Hizmet Engelleme (DoS - Denial of Service) Saldırıları

Günümüzde internet tabanlı sistemler; bankacılık, eğitim, sağlık, e-ticaret ve devlet hizmetleri gibi kritik alanlarda kullanılmaktadır. Bu sistemlerin sürekli erişilebilir olması büyük önem taşır. Ancak bazı saldırganlar, sistemlerin çalışmasını durdurmak veya yavaşlatmak amacıyla “Hizmet Engelleme” saldırıları gerçekleştirir.

Hizmet Engelleme saldırıları, İngilizce adıyla Denial of Service (DoS) saldırıları olarak bilinir. Bu saldırıların amacı; bir sunucuya, web sitesine veya ağa aşırı yük bindirerek normal kullanıcıların hizmete erişmesini engellemektir.

---

DoS Saldırısı Nedir?

DoS saldırısı, bir sistemin kaynaklarını tüketerek hizmet veremez hale getirmeyi amaçlayan siber saldırı türüdür.

Bir sunucu aynı anda belirli sayıda isteği işleyebilir. Eğer saldırgan bu sisteme kapasitesinin çok üzerinde istek gönderirse:

• Sistem yavaşlar,

• Web sitesi açılmaz,

• Sunucu çökebilir,

• Ağ bağlantısı kesilebilir,

• Gerçek kullanıcılar hizmet alamaz.

Bu nedenle bu saldırılara “Hizmet Engelleme” adı verilir.

---

DoS Saldırılarının Temel Mantığı

Bir sistemi düşünelim:

• Sunucu kapasitesi: saniyede 10.000 istek

• Normal kullanıcı trafiği: saniyede 2.000 istek

Saldırgan sisteme saniyede 100.000 sahte istek gönderirse:

• İşlemci aşırı yüklenir,

• RAM tüketilir,

• Ağ bant genişliği dolar,

• Sistem cevap veremez hale gelir.

Bu durumda gerçek kullanıcıların yaptığı istekler işlenemez.

---

DoS Saldırılarının Amaçları

DoS saldırıları farklı amaçlarla gerçekleştirilebilir:

1. Web Sitesini Çökertmek

E-ticaret veya haber siteleri hedef alınabilir.

2. Maddi Zarar Vermek

Çevrim içi hizmetin durması şirketlere büyük mali kayıp oluşturabilir.

3. İtibar Zedelemek

Sürekli çöken sistemler kullanıcı güvenini kaybeder.

4. Dikkat Dağıtmak

Bazen saldırganlar başka bir saldırıyı gizlemek için DoS saldırısı yapar.

5. Politik veya İdeolojik Amaçlar

Hacktivist gruplar bazı kurumları hedef alabilir.

---

DoS ve DDoS Arasındaki Fark

DoS (Denial of Service)

Tek bir bilgisayar veya bağlantı üzerinden yapılan saldırıdır.

DDoS (Distributed Denial of Service)

Birden fazla cihazın aynı anda saldırı yapmasıdır.

DDoS saldırılarında:

• Botnet ağları kullanılır,

• Binlerce ele geçirilmiş cihaz saldırıya katılır,

• Engellenmesi çok daha zordur.

---

Botnet Nedir?

Botnet, saldırgan tarafından kontrol edilen enfekte cihazlardan oluşan ağdır.

Bu cihazlar:

• Bilgisayarlar,

• Sunucular,

• IoT cihazları,

• Kameralar,

• Modemler olabilir.

Saldırgan komut verdiğinde tüm cihazlar aynı hedefe istek gönderir.

---

DoS Saldırı Türleri

1. Flood Saldırıları

“Flood”, aşırı trafik gönderme anlamına gelir.

Özellikleri

• Ağ trafiğini doldurur,

• Bant genişliğini tüketir,

• Sunucuyu yoğun istek altında bırakır.

Örnekler

• UDP Flood

• ICMP Flood

• HTTP Flood

---

2. SYN Flood Saldırısı

TCP bağlantısındaki “3-way handshake” mekanizmasını hedef alır.

TCP bağlantı süreci:

1. SYN

2. SYN-ACK

3. ACK

Saldırgan çok sayıda SYN paketi gönderir ancak bağlantıyı tamamlamaz.

Sonuç:

• Sunucu bekleyen bağlantılarla dolar,

• Yeni kullanıcılar bağlanamaz.

---

3. UDP Flood

Saldırgan çok sayıda UDP paketi gönderir.

Sunucu bu paketleri işlemeye çalışırken:

• CPU kullanımı artar,

• Ağ yoğunlaşır,

• Sistem yavaşlar.

---

4. ICMP Flood (Ping Flood)

Aşırı miktarda ICMP Echo Request gönderilir.

Hedef sistem sürekli cevap üretmeye çalışır.

Buna “Ping Flood” da denir.

---

5. HTTP Flood

Web sunucularını hedef alan saldırıdır.

Gerçek kullanıcı gibi görünen çok sayıda HTTP isteği gönderilir.

Özellikle:

• Arama işlemleri,

• Veritabanı sorguları,

• Dinamik sayfalar hedef alınır.

---

6. Slowloris Saldırısı

Sunucu bağlantılarını uzun süre açık tutmayı hedefler.

Saldırgan:

• Çok sayıda bağlantı açar,

• Veriyi çok yavaş gönderir,

• Sunucunun bağlantı havuzu dolar.

Sonuçta yeni kullanıcılar bağlanamaz.

---

Gerçek Dünya Örnekleri

1. Dyn DNS Saldırısı (2016)

2016 yılında büyük bir DDoS saldırısı gerçekleşti.

Hedef:

• DNS hizmet sağlayıcısı Dyn

Etkilenen platformlar:

• Twitter

• Netflix

• Spotify

• Reddit

Saldırıda IoT cihazlarından oluşan “Mirai Botnet” kullanıldı.

---

2. GitHub DDoS Saldırısı (2018)

GitHub büyük bir DDoS saldırısına uğradı.

Saldırı:

• 1 Tbps’den fazla trafik üretti,

• Memcached amplification tekniği kullanıldı.

---

Amplification (Yükseltme) Saldırıları

Bazı DDoS saldırılarında küçük istekler büyük cevaplara dönüştürülür.

Buna “Amplification Attack” denir.

Örnek:

• Küçük DNS isteği gönderilir,

• Sunucu çok büyük cevap döndürür,

• Trafik katlanarak büyür.

Türleri:

• DNS Amplification

• NTP Amplification

• Memcached Amplification

---

DoS Saldırılarının Belirtileri

Bir sistemin DoS saldırısı altında olduğunu gösteren işaretler:

• Web sitesinin aşırı yavaşlaması,

• Sunucunun cevap vermemesi,

• Ağ kullanımının aniden yükselmesi,

• CPU/RAM tüketiminin artması,

• Çok fazla bağlantı isteği,

• Log kayıtlarında anormal trafik.

---

Siber Güvenlik Açısından Önemi

DoS saldırıları:

• Hizmet sürekliliğini tehdit eder,

• Kritik altyapıları hedef alabilir,

• Kurumsal güvenliği etkiler,

• Büyük ekonomik zararlara yol açabilir.

Özellikle:

• Bankalar,

• Devlet kurumları,

• Hastaneler,

• Eğitim sistemleri,

• Bulut servisleri risk altındadır.

---

DoS Saldırılarına Karşı Korunma Yöntemleri

1. Güvenlik Duvarı (Firewall)

Şüpheli trafik filtrelenebilir.

---

2. Rate Limiting

Bir IP’nin gönderebileceği istek sayısı sınırlandırılır.

---

3. CDN Kullanımı

İçerik Dağıtım Ağları trafiği dağıtarak yükü azaltır.

Örneğin:

• Cloudflare

• Akamai Technologies

---

4. Yük Dengeleme (Load Balancing)

Trafik birden fazla sunucuya dağıtılır.

---

5. IDS/IPS Sistemleri

Saldırı trafiği analiz edilerek engellenebilir.

---

6. Trafik Analizi

Anormal ağ davranışları sürekli izlenmelidir.

---

7. Sunucu Kaynaklarını Güçlendirme

• Daha yüksek bant genişliği,

• Daha güçlü işlemciler,

• Yedek sunucular kullanılabilir.

---

Linux Sistemlerde Basit Trafik Analizi Araçları

Siber güvenlik uzmanları saldırıları analiz etmek için çeşitli araçlar kullanır.

netstat

Aktif bağlantıları görüntüler.

netstat -ant

---

ss

Modern bağlantı analiz aracıdır.

ss -ant

---

tcpdump

Ağ paketlerini analiz eder.

sudo tcpdump -i eth0

---

iftop

Canlı ağ trafiğini gösterir.

sudo iftop

---

Eğitim Amaçlı Güvenli Laboratuvar Çalışmaları

Öğrenciler kontrollü laboratuvar ortamında:

• Trafik analizi,

• Log inceleme,

• Ağ yük testi,

• Savunma mekanizmaları

üzerinde çalışabilir.

Ancak:

• Gerçek sistemlere saldırı yapmak yasadışıdır.

• Yetkisiz testler suç kapsamına girer.

• Tüm çalışmalar izole test ortamında yapılmalıdır.

---

DoS Saldırılarında Kullanılan Bazı Kavramlar

Kavram	Açıklama
Flood	Aşırı trafik gönderme
Botnet	Ele geçirilmiş cihaz ağı
Packet	Ağ paketi
Bandwidth	Ağ bant genişliği
SYN	TCP bağlantı başlatma paketi
Amplification	Trafiği büyütme tekniği
Rate Limiting	İstek sınırlama yöntemi

---

DoS Saldırılarının Geleceği

IoT cihazlarının artmasıyla DDoS saldırıları daha güçlü hale gelmektedir.

Özellikle:

• Akıllı kameralar,

• Modemler,

• IoT cihazları

zayıf güvenlik nedeniyle botnetlere katılabilmektedir.

Ayrıca yapay zekâ destekli saldırı teknikleri gelecekte daha karmaşık tehditler oluşturabilir.

---

Sonuç

Hizmet Engelleme (DoS) saldırıları, sistemlerin erişilebilirliğini hedef alan ciddi siber tehditlerdir. Amaç veri çalmak değil, sistemi çalışamaz hale getirmektir.

Bu saldırılar:

• Ağ kaynaklarını tüketir,

• Hizmet kesintilerine neden olur,

• Kurumlara maddi zarar verebilir.

Siber güvenlik uzmanlarının:

• Ağ trafiğini analiz etmesi,

• Savunma sistemleri kurması,

• DDoS koruma çözümleri kullanması,

• Sürekli izleme yapması

büyük önem taşır.

DoS saldırılarının mantığını anlamak, hem saldırıları tespit etmek hem de etkili savunma sistemleri geliştirmek açısından kritik bir konudur.

Harika bir konu seçimi. Siber güvenlik eğitimlerinde öğrencilerin ağ mimarisini ve sistemlerin dayanıklılığını kavramaları için Hizmet Engelleme (DoS) saldırıları temel bir yapı taşıdır.

Özellikle laboratuvar ortamlarında sanallaştırma sunucuları (örneğin Proxmox) üzerinde çalışan sistemleri anlamak ve Kırmızı/Mavi Takım (Red/Blue Team) senaryoları kurgulamak için bu teorik altyapı oldukça değerlidir.

---

Siber Güvenlik Temelleri: 

Dijital dünyada bir web sitesine, sunucuya veya ağ altyapısına yapılan saldırılar her zaman verileri çalmak amacıyla yapılmaz. Bazen temel hedef, o sistemin çalışmasını durdurmak ve erişilebilirliğini ortadan kaldırmaktır. İşte bu noktada karşımıza Hizmet Engelleme (Denial of Service - DoS) saldırıları çıkar.

1. DoS Saldırısı Nedir?

Bir mağaza düşünün. Mağazanın kapısından aynı anda en fazla 5 kişi girebiliyor ve içerideki kasiyerler saatte 100 müşteriye hizmet verebiliyor. Kötü niyetli bir grup, mağazanın kapısına yığılıp içeri girmeden sadece kapıyı kapatırsa veya kasada sürekli boş sorular sorarak personeli oyalarsa, gerçek müşteriler mağazaya giremez ve alışveriş yapamaz.

Bilgisayar ağlarında da durum tam olarak budur. DoS (Denial of Service) saldırısı, bir hedefin (sunucu, ağ, uygulama vb.) normal trafiğini aşırı istekler (request) göndererek boğması ve sistemin yasal kullanıcılara yanıt veremez hale getirilmesidir.

Temel Hedefler:

• İşlemci (CPU) ve Bellek (RAM) Tüketimi: Sunucunun kaynaklarını %100'e ulaştırarak kilitlenmesini sağlamak.

• Bant Genişliği Tüketimi: Ağın veri taşıma kapasitesini tamamen doldurarak içeriye veri giriş-çıkışını engellemek.

2. Teknik Arka Plan: DoS Saldırıları Nasıl Çalışır?

DoS saldırıları ağ protokollerinin (TCP/IP) zafiyetlerini veya doğasını kullanır. En yaygın DoS tekniklerinden bazıları şunlardır:

• TCP SYN Flood: TCP bağlantısı "Üçlü El Sıkışma" (Three-way Handshake) ile başlar. İstemci SYN gönderir, sunucu SYN-ACK ile yanıtlar ve istemciden ACK bekler. Saldırgan, sahte IP adreslerinden binlerce SYN gönderir ama asla ACK yanıtı vermez. Sunucu, açık kalan bu bağlantılar yüzünden hafızasını doldurur ve yeni, meşru bağlantıları reddetmeye başlar.

• UDP Flood: UDP, bağlantısız (connectionless) bir protokoldür. Saldırgan, hedefin rastgele portlarına yoğun miktarda UDP paketi gönderir. Sunucu, bu portlarda dinleyen bir uygulama olup olmadığını kontrol eder ve bulamayınca "ICMP Destination Unreachable" (Hedefe Ulaşılamadı) paketi döndürmeye çalışır. Bu döngü sunucuyu felç eder.

• Ping of Death / ICMP Flood: Ağın çalışıp çalışmadığını kontrol etmek için kullanılan Ping (ICMP Echo Request) paketlerinin devasa boyutlarda veya aralıksız olarak hedefe gönderilmesiyle ağın tıkanmasıdır.

3. DoS vs. DDoS: Fark Nedir?

DoS saldırısının tek bir zayıf noktası vardır: Saldırıyı yapan kaynak (örneğin tek bir bilgisayar) tespit edilip engellendiğinde saldırı biter.

Bunu aşmak için saldırganlar DDoS (Distributed Denial of Service - Dağıtık Hizmet Engelleme) yöntemini geliştirmiştir.

• DoS: Tek bir bilgisayardan ve tek bir internet bağlantısından hedefe yapılan saldırıdır.

• DDoS: Dünyanın dört bir yanına dağılmış, zararlı yazılım bulaştırılarak ele geçirilmiş binlerce "Zombi" cihazdan (Botnet ağı) eş zamanlı olarak yapılan saldırıdır. Savunması çok daha zordur çünkü saldırı tek bir kaynaktan değil, on binlerce farklı IP adresinden gelir.

4. Mavi Takım (Blue Team) Savunma Stratejileri

Büyük final simülasyonlarında ve gerçek dünya senaryolarında, Mavi Takım'ın bu saldırıları tespit etmesi ve savuşturması için belirli adımları izlemesi gerekir:

1. Log Analizi ve İzleme (Monitoring): Saldırı altındaki bir sistem ilk belirtileri log dosyalarında verir. Anormal trafik artışları, aynı IP bloğundan gelen yoğun SYN paketleri log analizi ile tespit edilmeli ve olay müdahale (event response) raporlarına acilen işlenmelidir.

2. Rate Limiting (Hız Sınırlandırma): Bir IP adresinden belirli bir saniye içinde gelebilecek maksimum istek sayısının kısıtlanmasıdır.

3. Güvenlik Duvarı (Firewall) ve WAF Kuralları: Özellikle katman 7 (Uygulama Katmanı) saldırılarında, HTTP isteklerini analiz eden Web Application Firewall (WAF) kullanımı kritiktir.

4. Yük Dengeleme (Load Balancing): Gelen trafiğin tek bir sunucu yerine birden fazla sunucuya dağıtılarak sistemin ayakta kalmasının sağlanması.

5. Öğrenci Laboratuvarlarında Güvenli Simülasyon

Siber güvenlik eğitiminde farkındalık yaratmak için izole laboratuvar ortamları oluşturulmalıdır. Kapalı bir sanal ağ (Virtual Network) içinde, sadece eğitim amacıyla kurulan bir hedef makineye ağ analizi araçlarıyla (örneğin Wireshark eşliğinde hping3 kullanılarak) TCP paketleri gönderilebilir. Öğrenciler bu esnada hedef sunucunun CPU metriklerini (örneğin htop ile) izleyerek saldırının sistem üzerindeki fiziksel etkisini gözlemleyebilirler.

---

Etkileşimli DoS / DDoS Ağ Simülatörü

Trafik modlarını seçin, savunma mekanizmasını test edin ve kaynak tüketimini izleyin.

Meşru Trafik

Saldırgan (DoS)

Botnet (DDoS)

SUNUCU Çevrimiçi

Sunucu CPU & RAM Yükü %15

Ağ Bant Genişliği (Bandwidth) %10

[SİSTEM] Trafik normal. Sunucu kararlı bir şekilde hizmet veriyor.