Siteniz DDoS saldırısı altında: ilk 10 dakikada ne yapmalısınız

Site açılmıyor, sunucu yükü tavan yapmış ve panelde bağlantı sayısı hiç görmediğiniz seviyede. İlk refleks genellikle sunucuyu yeniden başlatmak oluyor — ve bu, saldırı sürerken yapılabilecek en işe yaramaz şeylerden biri. Bu yazı, ilk on dakikada gerçekten fark yaratan adımları sırasıyla anlatıyor.

Önce emin olun: saldırı mı, yoksa gerçek trafik mi?

Bir kampanya, bir haber bağlantısı veya bir sosyal medya paylaşımı da sunucuyu aynı şekilde dize getirebilir. İkisini ayırmadan atacağınız her adım yanlış olur: gerçek ziyaretçi selini "saldırı" sanıp engellemeye kalkarsanız, hayatınızın en iyi gününü kendi elinizle kapatırsınız.

Sunucuda şu üç şeye bakın:

• İstekler nereye gidiyor? Gerçek trafik siteyi gezer: farklı sayfalar, resimler, CSS. Saldırı genellikle tek bir yola ya da anlamsız yollara yığılır.
• Kaynaklar ne kadar dağınık? Meşru bir seldeki IP'ler birkaç yüz veya birkaç bin olur ve coğrafi olarak sizin kitlenize benzer. Saldırıda on binlerce IP ve hiç müşteriniz olmayan ülkeler görürsünüz.
• Tarayıcı gibi davranıyorlar mı? User-Agent başlıkları birbirinin aynısı mı, referer boş mu, çerez taşıyorlar mı? Gerçek tarayıcı çerez taşır, saldırı botu genellikle taşımaz.

Yapmayın: işi büyüten üç hata

1. Sunucuyu yeniden başlatmak

Saldırı devam ediyorsa sunucu açılır açılmaz aynı sele girer, üstelik önyükleme sırasında savunmasızdır. Yeniden başlatma yalnızca bir şeyi başarır: sorunu teşhis etmenizi sağlayacak bağlantı durumunu ve sayaçları silmek.

2. Sunucuyu doğrudan internete açıp "geçici çözüm" aramak

Proxy veya güvenlik duvarı arkasındaysanız ve "acaba proxy mi yavaşlatıyor" diye korumayı kapatırsanız, gerçek sunucu IP'niz saldırgana açılır. Bu geri alınamaz: IP bir kez öğrenildikten sonra tekrar gizlenemez, sunucuyu yeni bir IP'ye taşımanız gerekir.

3. Rastgele ülke engellemek

Panik anında "saldırı şu ülkeden geliyor" deyip bütün ülkeyi kapatmak cazip gelir. Modern saldırılar onlarca ülkeye yayılmış ev kullanıcısı cihazlarından gelir — birini kapatırsanız saldırının küçük bir dilimini durdurup gerçek müşterilerinizi kaparsınız.

Sırayla yapılacaklar

1. Kanıt toplayın. Saldırı sürerken ss -ant | wc -l, aktif bağlantıların IP dağılımı ve web sunucusu erişim kaydından bir örneklem alın. Sonradan bunları geri getiremezsiniz; sağlayıcınıza veya bize başvururken de bu veriler gerekecek.
2. Katmanı tespit edin. Sunucu ağ arayüzü dolmuş ama web sunucusu boşta mı? Bu ağ katmanı (L3/L4) selidir. Ağ rahat ama web sunucusu istek kuyruğunda boğuluyorsa uygulama katmanı (L7) saldırısıdır. İkisinin çözümü farklıdır.
3. Origin'i kapatın. Sunucunuz yalnızca proxy IP'lerinden bağlantı kabul etmeli; geri kalan her şey güvenlik duvarında düşmeli. Bu tek adım, doğrudan IP'nize gelen saldırıların tamamını keser.
4. Trafiği filtreli bir yola alın. DNS'i koruma sağlayan bir proxy'ye yönlendirin. Bu noktada TTL'iniz düşükse dakikalar içinde, yüksekse saatler içinde etkisini görürsünüz — bu yüzden TTL'i saldırı gelmeden düşürmek gerekir.
5. Bot filtresini açın. L7 saldırılarında istekler gerçek HTTP istekleridir; onları hacimle değil davranışla ayırmak gerekir. Tarayıcı doğrulaması (JavaScript tabanlı, CAPTCHA'sız) otomatik istemcilerin ezici çoğunluğunu eler.
6. Sonra ölçün. Saldırı bittiğinde hangi kuralın işe yaradığını not edin. Bir sonraki saldırıda bu notlar on dakikanızı geri verir.

Saldırı bittikten sonra

Saldırı biter, sistem düzelir ve çoğu kişi orada durur. Oysa asıl kazanç bundan sonra: aynı saldırgan genellikle geri gelir. Kalıcı olarak yapılması gerekenler kısa bir liste — DNS TTL değerlerini düşük tutmak, origin güvenlik duvarını yalnız proxy IP'lerine kapatmak, ve gerçek sunucu IP'sinin geçmiş DNS kayıtlarından sızıp sızmadığını denetlemek.

Son madde sanıldığından çok daha sık ıskalanıyor; ayrıntısı için gerçek sunucu IP'nizin sızma yolları yazısına bakın.

Sitenizi OZELNS ile koruyun

Otoritatif DNS ve reverse-proxy DDoS koruması tek panelde. Ücretsiz paket var, kart gerekmiyor.