İnternet altyapısında özellikle büyük ölçekli web sunucuları ve ağ güvenliği cihazları kullanılırken, DoS ve DDoS saldırılarının tespiti ve önlenmesi kritik öneme sahiptir. Bu bağlamda, SYN Flood ve UDP Flood saldırıları, servis reddi amacıyla yoğun ve sistematik trafik akışlarıyla hedef alınır. Bu saldırı türlerini tanımak ve etkili tespit ile önlem almak, sistemlerin devamlılığını sağlar.
İlk olarak, SYN Flood saldırısı, TCP üçlü el sıkışma (three-way handshake) sürecini manipüle eder. Saldırgan, sahte IP adresleriyle çok sayıda SYN paketi gönderir ve sunucu, cevap beklerken açık portları doldurur. Bu, sunucunun kaynaklarını tüketerek gerçek kullanıcıların erişimini engeller. UDP Flood ise, sahte UDP paketleriyle gerçekleştirilen ve yüksek bant genişliği kullanımıyla sistemleri yavaşlatan bir saldırıdır. Bu saldırı, genellikle açık UDP portlarını hedef alır ve hızla ağ bant genişliğini tüketir.
Palo Alto gibi güvenlik duvarları ve IDS/IPS çözümleri, bu saldırıları tespit etmekte temel araçlardır. Örneğin, Palo Alto cihazlarında, trafik analizi ve anormallik tespiti için
Threat Prevention ve
DDoS Protection modülleri kullanılır. SYN flood tespiti için, belirli zaman diliminde belirli bir IP’den gelen SYN paketi sayısı veya SYN/ACK oranı izlenebilir. UDP Flood tespiti ise, yüksek oranda UDP paketleri ve normalden sapma göstergeleriyle tespit edilir.
Sunucu tarafında ise, Nginx ve diğer web sunucularında performans optimizasyonu için, trafik sınırlama ve rate limiting özellikleri devreye alınmalıdır. Nginx’te,
ve
direktifleri ile istek başına alınan limitler belirlenebilir. Ayrıca, sysctl ayarlarıyla TCP/IP yığınının davranışları optimize edilerek, SYN backlog ve TIME-WAIT ayarları düzenlenebilir. Örneğin,
1net.ipv4.tcp_syncookies=1
ile SYN flood saldırılarına karşı koruma sağlanabilir.
UDP trafik kontrolü ise, firewall ve IDS çözümleriyle yüksek hacimli UDP paketleri filtrelenerek, sahte trafik azaltılabilir. Ayrıca, saldırı tespiti sonrası, saldırıya maruz kalan portlar kapatılır veya trafik yönlendirilerek, sunucu performansı korunur.
Sonuç olarak, saldırı tespiti ve önleme, ağ altyapısı ve sunucu yapılandırmalarının bütünsel bir yaklaşımla optimize edilmesiyle mümkündür. Bu, hem gerçek zamanlı tespit hem de etkili müdahale gerektirir, böylece sistemler saldırılardan korunmaya alınabilir.
