İnternet altyapılarında hizmet sürekliliği ve güvenlik, özellikle DDoS saldırılarıyla mücadelede kritik öneme sahiptir. AWS veya genel bulut ortamlarında, SYN Flood ve UDP Flood gibi yüksek hacimli saldırılar, sistemlerin erişilebilirliğini tehdit eder ve hızlı müdahale gerektirir. Bu noktada, Splunk gibi analitik ve olay yönetimi araçlarının CLI üzerinden alınan kararlarla saldırı kaynaklarını hızla engellemek, zaman kazanımı ve sistem stabilitesi açısından avantaj sağlar.
İlk adım olarak, saldırı tespit edilmelidir. Splunk’ın gerçek zamanlı izleme özellikleri ve log analizi sayesinde, anormal trafik artışları, yüksek SYN veya UDP paketleri tespiti yapılabilir. Örneğin, CLI üzerinden aşağıdaki komutlar kullanılarak, belirli IP’lerden gelen yüksek SYN veya UDP paketleri kontrol edilir:
[/CODE]
index=network sourcetype=firewall | stats count by src_ip, protocol
[/CODE]
Burada, yüksek sayıda SYN paket gönderen IP adresleri veya UDP trafiği yoğun IP’ler belirlenir. Ardından, saldırı kaynağını engellemek için, bulut ortamındaki güvenlik grubu veya firewall kurallarına hızlıca müdahale edilir. AWS ortamında, CLI ile aşağıdaki adımlar izlenebilir:
- Güvenlik grubu veya NACL kurallarını güncelleme
[/CODE]
aws ec2 revoke-security-group-ingress --group-id sg-xxxxxxxx --protocol tcp --port 80 --cidr 1.2.3.4/32
aws ec2 authorize-security-group-egress --group-id sg-xxxxxxxx --protocol tcp --port 80 --cidr 0.0.0.0/0
[/CODE]
Burada, saldırgan IP adresleri veya IP aralıkları, güvenlik kurallarıyla engellenir. Alternatif olarak, doğrudan Linux tabanlı sistemlerde iptables veya nftables kullanılarak da hızlı bloklama yapılabilir:
[/CODE]
iptables -A INPUT -s 1.2.3.4 -j DROP
nft add rule ip filter input ip saddr 1.2.3.4 drop
[/CODE]
Bu adımlar, saldırgan IP’lerini anında engellemeyi sağlar. Ayrıca, Splunk’daki olaylara dayalı otomasyon ve scriptler ile bu işlemler otomatik hale getirilebilir. Akıllı kurallar ve filtreler, saldırı yoğunluğuna göre dinamik olarak güncellenebilir. Bu yöntemler, saldırıların etkisini minimize ederken, sistemin erişilebilirliğini korumayı amaçlar.
Sonuç olarak, bulut ortamında saldırı tespiti ve hızlı müdahale, detaylı trafik analizi ve CLI temelli güvenlik kuralı güncellemeleri ile mümkündür. Bu süreçlerin otomasyonu, saldırıların etkisini azaltmak ve sistem sürekliliğini sağlamak için kritik önemdedir.
