Nexren ShieldUnder Attack modu ne yapar?
Under Attack modu, sitenize gelen her yeni ziyaretçiden içeriği görmeden önce kısa bir doğrulamayı geçmesini ister. Doğrulama geçilince ziyaretçi normal sayfayı görür. Bir bot ya da JavaScript çalıştırmayan basit bir betik bu adımı geçemez, bu yüzden uygulama katmanı (L7) seli sunucunuza ulaşmadan elenir.
Mod, doğrulamanın maliyetini ziyaretçiye ve saldırgana yükler: gerçek tarayıcı için birkaç saniye, binlerce istek üreten bot için çok daha fazlası. Saldırı türleri rehberinde L7 saldırılarının nasıl çalıştığını görebilirsiniz.
Ne zaman ihtiyaç duyarsınız?
Aşağıdaki belirtilerden birkaçı birlikte görünüyorsa saldırı olasılığı yüksektir:
- RPS ani sıçrar. Saniyedeki istek sayısı birkaç dakikada normalin birkaç katına çıkar.
- Origin CPU ve bellek yükselir. Sunucu yük altında, ama gerçek kullanıcı sayınız değişmedi.
- Çok sayıda benzersiz IP tek bir URL'yi vurur. Özellikle arama, giriş veya pahalı bir API ucu.
- 5xx oranı artar. Sunucu yetişemiyor, zaman aşımları başlıyor.
- Alışılmadık User-Agent veya ülke dağılımı. Normalde görmediğiniz bir kaynak yoğunlaşıyor.
Tek başına yüksek trafik saldırı kanıtı değildir. Bu yüzden önce doğrulayın.
Saldırı mı, kampanya mı?
Viral bir paylaşım veya e-posta kampanyası da trafiği yükseltir. Ayırmak için şu sorulara bakın:
| Soru | Kampanya/viral | Saldırı |
|---|---|---|
| Trafik nereye gidiyor? | Kampanya sayfası, çeşitli içerik | Tek bir URL veya pahalı uç |
| Referrer var mı? | Sosyal medya, e-posta, haber | Boş veya sahte |
| Oturum davranışı | Sayfalar arası gezinme, uzun kalış | Tek istek, anında çıkış |
| Coğrafya | Hedef kitlenizle uyumlu | Alakasız ülkeler |
| Pazarlama haberi | Ekibiniz biliyor | Kimse bilmiyor |
| Tarayıcı çeşitliliği | Gerçek tarayıcı dağılımı | Tek tip veya eski User-Agent |
Pazarlama ekibinize sormak ilk adımdır. Belirsizse modu kısa süreliğine açıp etkiye bakmak da makul bir yoldur: doğrulama gerçek ziyaretçiyi birkaç saniyelik gecikmeyle geçirir, botları elemeye devam eder.
Ziyaretçi ne görür?
Ziyaretçi, sayfa yerine kısa bir doğrulama ekranı görür. Gerçek tarayıcı doğrulamayı arka planda çözer, çoğu durumda birkaç saniye içinde geçer ve yönlendirilir. Tıklama veya bulmaca gerekmez. Geçtikten sonra bir doğrulama (clearance) çerezi alır ve aynı oturumda tekrar görmez. Çerezin sınırlı bir ömrü vardır; süre dolunca doğrulama yenilenir.
JavaScript'i kapatmış bir kullanıcı veya çok eski bir tarayıcı doğrulamayı geçemez. Destek ekibinize bunu söyleyin: şikayet gelirse kullanıcıdan JavaScript'i açmasını ve sayfayı yenilemesini isteyin. Mod açıkken ilk girişte hafif bir gecikme normaldir; bu gecikmeyi saldırı süresince kabul edilebilir bir bedel olarak düşünün ve ölçün.
Hangi yan etkileri bilmelisiniz?
- API ve webhook istemcileri. Bir sunucu veya mobil uygulama doğrulama sayfasını gösteremez ya da JavaScript çalıştıramaz. Bu istemciler için hariç tutulan yollar tanımlayın ve rate limit ile token korumasına güvenin.
- SEO tarayıcıları. Arama motoru botları doğrulama sayfasını geçemezse içeriği göremez. Doğrulanmış arama tarayıcılarının ayrı ele alındığından emin olun.
- Önbellek. Kendi CDN veya önbellek katmanınız varsa doğrulama ekranının önbelleğe girmediğini kontrol edin; aksi halde herkes aynı ara sayfayı görür.
- Mobil uygulamalar ve gömülü web görünümleri. Uygulama içi tarayıcılar JavaScript'i kısıtlayabilir. Test edin.
- WebSocket bağlantıları. WebSocket yükseltmeleri (RFC 6455) HTML bir sayfa gösteremez; ayrı bir kuralla ele alınmaları gerekir.
- Ödeme ve geri çağrı (callback) adresleri. Ödeme sağlayıcısı geri çağrısı doğrulamayı geçemez; bu yolları hariç tutun.
Saldırı sırasında adım adım ne yapmalısınız?
- Doğrulayın. Yukarıdaki tabloyla saldırı ile kampanyayı ayırın ve olay saatini not edin.
- Hariç tutulacak yolları gözden geçirin. Webhook, ödeme geri çağrısı, sağlık kontrolü.
- Modu açın. Planınız izin veriyorsa Under Attack'i etkinleştirin.
- İzleyin. RPS, 5xx oranı ve doğrulamayı geçen ziyaretçi sayısına bakın. Meşru kullanıcı şikayetlerini ekibinizle paylaşın.
- Kayıt tutun. Olay günlüğündeki kaynak IP, yol ve kural bilgileri sonraki saldırıda eşik ayarlamanıza yardım eder.
- Kapatın. Aşağıdaki işaretler oluşunca modu kapatın.
Hariç tutma ve kapatma
Modu açmadan önce hariç tutulacak yolları tanımlayın: webhook uçları, ödeme geri çağrıları, sağlık kontrolleri, kamuya açık API.
Kapatma kararı için şu işaretlere bakın: RPS normale döndü, 5xx oranı düştü, saldırı kaynağı IP'ler gelmiyor veya engelleniyor. Mod kapatıldıktan sonra yarım saat izleyin; saldırı sürüyorsa yeniden açın. Saldırılar haftalarca tekrarlanıyorsa kalıcı mod mantıklı olabilir, ama bunu bilinçli bir kararla seçin.
Karar kontrol listesi
| Gösterge | Eşik (kendi tabanınıza göre) | Aksiyon |
|---|---|---|
| RPS | Taban çizginizin birkaç katı | Dağılıma bak |
| Benzersiz IP / URL oranı | Tek URL'de olağandışı | Under Attack düşün |
| Origin CPU | Sürekli yüksek | Under Attack aç |
| 5xx | Artıyor | Under Attack aç, kapasiteyi kontrol et |
| Pazarlama kampanyası var | Evet | Önce kampanyayı doğrula, modu açma |
| Hat doluluğu | Sağlayıcı tarafı tıkalı | Mod yetmez, sağlayıcıyla görüşün |
Nexren Shield bunu nasıl ele alır
Otomatik doğrulama. Bir sel algılandığında site tüm planlarda otomatik olarak doğrulama kipine geçer.
Manuel Under Attack. Pro ve Enterprise planlarda siz açarsınız. Her ziyaretçi bir CAPTCHA doğrulamasını bir kez geçer ve bir clearance çerezi alır. Arka plan API/XHR istemcileri yeniden yüklemelerini isteyen bir JSON 403 (RFC 9110) alır. WebSocket yükseltmeleri, statik varlıklar ve hariç tutulan yollar ayrı kurallarla ele alınır.
Manuel RPS eşiği ve kalıcı mod. Pro ve Enterprise planlarda kendi RPS eşiğinizi belirleyebilir veya saldırı modunu kalıcı tutabilirsiniz.
Yol ve IP başına sınırlar. Hız sınırları 429 ve Retry-After döner (RFC 6585). Trafik profilleri (api 20, webhook 5, realtime 30 istek/sn, IP başına) saldırı veya azaltma sırasında yarıya iner.
Doğrulanmış arama tarayıcıları ayrı ele alınır.
Dürüst sınır. Doldurulmuş bir hattı bu mod düzeltemez. Hacimsel bir saldırı sunucuya ulaşmadan hat sağlayıcıda tıkanabilir; Nexren Shield tek bölgede ve tek sanal sunucuda çalışır, upstream temizleme yoktur. Bot doğrulamanın nasıl çalıştığı için bot koruması rehberine, genel yapı için Nexren Shield nedir yazısına bakın.
Kaynaklar
- RFC 6585: Additional HTTP Status Codes (429)
- RFC 6455: The WebSocket Protocol
- RFC 9110: HTTP Semantics
İlgili ürün sayfaları:Yardım merkezi Teknoloji
Sık sorulan sorular
Under Attack modunu her zaman açık tutabilir miyim?
Teknik olarak evet, ama her yeni ziyaretçi bir doğrulama sayfası görür; dönüşüm ve API istemcileri etkilenir. Sürekli tehdit altındaki siteler dışında geçici kullanın.
Arama motoru botları bu moddan etkilenir mi?
Doğrulanmış arama motoru tarayıcıları ayrı ele alınır. Yine de modu uzun süre açık bırakırsanız tarama sıklığınızı Search Console'dan izleyin.
Doğrulama sayfası ziyaretçiye ne kadar süre gösterilir?
Gerçek tarayıcılar genellikle birkaç saniyede geçer. Geçen ziyaretçi bir clearance çerezi alır ve sonraki isteklerde tekrar görmez.
Mod açıkken API'm neden 403 JSON döndürüyor?
Arka plan API ve XHR istemcileri bir doğrulama sayfasını gösteremez. Bu istemcilere yeniden yüklemelerini isteyen bir JSON 403 döner. Kullanıcı sayfayı yenileyip doğrulamayı geçtikten sonra istekler normal akar.
Hat tamamen doluysa Under Attack modu işe yarar mı?
Hayır. Trafik sunucuya ulaşmadan hat sağlayıcıda tıkanıyorsa bu mod bir şey değiştiremez. Hacimsel saldırılar için upstream temizleme gerekir.
İlgili rehberler
DDoS saldırı türleri: L3, L4 ve L7 farkları ve savunma
DDoS saldırıları üç sınıfa ayrılır: hattı doldurmaya çalışan hacimsel saldırılar (L3/L4), bağlantı tablolarını tüketen protokol saldırıları (L4) ve uygulamayı yoran HTTP saldırıları (L7).
Bot Koruması ve CAPTCHA Alternatifleri: Yöntemler Karşılaştırması
Bot koruması üç soruya cevap arar: istemci gerçek bir tarayıcı mı, davranışı insana benziyor mu, istek itibarlı bir kaynaktan mı geliyor.
API Güvenliği: Rate Limit ve WAF Neyi Çözer, Neyi Çözmez?
API güvenliği iki ayrı iş içerir: dışarıdan gelen kötü trafiği süzmek ve uygulamanın yetki mantığını doğru kurmak.
Nexren Shield nedir? Ters proxy tabanlı web güvenlik servisi
Nexren Shield, web uygulamalarınızın önüne oturan bir ters proxy güvenlik servisidir.