DDoS saldırısı nedir ve şirketinizi nasıl korursunuz?

DDoS (dağıtık hizmet engelleme, distributed denial of service) saldırısı, bir web sitesini ya da servisi binlerce farklı kaynaktan aynı anda gelen sahte trafikle boğup gerçek kullanıcılara hizmet veremez hale getirme yöntemidir. Amaç veri çalmak değil, erişimi kesmek: siteniz açılmaz, uygulamanız yanıt vermez, satış durur. Neden önemli olduğunu rakamlar anlatıyor. Cloudflare tek başına 2025'in ikinci çeyreğinde 7,3 milyon DDoS saldırısını engelledi ve yılın ilk yarısında engellediği saldırı sayısı 27,8 milyona ulaştı, yani 2024'ün tamamında gördüğünün %130'u. Kısa cevap şu: DDoS artık büyük şirketlere özgü bir sorun değil, ucuzladı, otomatikleşti ve herkesi hedef alıyor. İyi haber, doğru mimariyle çoğu saldırının siz fark bile etmeden savuşturulabilmesi.

DDoS tam olarak nasıl çalışır?

Sıradan bir hizmet engelleme (DoS) saldırısı tek bir kaynaktan gelir ve durdurması kolaydır: o IP adresini kapatırsınız, biter. DDoS'taki fazladan "D", dağıtık (distributed) demek ve bütün farkı yaratan da bu. Saldırgan, çoğu zaman sahiplerinin haberi olmadan ele geçirilmiş binlerce cihazdan oluşan bir ağı, yani bir botnet'i kullanır. Bu cihazlar kameralar, ev yönlendiricileri, akıllı cihazlar ya da kötü korunmuş sunucular olabilir. Hepsi aynı anda hedefe istek gönderdiğinde ortaya çıkan trafik, tek tek bakıldığında gerçek bir ziyaretçiden gelenle neredeyse aynı görünür. Sizi zorlayan da bu: saldırının hacmi altında "kötü" isteği "iyi" istekten ayırmak bir anda çok güçleşir.

Üç tür saldırı: hacim, protokol, uygulama

DDoS saldırıları kabaca üç katmanda çalışır. Hacimsel saldırılar en bilinenidir: hedefin internet hattını devasa miktarda veriyle doldurur, ölçü birimi saniyede terabittir (Tbps). Protokol saldırıları hattı değil, sunucunun ve güvenlik duvarının kaynaklarını tüketir; klasik örneği, hiç tamamlanmayan yarım bağlantılarla bağlantı tablosunu dolduran SYN flood'dur. Uygulama katmanı (L7) saldırıları ise en sinsisidir: az sayıda ama pahalı isteği, mesela bir arama sorgusunu ya da giriş sayfasını, gerçek bir tarayıcı gibi tekrar tekrar çağırır. Cloudflare'in 2025 ikinci çeyrek verisinde ağ katmanı saldırılarının başında DNS flood (yaklaşık %33) ve SYN flood (%27) geliyor. Hacimsel saldırıların çoğu "amplifikasyon" tekniğiyle büyütülür: saldırgan, kaynağını sizin adresinizmiş gibi göstererek açık bir sunucuya küçük bir istek yollar, o sunucu da kat kat büyük yanıtı size geri gönderir.

Ne kadar büyük olabilir?

Rekorlar neredeyse her yıl kırılıyor. 2025'in ikinci çeyreğinde Cloudflare o güne dek görülen en büyük saldırıyı, 7,3 Tbps'yi durdurdu. Eylül'de rekor 11,5 Tbps'ye, Kasım'da 31,4 Tbps'ye çıktı. Buradaki kritik detay süre: bu dev saldırıların çoğu dakikalarca değil saniyelerce sürüyor, 31,4 Tbps'lik saldırı yarım dakika bile dolmadan bitti. Bunun somut bir sonucu var. Böyle bir trafiği kendi sunucunuzun ya da ofisinizin internet hattında "yutmanız" mümkün değil, hattınız çoktan tıkanmış olur. Ciddi DDoS koruması bu yüzden tek bir sunucuda değil, trafiği dünyanın dört bir yanına dağıtan bir ağda yapılır.

İki gerçek örnek

İki olay meseleyi netleştiriyor. 28 Şubat 2018'de GitHub, o zamana dek kaydedilen en büyük saldırıyla, 1,35 Tbps ile vuruldu. İlginç olan, arkasında bir botnet yoktu: saldırganlar internete açık, yanlış yapılandırılmış "memcached" sunucularını amplifikatör olarak kullandı. GitHub trafiğini bir temizleme (scrubbing) servisine yönlendirdi ve saldırı yaklaşık 20 dakika sonra dindi. İkinci örnek 2016'daki Dyn saldırısı: Mirai adlı IoT botnet'i belirli bir siteyi değil, birçok büyük sitenin kullandığı DNS sağlayıcısı Dyn'i hedef aldı. Twitter, Reddit, Spotify ve Netflix gibi servisler saatlerce erişilemez oldu, üstelik kendi sunucuları gayet çalışıyordu. Ders açık: sizi çökertmek için sizi vurmaları şart değil, bağımlı olduğunuz bir servisi vurmaları yeter.

Fidyeci DDoS: öde yoksa devam eder

DDoS'un bir de tehdit biçimi var. Fidyeci DDoS'ta (ransom DDoS) saldırgan önce kısa bir "gösteri" saldırısı yapar, ardından "ödemezseniz devam eder" diye bir mesaj bırakır. Bu, verinizi şifreleyen fidye yazılımının bir kuzeni sayılır: burada verinizi değil, erişilebilirliğinizi rehin alıyorlar. Cloudflare'in verisinde fidyeci DDoS tehdidi 2025'in ikinci çeyreğinde bir önceki çeyreğe göre %68 arttı. Ödemek çözüm değil: ödeme sizi bir sonraki sefere daha yumuşak bir hedef olarak işaretler ve saldırının gerçekten duracağının hiçbir garantisi yoktur.

Nasıl korunursunuz?

Korunmanın temel ilkesi, saldırıyı size ulaşmadan, kendi hattınızdan uzakta durdurmaktır. Pratikte bu birkaç katman demek. Birincisi, trafiğinizi büyük ve dağıtık bir ağın (bir CDN ya da adanmış DDoS koruma servisinin) arkasına almak; Cloudflare, Akamai, AWS Shield, Azure DDoS Protection ve Google Cloud Armor bu işi yapar ve dev trafiği yüzlerce veri merkezine yayarak emer. İkincisi, gerçek sunucunuzun IP adresini gizli tutmak; adres sızarsa saldırgan korumayı atlayıp doğrudan sunucuyu vurabilir. Üçüncüsü, uygulama katmanı saldırıları için hız sınırlama (rate limiting) ve bir web uygulama güvenlik duvarı eklemek, çünkü L7 saldırıları hacimle değil kurnazlıkla çalışır. Dördüncüsü, DNS'inizi dayanıklı bir sağlayıcıya emanet etmek, çünkü Dyn örneğinde görüldüğü gibi DNS favori bir hedeftir. Bir de kendi payınıza düşen var: sunucularınızın başkalarının saldırısında amplifikatör olarak kullanılmaması için açık DNS, NTP ve memcached servislerini kapatın.

Saldırı anına değil, öncesine hazırlanın

En pahalı hata, DDoS korumasını ancak saldırı başladıktan sonra düşünmektir. Saldırı sırasında panikle servis satın almaya çalışmak, çoğu zaman bir DNS değişikliğinin yayılmasını beklemek demektir ve bu saatler alır. Onun yerine sakin bir günde bir plan yazın: koruma kimde, saldırı anında kim devreye girecek, sağlayıcınızın acil hattı ne, hangi trafiği "her zaman açık" korumaya alacaksınız. Küçük bir işletme için çoğu zaman en akılcı yol, sitesini baştan bir DDoS koruma servisinin arkasına "her zaman açık" modda koymaktır, böylece saldırı geldiğinde ayrıca bir şey yapmanız gerekmez.

DDoS'a karşı korunmak bir kutu ürün satın almak değil, trafiğinizin nereden geçtiğini ve bir saldırı anında kimin ne yapacağını önceden tasarlamaktır. Wedevit olarak internete açık servislerinizi çıkarır, gerçek sunucu adreslerinizin sızıp sızmadığını kontrol eder, size uygun bir DDoS koruma ve DNS mimarisi kurar, L7 saldırıları için hız sınırlama ve güvenlik duvarı kurallarını yapılandırırız. Bu, tek başına değil, sıfır güven yaklaşımının erişilebilirlik ayağı olarak en iyi sonucu verir. Somut ilk adım: bir saldırı bugün gelse trafiğinizin önünde onu durduracak bir katman var mı, yoksa saldırı doğrudan sunucunuza mı ulaşıyor, bunu yazılı olarak netleştirin.