Açık deniz cankurtaran ve arama kurtarma hizmetlerinde en hayati sözleşme, fırtına anındaki tahliye garantisidir. Bir armatörün, "Bizim cankurtaran filomuz her türlü tayfunda, devasa tsunamilerde bile sizi ücretsiz tahliye eder" diyen merdiven altı bir kurtarma şirketiyle anlaştığını düşünün. Gemi sakin bir denizde seyrederken her şey harikadır. Ancak okyanusun ortasında 10 şiddetinde bir kasırga patlak verip devasa dalgalar gemiyi dövmeye başladığında, kurtarma botu yanaşır. Kaptanın yapacağı şey yolcuları kurtarmak mıdır? Hayır! Cankurtaran botunun kaptanı gemiye bakar, kendi botunun batma tehlikesini görür ve armatöre megafonla bağırır: "Fırtına çok büyük, bizim botumuz zarar görebilir! Limanın güvenliği için sizin geminizi batırmak zorundayız!" ve geminin gövdesine torpido ateşleyip gemiyi kendi elleriyle okyanusun dibine gömer. Kurtarma şirketi müşterisini kurtarmamış; kendi canını kurtarmak için müşterisini kurban etmiştir.
Türkiye ve küresel hosting piyasasında web sitelerinin ana sayfalarında kocaman puntolarla parlayan "Ücretsiz ve Sınırsız Anti-DDoS Koruması! 1 Tbps Koruma Dahil!" afişleri, işte bu torpidolu cankurtaran botunun ta kendisidir.
50 TL'lik Pakette "Sınırsız DDoS Koruması" Satmanın Mantıksızlığı
DDoS (Distributed Denial of Service - Dağıtık Hizmet Engelleme) saldırıları, internetin en pahalı ve çözümü en maliyetli asimetrik savaş aracıdır.
Saldırgan tarafında maliyet komiktir:
- 15 yaşındaki bir genç, Telegram veya Dark Web forumlarından kiraladığı bir kiralık botnet (Stresser/Booter) ile ayda 20 dolara istediği hedefe 50 ila 100 Gbps hacminde UDP/SYN/DNS Amplification saldırısı yönlendirebilir.
Savunan tarafında ise fizik kuralları ve devasa faturalar konuşur:
- 100 Gbps'lik bir saldırıyı karşılamak demek; veri merkezinin ana omurgasında (Upstream / Tier-1 ISP) en az 100 Gbps boş bant genişliği (Transit Bandwidth) rezervi tutması demektir.
- Bu trafiği analiz edip temizlemek için milyonlarca dolarlık özel donanım temizleme filtreleri (Arbor / Netscout TMS, Corero, Radware) veya devasa küresel Anycast scrubber ağları (Cloudflare Magic Transit, Fastly, Akamai) gerekir.
Şimdi kendinize şu soruyu sorun: Size aylık 50 TL'ye (veya 5 dolara) sunucu satan bir firma; sizin 50 TL'lik sunucunuz için 100 Gbps'lik hat faturasını (on binlerce euro) öder mi? Milyon dolarlık donanım filtresini devreye sokar mı?
Tabii ki hayır. O reklam tabelasındaki "Ücretsiz Anti-DDoS" ifadesi, pazarlama departmanının müşteriyi oltaya takmak için uydurduğu zehirli bir yemdir.
İlk Saldırı Anı: Dakika Dakika Karadelik (Blackholing / Null Route)
Bir Cuma akşamı e-ticaret sitenize veya oyun sunucunuza bir rakibiniz tarafından 40 Gbps hacminde bir NTP Amplification + UDP Flood saldırısı başlatılır.
Olaylar veri merkezinin omurgasında ışık hızında gelişir:
[Saldırgan Botnet] ───► [40 Gbps Trafik] ───► [Veri Merkezi Kenar Yönlendiricisi (Edge Router)]
│
▼
"Bu IP'nin portu 1 Gbps!"
"Hat tıkandı! Bütün veri merkezi etkileniyor!"
"Komşu bankalar, holdingler yavaşladı!"
│
▼
[OTOMATİK BGP BLACKHOLE TETİKLENDİ!]
IP: 185.255.xx.xx ───► NULL0 (ÇÖP KUTUSU!)
│
▼
[SİTE TÜM DÜNYADAN ANINDA SİLİNDİ!] ❌
- T = 0. Saniye: 40 Gbps trafik veri merkezinin ana switch'ine çarpar. Sizin sunucunuzun bağlı olduğu 1 Gbps'lik kablo saniyesinde boğulur (Bufferbloat).
- T + 5. Saniye: Trafik sadece sizi değil; aynı kabinde, aynı switch'te barınan diğer 500 müşterinin de internetini keser. Veri merkezinin omurga gecikmeleri (latency) 5 ms'den 500 ms'ye fırlar.
- T + 15. Saniye (İnfaz): Veri merkezinin BGP yönlendiricisi (Border Router) derhal devreye girer. Saldırıyı temizlemekle uğraşmaz! Upstream sağlayıcısına (Türk Telekom, Seabone, Cogent, Telia) bir BGP Community (Blackhole Tag:
65535:666) anonsu fırlatır:
"Bu IP adresine gelen TÜM TRAFİĞİ daha Türkiye sınırına girmeden yurt dışı omurgasında doğrudan/dev/null(karadelik) çöpüne atın!" - T + 20. Saniye (Klinik Ölüm): Saldırı durmuştur; evet. Ancak meşru müşterilerin trafiği de çöpe gitmektedir. IP adresiniz dünyadan tamamen silinmiştir. Sitenize girmeye çalışan herkes
ERR_CONNECTION_TIMED_OUTalır.
Müşteri Hizmetlerinin İronisi: "Sizi Korumak İçin Kestik!"
Sitesi çöken esnaf destek talebi açar:
"Siteme ulaşılamıyor, Anti-DDoS korumanız vardı, neden çalışmıyor?!"
Veri merkezinden gelen o trajikomik resmi yanıt ekrana düşer:
"Sayın müşterimiz, sunucunuza şebeke kapasitemizi aşacak büyüklükte (42.8 Gbps) bir saldırı gelmiştir. Diğer müşterilerimizin servis kalitesinin etkilenmemesi ve altyapımızın bütünlüğü adına IP adresiniz 24 saat süreyle Null Route (Karadelik) havuzuna alınmıştır. Saldırı durduğunda IP adresiniz otomatik olarak erişime açılacaktır. Anlayışınız için teşekkür ederiz."
Müşteri donakalır:
- Saldırıyı durduramamışlardır.
- Trafiği filtreleyememişlerdir.
- Sırf kendi şebekeleri zarar görmesin diye müşterinin fişini çekmişlerdir.
- Ve saldırgan amacına %100 ulaşmıştır: Site 24 saat boyunca kapalıdır!
Gerçek DDoS Koruması Nasıl Olur? (Filtreleme vs. Fiş Çekme)
Gerçek ve profesyonel bir DDoS savunması, gelen trafiği çöpe atmak değil; cerrahi bir neşterle temiz trafiği kirli trafikten ayıklamaktır (Mitigation).
[Saldırı + Meşru Trafik (60 Gbps)]
│
▼
[Küresel Anycast Scrubbing Merkezi (Cloudflare / Fastly)]
│
├─► KİRLİ TRAFİK: SYN Flood, UDP Amplification, Botlar
│ ───► Kenar Sunucularda Damla Damla Emilir & Yok Edilir (Drop)
│
▼
[TEMİZ TRAFİK (Yalnızca Meşru Kullanıcılar - 15 Mbps)]
│
▼ Güvenli GRE Tüneli / Origin Shield
[Sizin Kaynak Sunucunuz (Hiçbir Şey Hissetmez, CPU %3)]
Gerçek koruma altyapısında:
- BGP Anycast Mimarisi: Saldırı trafiği tek bir veri merkezine çekilmez. Dünyanın 300 farklı şehrine dağıtılır. 50 Gbps saldırı, şehir başına 150 Mbps'lik önemsiz bir çisentiye bölünür.
- Paket İnceleme (DPI - Deep Packet Inspection): HTTP/2 katmanındaki karmaşık Layer 7 saldırıları (Slowloris, HTTP Flood), meşru kullanıcılara CAPTCHA veya JavaScript Challenge sorularak ayrıştırılır.
- Karadelik Yoktur: Kaynak sunucunun IP adresi asla internete ifşa edilmez; sunucu bir kalkanın arkasında güvenle nefes alır.
Neden Kaynak Sunucunun IP'sini Gizlemek Zorundasınız?
Birçok e-ticaret sitesi Cloudflare'ın arkasına geçer ama DNS kayıtlarında mail.sirket.com veya direct.sirket.com adresini açık bırakır.
Saldırgan sitenin arkasındaki gerçek IP'yi (Origin IP) tespit ettiği an, Cloudflare kalkanını baypas ederek doğrudan sunucunun o ucuz veri merkezindeki IP'sine vurur. Veri merkezi anında IP'yi Null Route'a çeker ve Cloudflare ekranında meşhur Error 522: Connection Timed Out hatası belirir.
Kalkanınız ne kadar güçlü olursa olsun; göğsünüze zırh giyip kafanızı açıkta bırakırsanız düşman sizi tek kurşunla indirir.
Sonuç
Fırtınada sizi korumak yerine teknenizi batıran cankurtaran şirketi sizi hayatta tutamaz; ilk saldırıda IP'nizi karadeliğe atan merdiven altı hosting firması da sitenizi koruyamaz.
"Sınırsız ve bedava DDoS koruması" diye bir şey yoktur; olamaz da. DDoS koruması; küresel şebeke kapasitesi, yüksek matematik ve milyon dolarlık altyapı yatırımı gerektiren elit bir siber güvenlik hizmetidir. Ucuz sloganlara kanıp kriz anında fişi çekilenlerden olmayın; ya bütçenizi gerçek scrubbing merkezlerine (Cloudflare Enterprise, AWS Shield) göre planlayın ya da ilk fırtınada geminizin batırılmasını çaresizce kabullenin.