Saldırgan, Türkiye lokasyonlu konut/mobil proxy veya botnet ağı kullanarak iOS / Mobile Safari taklidi yapan bir Layer 7 HTTP GET Flood çalıştırıyor.


Özellikle tek bir IP'den (149.86.140.75) 7.81 milyon, ikincisinden (195.175.55.254 - Türk Telekom/Superonline bloğu) 4.06 milyon istek gelmesi, saldırının dağıtık olsa da belirli düğüm noktalarından yoğunlaştırıldığını gösteriyor.


Saldırıyı anında kesmek için şu adımları uygulayın:


1. Belirgin Saldırı IP'lerini Doğrudan Engelleyin

• Cloudflare'de Security > WAF > Tools > IP Access Rules bölümüne gidin.
• Görseldeki ana saldırgan IP adreslerini doğrudan engelleyin:
  • 149.86.140.75 -> Block
  • 195.175.55.254 -> Block
  • 188.132.221.8 -> Block

2. Mobil Safari / iOS Taklidine Karşı JS Challenge Kuralı Yazın Saldırı trafiğinin %99'u iOS ve Mobile Safari görünüyor. Botların JavaScript motoru genelde eksik veya sahtedir. Security > WAF > Custom Rules alanında kural ekleyin:

• Field: User Agent -> contains -> Mobile/
• And: Country -> equals -> Turkey
• Action: Managed Challenge veya Interactive Challenge (Bu kural gerçek mobil kullanıcıları 1-2 saniyelik şeffaf doğrulamayla içeri alırken bot isteklerini anında süzecektir).

3. Katı Bir Rate Limiting (İstek Sınırı) Kuralı Ekleyin Saldırganlar aynı IP üzerinden saniyede yüzlerce GET isteği gönderiyor. Normal bir mobil kullanıcının bu hıza ulaşması imkansızdır.

• Security > WAF > Rate Limiting Rules -> Create Rule:
  • When incoming requests match: All incoming requests (veya URI Path contains /)
  • Rate: 10 saniyede 15 istekten fazla ise
  • Action: Block (Süre: 1 saat veya 24 saat)

4. Bot Fight Mode / Super Bot Fight Mode'u Açın

• Security > Bots sekmesine gidin.
• Bot Fight Mode ayarını aktif edin. Cloudflare, başlıkları (User-Agent, TLS Fingerprint) taklit edilen bu otomatik cihazları doğrudan yakalayacaktır.

Bu üç kuralı (IP Bloklama + Challenge + Rate Limit) devreye aldıktan 2-3 dakika sonra sunucu yükünüz normale dönecektir.