn: 80, 443 ve özel SSH portu) portlara izin verin.
  • Web Siteleri için Cloudflare Proxy Kullanımı: Web sitenizin gerçek sunucu IP adresini gizleyerek DNS isteklerini Cloudflare arkasına almak, Layer 7 saldırılarının web sunucunuza ulaşmadan engellenmesini sağlar.
  • Sysctl Kernel Güvenlik Parametreleri: /etc/sysctl.conf dosyasında net.ipv4.tcp_syncookies = 1 ayarını aktif ederek çekirdek seviyesinde SYN çerezleri savunmasını açın.

Oyun Sunucularında DDoS Tehdidi ve Özel Filtreleme

Oyun sunucuları, internet üzerindeki DDoS saldırılarının %60'ından fazlasına maruz kalan en riskli hedeflerdir. Bir web sitesi 2 saniyelik bir yavaşlamayı tolere edebilirken; FiveM sunucusu, MTA:SA, Minecraft, Rust veya SAMP sunucularında 50 milisaniyelik bir paket kaybı veya ping artışı tüm oyuncuların bağlantısının kopmasına (Mass Timeout) neden olur.

Oyun sunucuları genellikle UDP protokolünü kullanır. Standart güvenlik duvarları UDP paketlerinin sahte mi yoksa gerçek bir oyuncu verisi mi olduğunu ayırt edemez. Bu noktada devreye L7 Game Firewall (Oyun Katmanı Filtresi) girer. Brnchost altyapısı, oyun motorlarının (FiveM CitizenFX, MTA netcode, Minecraft Query vb.) protokol yapısını tanıyan özel filtreleme kuralları ile meşru oyuncu paketlerini geçirirken sahte paketleri donanım seviyesinde süzer.

Donanımsal DDoS Koruması ve Veri Merkezi Altyapısı

Yazılımsal güvenlik duvarları küçük çaplı saldırıları hafifletebilir; ancak 50 Gbps, 100 Gbps veya 400 Gbps seviyesindeki devasa volumetrik saldırılarda fiziksel sunucunun ağ kablosu tamamen kilitlenir. Bu büyüklükteki bir saldırıyı sunucu içinde durdurmak imkansızdır.

Çözüm, saldırıyı veri merkezi seviyesinde ve donanımsal temizleme merkezlerinde (Scrubbing Center) karşılamaktır:

  • Omurga Seviyesinde Filtreleme: Trafik, Radore Tier 3 veri merkezinde Juniper ve MikroTik yönlendiriciler üzerinden geçer.
  • BGP Anycast ve Trafik Temizleme: Gelen trafik temizleme cihazlarında milisaniyeler içinde incelenir; kötü niyetli paketler "Blackhole" (Kara delik) veya filtreye takılırken, meşru veri sunucuya gecikmesiz olarak iletilir.
  • Yüksek Kapasiteli Portlar: 1 Gbit/s ve 10 Gbit/s paylaşımsız port kapasitesi sayesinde ani trafik sıçramalarında darboğaz yaşanmaz.

Sunucu Güvenliği ve DDoS Kontrol Listesi

Güvenlik Katmanı Uygulanacak Adım Koruduğu Tehdit Türü Önem Derecesi
Ağ Katmanı (L3/L4) Donanımsal DDoS Korumalı Veri Merkezi Altyapısı UDP Flood, SYN Flood, NTP/DNS Amplification Kritik
Web Katmanı (L7) Cloudflare / WAF Ters Proxy & Rate Limiting HTTP Flood, Slowloris, Bot Taramaları Çok Yüksek
Sunucu İşletim Sistemi Kullanılmayan Portların Kapatılması (UFW / iptables) Port Taramaları, Yetkisiz Erişimler Yüksek
Giriş Güvenliği SSH / RDP Port Değiştirme & Güçlü Parolalar Kaba Kuvvet (Brute-Force) Saldırıları Kritik
Sistem Yönetimi Güncel Kernel & Otomatik Güvenlik Yamaları İşletim Sistemi Zafiyetleri ve Exploitler Yüksek
Yedekleme Farklı Lokasyona Otomatik Düzenli Yedekleme Veri Kaybı ve Fidye Yazılımları (Ransomware) Maksimum

Brnchost ile Kesintisiz ve Korumalı Sunucu Deneyimi

Brnchost, projelerinizi siber saldırı korkusu olmadan büyütmeniz için en gelişmiş kurumsal ağ savunmasını sunar.

İster yüksek işlem gücü gerektiren projeler için Ryzen VDS kiralama, ister genel amaçlı VDS sunucu satın alma veya paylaşımsız kaynaklar için fiziksel sunucu tercih edin:

  • Gelişmiş DDoS Koruması: Ek ücret talep edilmeden sunulan katmanlı donanımsal koruma.
  • Radore Tier 3 Veri Merkezi: İstanbul lokasyon, doğrudan Türk Telekom, Turkcell ve uluslararası omurgalara bağlı ultra düşük gecikme.
  • Enterprise NVMe SSD Altyapısı: Yüksek disk okuma/yazma hızlarıyla saldırı anında dahi kitlenmeyen kararlı performans.
  • Her Gün Uzman Desteği: Herhangi bir anormallik veya saldırı durumunda anında müdahale eden uzman teknik ekip.
Saldırılara Karşı Güvende Kalın: Projenizi kesintisiz ve yüksek performanslı bir altyapıya taşımak için VDS Sunucu Paketlerimizi ya da maksimum tek çekirdek gücü için Ryzen VDS Sunucularımızı hemen keşfedin.