DDOS Saldırıları Nasıl Yapılıyor?

Selamlar,

Onlarca hosting web sitesi veya onlarca sadece bu koruma adına açılan servisler,hizmetler ve saniye başına "terabaytlarca gb" saldırı aldıklarını hatta "100Gbps+" değerinde saldırı aldıklarını ve bunları bile koruduklarını söylerler veya terabaytlarca saldırılardan dolayı belirli bir süreli kesinti yaşadıklarını belirtirler.
Peki bu normal "abc.com" sitesine istek atarak bitecek bir şey değil.

Peki bu saldırılarda ana amaç nedir?
Nerelere,nasıl istek atarlar?

(Uygulamayacağım,bir şeyi bilmeden onun korumasını yapmak bizler için çok da normal bir şey değildir.)

İşlem yükü ağır olan threadlara fake clientler ile aynı anda binlerce kez request atarak işlemci ve ram gücünü tüketmek.

Sadece sayfaların login veya index sayfalarına mı istek atıyorlar?

hocam bu yasal değil benim'de zamanın'da kafa yorduğum birşeydi ama artık gereksiz, ve gene söylüyorum yasal değil.

Ddos saldirilari iki tipte olur.
Layer4 ve layer7 seklinde yapiliyor. Layer4 ipv4 adresinizin acik portlarina gonderilen istekler diyebiliriz. Yuzlerce metot var server-side tarafinda genellikle gunumuzde veri merkezlerinin korumasini sundugu hizmet layer4ten gecer.
Web projeleri vs icin back-end ipnizi cloudflare gibi uygulamalar ile gizleyip layer4u guvene alabilirsiniz.

layer7 uygulama tabanli saldirilardir. Browser uzerinden binlerce istek gonderilerek yapilir. Burada bir contact form post isteginin sunucuda donguye sokulup sunucu kaynaklarini yukseltmek amaciyla outage senaryosu olabilecekken bazen sadece bircok random agent uretip yollamakta yeterlidir.

Gunumuzde load balancer, waf sistemleri gelistigi gibi diger tarafta gelisiyor. Surekli yaris icinde olunacak. Kisaca bu sekilde anlatabilirim birazda uykuluyum Detay ihtiyaciniz olursa bilgi verebilirim

Bilgisayarlara indirilen ücretsiz, crackli, ***** programların, yamalarin içerisine gizlenen zararlı yazilimlar ile arka planda gönderilen komutlar ile saldırı, hit gönderme vb menfaat işlerini gerçekleşiyor.

Yani kimse hayrına ücretsiz, bedava, crackli vs yazilim/program paylaşmıyor. Bu nedenle bilgisarlarimdaki programları lisanslı kullanmaya özen gösteririm. Tavsiyemdir.

Video işleme yapan bir sitenizin olduğunu düşünün ortalama günlük 1000 kullanıcı video editliyor olsun bunun içinde atıyorum 24core bir işlemcili sunucu kullanıyorsunuz.Saldırıyı yapacak kişi bu video işleyen endpointe farklı ip ve ağlar üzerinden istek atıyor.günlük 1000 kullanıcıyı karşılayabilen siteye yüzbinlerce istek gelince asıl kullanıcılarda sisteme erişemez hale geliyor çünkü cpu yetmiyor.Yani sisteminiz yanıt veremiyor (denial of service (DOS)).

Video işleme yerine her olayı koyabilirsiniz bariz olması için bu örnek üzerinden anlattım.Örneğin kullanıcı kayıt işlemi üzerinden ddos atılabilir.günde 100-200 yeni kayıt alan db ye dklar içinde milyon kullanıcı kaydı gelince ne ram kalıyor ne cpu ne disk.Asıl kayıt olmaya çalışan kullanıcı ise olamıyor.

Yani atılan ddos için önce sistemdeki en yüksek kaynağı harcayan ve en rahat erişilebilen mümkünse rate limit yada auth ile korunmayan endpoint üzerine gidilir.Sitemin yanıt vermeyecek kadar yoğun çalışması sağlanır.

Benim anlamadığım gönderilen binlerce istek her biri farklı IP adresine mi sahip galiba?
Bu kadar IP adressini nasıl bulabiliyor, öğrenmek amaçlı soruyorum bende.

Bu tür yüksek 100-200-500 gbit hatta tbit seviyesinde saldırılar genelde refleksiyon yöntemiyle yapılır.

Çünkü bu kadar yüksek trafiği kendinize ait 5-10 sunucuyla çıkartamazsınız dikkat çeker engellenir. Refleksiyon yönteminde dünya üzerinde açık barındıran yüzbinlerce sunucu kullanılır, özellikle udp taraflı yapılan isteklere bu sunucuların yanıt vermesi sağlanır, özel exploitlerle saldırı yapılacak olan ip adresi sanki bu sunuculara istek gönderip cevap bekliyormuş gibi sahte paketler üretilerek bu yüzbinlerce sunucunun saldırı yapılan sunucu yada sunuculara milyarlarca paket göndermesine ve doğal olarak çok büyük bant genişliği oluşturarak hedef sunucunun yanıt veremez hale gelmesine sebep olurlar. Bu açık barındıran sunucular tek bir noktada olmayıp yüzlerce ülkede yüzlerce farklı ip bloğunda olduğu için hedef sunucuların bu tür saldırıları kendi altyapısı ile engellemesi oldukça güçtür hatta bu tür büyük saldırılar sadece saldırı alan sunucu yada sunucuları değil sunucunun bulunduğu verimerkezini hatta verimerkezinin hizmet aldığı servis sağlayıcıyı bile erişilemez hale getirebilir hatta network altyapısı kötü olan ülkelerin ana omurgalarını bile zorlayabilir. Bu yüzden cloudflare, akamai, fastly gibi servisleri tercih ediyor çok büyük şirketler. Bu şirketlerin yüzlerce ülkede network altyapısı var, gelen trafiği anlık olarak analiz edip yükü dağıtacak filtreleyecek, gelen trafiğin yapısını dakikalar içinde inceleyip servis sağlayıcıların hepsini uyaracak bir otomasyonları var. Ve elbette en önemlisi bu tür büyük bant genişliklerini karşılayacak network altyapıları, anlık milyarlarca paketi işleyebilecek donanımları mevcut.

Buraya kadar anlattığım süreç layer 3-4 tipi saldırılar için, layer 7 botnet saldırılar apayrı bir konu ama artık botnet saldırılar eskisi kadar yaygın ve etkili değil. Yani en azından yukarda bahsettiğim etkiyi yaratacak milyonlarca kurban bilgisayarı olan botnet ağları pek yok. Kurban toplamak bunları güncel koruma yöntemlerine göre geliştirmek kolay iş değil. Fakat layer 7 botnet saldırılar network yerine direkt uygulama katmanındaki servisleri hedeflediğinden baş edilmesi zaman zaman zor olabilmektedir. 5 bin bot ile layer 7 taraflı hiçbir korumaya sahip olmayan ağır sorguları olan bir siteyi 10 saniyede devre dışı bırakabilirsiniz.