Bu yazımda sizlerle (D)DoS nedir, (D)DoS türleri nelerdir ve ne gibi önlemler alınabilir bilgilerini paylaşacağım.
DDoS (Distrubited Denial of Service) : Türkçeye, Dağıtık Hizmet Engelleme Saldırısı olarak çevrilmektedir. Bu saldırıda çalışan uygulama veya sisteme “fazla trafik yüklenerek” uygulama&sistemin çalışamaz veya erişilemez hale getirilmesi hedeflenir.
DoS (Denial of Service) : Anlayacağınız gibi “Hizmet Engelleme Saldırısı” demektir. Saldırının birden çok cihaz üzerinden(BotNet) yapılması değil de tek bir cihaz üzerinden yapılmasına denir. Bir resim ile gösterecek olursam ;
DDoS’a karşı tam bir korunma sağlamak mümkün değildir. İnternet Servis Sağlayıcımız tarafından DDoS saldırıları karşılanmadığı sürece bizim alacağımız önlemler bir nebze saldırının etkisini azaltabilir ve saldırıyı yapmayı zor hale getirebilir.
DDos Saldırı Türleri
• SYN Flood : Hedef sisteme milyonlarca sahte IP adresinden geliyormuş gibi SYN bayraklı TCP paketleri gönderilir. Sunucu, cevap olarak herkese SYN+ACK paketini gönderemediği için sunucu çöker.
✓ Bu saldırıya önlem olarak : SYN Cookie kullanılır. SYN Cookie kullanımında, SYN paketi ilk olarak Firewall, IDS&IPS gibi cihaza gidiyor ve isteği yapan IP’ye SYN+ACK paketini gönderiyor. Eğer istemci ek paket gönderimi yaparsa, bu sefer o istek Web sunucusuna iletiliyor.
• UDP Flood : Hedef sistemin rastgele portlarına çok sayıda UDP paketi gönderilmesi ile yapılır. Çok sayıda UDP paketine maruz kalan hedef sistem, portu dinleyen bir uygulama olmadığını gördüğü zaman ICMP yani “hedef erişilemez” paketi ile cevap verir. Bu döngü sonunda hedef sistem erişilemez hale gelir.
✓ Bu Saldırıya önlem olarak : Sistemin cevap olarak göndereceği ICMP paketlerine bir sınır koyulabilir. Bu önlemenin dezavantajı, meşru olarak gönderilecek ICMP paketinin de arada filtrelenebilmesi durumudur.
• Ping Of Death : Saldırganın basit bir ping komutu ile büyük boyutlu ping paketleri kullanarak, hedef sistemi çalışamaz duruma getirdiği saldırılardır. Bu paketler maksimum boyutuna kadar ayrılıp parça parça sisteme gönderilirler. Sistemde birleştirilen paketin boyutu oldukça büyük olacağı için sistemin tüm bandwith’ini(kanal genişliği) kaplar ve sistem işleyemez hale gelir.
✓ Bu Saldırıya önlem olarak : Sistemimize gelen paket paket parçalar birleştirilmeden önce paketlerin maksimum boyutlarının tekrar kontrol edilmesi işlemi yaptırılabilir.
• ICMP Flood : ICMP talep paketleri ile hedef sistemin hem giden hem de gelen bant genişliğine aşırı yük bindirerek sistemi çalışamaz hale getirdiği saldırıdır.
✓ Bu Saldırıya önlem olarak : Sistemin direkt olarak ICMP paket alış verişi kapatılabilir. Bu sayede sistem ne ping(ICMP) isteği alabilir, ne de ICMP Echo Reply isteğini geri göndermeye çalışır.
• HTTP Flood : Sunucuya, sunucunun cevap verebileceğinden çok daha fazla, artarda gönderilen HTTP isteklerinden oluşan saldırı türüdür.
✓ Bu Saldırıya önlem olarak : Sistemimize Captcha kurabiliriz. Bu sayede BotNet’ler üzerinden bize gelen HTTP isteklerini engelleyebilmiş oluruz.
• Slowloris : Web sunucusunda birden çok bağlantılar açarak, o bağlantıları oldukça uzun süre boyunca açık tutmaya çalışılan saldırıdır. Sunucu oluşan belirli bağlantıdan sonra başka bir IP ile bağlantı kuramayacak, sunucu erişilemez hale gelecektir.
✓ Bu Saldırıya önlem olarak : Tek bir IP üzerinden gelebilecek bağlantı sayısını kısaltabiliriz. BotNet üzerinden gelebilecek saldırı durumu için ise Sunucumuzun bağlantı için izin vereceği maksimum sayıyı arttırmak olabilir.
• DNS Amplification (DNS Reflection) : Hedefin IP adreslerini, IP Spoofing(taklit ederek) yaparak bir DNS sunucusuna istek yaptırılıyor. DNS sunucusu, IP Spoofing yaptığımız IP adresine çok fazla cevap verdiği için, hedef isteklere cevap veremiyor ve erişilemez hale geliyor.
✓ Bu Saldırıya önlem olarak : ISP’ler (İnternet Servis Sağlayıcı) tarafından önleme yapılabilir. Kurbanın IP adresine giden tüm istekler filtrelenip kısıtlanabilir.
• SSDP Attack : Kurban sisteme uPnP(tak ve çalıştır) teknolojisni kullanan cihazlar üzerinden istekler yaparak, sistemin erişilemez&çalışamaz hale getirildiği atak türüdür.
✓ Bu Saldırıya önlem olarak : uPnP teknolojisinin kullandığı port default olarak 1900’dür. Firewall üzerinde 1900 numaralı porttan gelicek UDP istekleri engellenirse önlem alınmış olunabilir.
0x018
Barış Koparmal 