DDoS saldırı türleri: L3, L4 ve L7 farkları ve savunma

DDoS saldırıları hangi katmanlarda olur?

DDoS (Distributed Denial of Service, dağıtık hizmet engelleme) saldırısı, çok sayıda kaynaktan gelen trafikle bir hizmeti erişilemez kılmaya çalışır. Saldırıyı doğru sınıflandırmak, doğru savunmayı seçmenin ilk adımıdır; çünkü her sınıf farklı bir kaynağı tüketir.

Sınıflandırma için OSI modelini kullanırız. L3 ağ katmanıdır (IP), L4 taşıma katmanıdır (TCP/UDP), L7 uygulama katmanıdır (HTTP). Saldırının hedefi şunlardan biridir: bant genişliği, bağlantı durumu tutan tablolar ya da uygulamanın işlem gücü.

Üç saldırı sınıfı

Hacimsel saldırılar (L3/L4)

Amaç hattı doldurmaktır. Saldırgan çok büyük miktarda paket gönderir; hedefin internet bağlantısı dolduğu için meşru trafik geçemez. UDP flood ve yansıtmalı büyütme (reflection/amplification) bu sınıftadır: saldırgan kaynak IP'yi hedefin adresi olarak sahteler, açık bir DNS ya da NTP sunucusu küçük bir isteğe büyük bir yanıt verir ve yanıt hedefe gider.

Sahte kaynak adresi, ağ sağlayıcılarının çıkışta filtrelemesiyle sınırlanabilir; bu pratik BCP 38 (RFC 2827) ile tarif edilir. Ama bu, saldırıya uğrayanın değil, trafiğin çıktığı ağın alacağı bir önlemdir.

Protokol saldırıları (L4)

Amaç, sunucunun ya da ara cihazların bağlantı durumu tablolarını tüketmektir. En bilineni SYN flood'dur. TCP üç adımlı el sıkışmayla kurulur: istemci SYN gönderir, sunucu SYN-ACK ile yanıtlar, istemci ACK ile bitirir. Sunucu SYN-ACK'yi gönderdiği anda yarım açık bağlantı için bellek ayırır. Saldırgan çok sayıda SYN gönderir ve son ACK'yi hiç göndermez; yarım açık bağlantı kuyruğu dolar ve yeni meşru bağlantılar reddedilir.

Uygulama katmanı saldırıları (L7)

Amaç, uygulamayı yorarak yanıt vermez hale getirmektir. Trafik hacmi küçük olabilir; her istek ise pahalıdır.

• HTTP flood: Geçerli görünen çok sayıda GET ya da POST. Genelde arama, giriş ya da sepet gibi veritabanı çalıştıran yolları hedefler.
• Slowloris tarzı saldırılar: Saldırgan bağlantıları açık tutar ve başlıkları ya da gövdeyi çok yavaş gönderir. Sunucu her bağlantıyı bir işçi ya da yuva ayırarak bekler; yuvalar biter, yeni istekler giremez. Trafik hacmi düşüktür, bu yüzden bant genişliği izleyen bir alarm susar.
• Önbelleği atlatan istekler: Her istekte rastgele bir sorgu parametresi ekleyerek önbellek kaçırılır ve her istek origin'e iner.

Karşılaştırma tablosu

SYN flood ve SYN cookies

RFC 4987, SYN flood ve yaygın azaltma yöntemlerini tarif eder. Bunların en bilineni SYN cookies'tir: sunucu SYN geldiğinde yarım açık bağlantı için bellek ayırmaz. Bunun yerine bağlantı bilgisinden türettiği doğrulanabilir bir değeri, SYN-ACK'nin başlangıç sıra numarasına gömer. İstemci gerçekten yanıt verirse ACK içinde bu değeri geri döndürür ve sunucu bağlantıyı o anda kurar. Sahte kaynaklı SYN'ler yanıt alamadığı için hiçbir durum biriktirmez.

Bedeli: sunucu, SYN cookie kullanırken bazı TCP seçeneklerini (örneğin pencere ölçekleme) tam olarak saklayamaz ve bu yüzden genellikle yalnızca kuyruk dolduğunda devreye alınır. Ayrıca SYN cookies, tek bir gerçek kaynaktan gelen çok yüksek hızlı el sıkışmalara karşı koruma sağlamaz; onun için IP başına hız sınırı gerekir.

Ters proxy saldırıyı nasıl azaltır?

Ters proxy modelinde istemci sizin sunucunuza değil, proxy'ye bağlanır. Bunun üç sonucu vardır:

1. Yüzey daralır. Dışarıya proxy'nin web portları (80 ve 443) görünür. Origin'inizin 80 ve 443 portlarını yalnızca proxy adreslerine açarsanız, saldırgan sunucunuza doğrudan vuramaz. Bunun ayrıntısı için origin IP gizleme ve Origin Lock rehberine bakın.
2. Bağlantıyı proxy karşılar. TCP el sıkışmasını, TLS'i ve yavaş istemcileri proxy yönetir. Slowloris tarzı bir bağlantı origin'in yuvasını tutmaz.
3. İstek, origin'e varmadan filtrelenir. Hız sınırı, doğrulama bulmacası ve WAF kuralları meşru olmayan isteği origin'in önünde durdurur.

Savunmanın bir parçası da zamanlamadır. Saldırı başlayınca proxy daha sıkı bir moda geçmeli, bitince gevşemelidir. Bu geçişi ne zaman manuel yapacağınızı Under Attack modu ne zaman açılır rehberinde anlattık.

Tek bölgeli bir hizmetin dürüst sınırları

Hacimsel saldırı, ters proxy'nin çözebileceği bir sorun değildir. Hattı dolduran trafik sunucuya varmadan sağlayıcı bağlantısında sonuç verir. Bu sorunu yukarı akışta, çok sayıda noktaya yayılmış kapasite çözer.

Nexren Shield böyle bir yapı sunmaz:

• Tek bölge, tek sanal sunucu (Türkiye).
• Anycast yok, upstream temizleme yok.
• Gbps ya da Tbps kapasite vaadi yok; kapasite rakamı yayımlamıyoruz.
• Yüzdesel SLA yok.

Pratik sonuç: uygulama katmanı ve bağlantı tabanlı saldırılara karşı Nexren Shield size gerçek bir katman ekler, hattı dolduran büyük bir hacimsel saldırıya karşı garanti vermez. Tehdit modeliniz hacimsel saldırıyı içeriyorsa, bunu satın almadan önce bizimle konuşun. Ürüne genel bakış için Nexren Shield nedir rehberini okuyun.

Kaynaklar

• RFC 4987: TCP SYN Flooding Attacks and Common Mitigations
• RFC 2827 (BCP 38): Network Ingress Filtering
• RFC 9293: Transmission Control Protocol (TCP)

İlgili ürün sayfaları:Teknoloji