DDoS Bilişim Sistemleri (Dağıtılmış Hizmet Reddi) ve DoS (Hizmet reddi) saldırılar, hedefledikleri OSI modelinin katmanlarına göre genel olarak üç kategoriye ayrılabilir: Ağ Katmanı (Katman 3), taşıma katmanı (Katman 4), ve uygulama katmanı (Katman 7).

Katman 3 ve Katman 4 saldırıları genellikle daha az karmaşıktır–azaltmanın çok zor olabileceği halde–ve ağ ile taşıma katmanını trafikle doldurmayı içerir, hedef sistemin kaynaklarını aşırı yükleyerek meşru kullanıcılara kapatır. Bu tür saldırılar, ICMP seli gibi çeşitli teknikler kullanılarak başlatılabilir, TCP SYN seli, veya UDP seli.

Örneğin bir ICMP seli, bir Katman 3 saldırısıdır; burada çok sayıda ICMP paketi hedef sisteme gönderilir, yanıt vermez hale getirir. Bir TCP SYN seli, diğer yandan, bir katman 4 saldırısıdır; TCP bağlantılarının nasıl kurulduğunu istismar eder.

Bir SYN seli saldırısında, saldırgan hedef sisteme birçok SYN paketi gönderir, ancak bağlantıyı tamamlamak için asla bir ACK paketi göndermez. Bu, sistemin her bağlantı denemesi için kaynak ayırmasına neden olur ve sonunda sistemi aşırı yükleyerek meşru kullanıcılara kapatır. Bir UDP seli, hedef bir sisteme çok sayıda UDP paketi gönderir, kaynaklarını tüketerek yanıt vermez hale getirir.

Uygulama katmanı DDoS saldırıları

Uygulama katmanı saldırıları, katman saldırılarından daha karmaşık ve azaltılması daha zordur 3 ve katman 4 saldırılar. Bu saldırılar uygulama katmanını hedef alır (katman 7) hedef sistemin uygulama katmanını hedef alır ve uygulamadaki zayıflıkları istismar eder. Katman 7 saldırılar daha fazla zarar verebilir çünkü doğrudan uygulamaları ve alt yapıyı etkileyebilirler. katman azaltamazsınız 7 DDoS saldırılarını katman 3 veya katman 4 gibi araçlarla azaltamazsınız, örneğin ağ güvenlik duvarlarıyla.

HTTP seli, Slowloris saldırıları, ve DNS amplifikasyon saldırıları Katman 7 hizmet reddi saldırılarıdır. Bu saldırılar, uygulama katmanı güvenlik duvarları gibi daha sofistike savunmalar gerektirir, saldırı önleme sistemleri, ve CDN (içerik dağıtım ağları).

HTTP seli

HTTP seli saldırıları, hedef sunucuyu aşırı yüklemek için GET veya POST istekleri kullanılarak gerçekleştirilir. GET istekleri kullanan sel saldırıları genellikle daha basit ve daha az kaynak gerektirir çünkü yalnızca sunucudan bilgi talep ederler. POST istekleri, diğer yandan, genellikle büyük miktarda veri göndermeyi gerektirir.

HTTP flood saldırılarının azaltılmasının zor olmasının nedenlerinden biri, genellikle çok sayıda kaynaktan başlatılmalarıdır, bu da tüm kötü niyetli trafiği tanımlayıp engellemeyi zorlaştırır. Ayrıca, saldırganlar, gerçek kimliklerini gizlemek ve saldırılarının kaynağını izlemeyi daha da zorlaştırmak için IP sahteciliği gibi teknikler kullanabilir.

HTTP flood saldırılarına karşı savunma yapmak karmaşık olabilir. Farklı saldırı türleri, farklı azaltma stratejileri gerektirir. HTTP flood saldırılarına karşı yaygın savunmalar arasında hız sınırlama bulunur, kara listeye alma, ve web uygulama güvenlik duvarları. Fakat, bu teknikler kaynak yoğun olabilir ve daha sofistike saldırıları engellemek için yeterli olmayabilir.

Slowloris saldırıları

Slowloris, web sunucularının istemci bağlantılarını nasıl yönettiğini hedef alan bir tür flood saldırısıdır. Bu saldırı, sunucuya çok sayıda bağlantı açarak çalışır, ancak istekleri yavaş bir hızda gönderir, her bağlantıyı mümkün olduğunca uzun süre açık tutarak. Bu tür bir saldırı, sunucunun mevcut tüm kaynaklarını tüketebilir ve saldırganların CPU'yu tüketmesine olanak tanır, bellek, veya ağ bant genişliği, ve saire. hatta tipik hız sınırlama ve diğer DDoS saldırı türlerini tespit ve engellemek için yaygın olarak kullanılan trafik filtreleme mekanizmalarını tetiklemeksizin.

Slowloris saldırısı gerçekleştirmek için, saldırganlar genellikle bir sunucuya HTTP istekleri gönderen betikler veya araçlar kullanır, ancak sonraki istekleri göndermeyi kasıtlı olarak geciktirir. İstek, meşru bir isteğe benzemek üzere tasarlanmıştır, ancak bağlantıyı sonsuz bir süre açık tutan eksik bir başlık içerir. Zamanla, sunucu, istemciden ek veri bekleyen birçok açık bağlantıya sahip olacaktır, bu da sunucunun meşru trafiğe yanıt vermeyi durdurmasına neden olur.

Slowloris saldırıları, gizli tasarımı ve nispeten düşük bant genişliği nedeniyle tespit edilmesi zor olabilir. Bu, saldırganların sunucularını sabotaj etmek için etkili bir araç haline getirir, böylece uyarıları tetiklemeden veya şüphe yaratmadan. Slowloris saldırılarına karşı savunmak için, web sunucuları birkaç önlem uygulayabilir. Örneğin, tek bir IP adresinden kurulabilecek bağlantı sayısını sınırlamak veya eksik istekler için bir zaman aşımı belirlemek. Bazı web uygulama güvenlik duvarları ve DDoS azaltma hizmetleri, Slowloris saldırılarına karşı yerleşik koruma sunar, bu tür trafiği gerçek zamanlı olarak tespit edip engelleyebilen algoritmalar kullanarak.

Katman 7 DDoS önlemleri

Hız sınırlaması

Hız sınırlaması, belirli bir IP adresinden veya kullanıcı aracından belirli bir zaman diliminde yapılabilecek istek sayısı üzerinde bir eşik belirlemeyi içerir. Kavram, katmanda hız sınırlamasına çok benzer 3 ancak katmanda uygulanması gerekir 7.

Hız sınırlamasının amacı, bir saldırganın web uygulamasını büyük sayıda istekle aşırı yüklemesini önlemektir, bu da sunucu kesintisine neden olur. Hız sınırlaması, web uygulamanızın mimarisinin çeşitli katmanlarında uygulanabilir, bir web sunucusunda, yük dengeleyici, veya uygulama güvenlik duvarında. Uygulamalar genellikle belirli bir IP adresi veya kullanıcı aracısı tarafından yapılan isteklerin sayısını takip etmeyi ve önceden tanımlanmış bir eşik aşıldığında daha fazla isteği engellemeyi içerir.

Web uygulamalarında hız sınırlaması uygulamak için yaygın bir yaklaşım, her istemcinin yaptığı isteklerin sayısını takip eden ara yazılımlar veya eklentiler kullanmaktır ve eşik aşıldığında daha fazla isteği engeller. Bu eklentiler, istek türü gibi faktörlere dayalı olarak farklı hız sınırlama politikaları uygulayacak şekilde yapılandırılabilir, kullanıcı aracısı, veya istemci IP adresi.

Örneğin, basit bir hız sınırlama politikası, tek bir IP adresinden gelen istekleri maksimum olarak sınırlayabilir 10 dakikada istek. Bir istemci bu eşiği aşarsa, sonraki istekler, süre dolana kadar engellenir.

Uygulama katmanı hız sınırlama ürünleri, popüler web sunucuları ve bulut hizmetleri için mevcuttur, dahil olmak üzere:

Apache

Apache, hız sınırlaması için kullanılabilecek birkaç modüle sahiptir, gibi mod_limitipconn, belirli bir IP adresinden gelen eşzamanlı bağlantı sayısını sınırlar, Ve mod_qos, çeşitli hizmet kalitesi kontrolleri sunar, bunlar arasında hız sınırlama da vardır.

Ayrıca, ModSecurity Web Uygulama Güvenlik Duvarı tanımlı bir eşiği aşan istemcileri engelleyebilen bir hız sınırlama özelliğine sahiptir. Yukarıda bahsedilen modüllere ek olarak, Apache ayrıca mod_evasive sağlar. Bu, tanımlı bir eşiği aşan istemcileri hız sınırlamak ve engellemek için kullanılabilecek bir modüldür. Çeşitli teknikler kullanarak kötü niyetli istemcileri tespit edin ve engelleyin, IP ve kullanıcı ajanı takibi dahil.

Nginx

Nginx sağlar ngx_http_limit_req modülü. Bu, belirli istemcilerden gelen istek hızını IP adresine veya diğer faktörlere göre sınırlamak için kullanılabilir. Bu modül, her istemciye hız sınırlama politikasına göre jeton tahsis etmek için bir jeton kovası algoritması kullanır. ngx_http_limit_req modülüne ek olarak, Nginx ayrıca ngx_http_limit_conn modülünü sağlar. Bu, belirli istemcilerden veya IP adreslerinden gelen bağlantı sayısını sınırlamak için kullanılabilir. Bu modül, hız sınırlama politikalarına göre jeton tahsis etmek için bir jeton kovası algoritması kullanır.

IIS

Microsoft'in Internet Bilgi Hizmetleri (IIS) bir dinamik IP sınırlama modülü oran sınırlaması için kullanılabilir. Bu modül, önceden tanımlanmış eşikleri aşan IP adreslerinden gelen istekleri engellemek için yapılandırılabilir ve izleme için uyarılar ve günlükler sağlayabilir. Dinamik IP Sınırlama modülüne ek olarak, IIS ayrıca belirli istemcilerin istek oranını IP adresi gibi çeşitli kriterlere dayalı olarak sınırlamak için kullanılabilecek bir İstek Filtreleme modülü sunar, kullanıcı aracısı, ve istek yöntemi.

AWS

Amazon Web Services (AWS) oran sınırlaması için kullanılabilecek çeşitli hizmetler sunar, dahil olmak üzere Oran sınırlaması özelliği ile AWS WAF.

AWS Shield, belirli bir eşiğin üzerindeki IP adreslerinden gelen istekleri engelleyebilen oran bazlı kurallar dahil DDoS koruması sunar. AWS WAF ve AWS Shield'a ek olarak, AWS ayrıca sunar AWS Elastic Load Balancer. Önceden tanımlanmış eşiklerin üzerindeki istemcileri engellemek için yapılandırılabilen çeşitli oran sınırlama politikaları içerir.

Azure

Microsoft Azure, oran sınırlaması için kullanılabilecek çeşitli hizmetler sunar, Azure Uygulama Geçitleri dahil. Gelen isteklerin oranını sınırlamak için yapılandırılabilen bir web uygulama güvenlik duvarı içerir. Ayrıca, Azure Front Door sunar bir hız sınırlama özelliği önceden tanımlanmış bir eşiğin üzerindeki IP adreslerinden gelen istekleri engelleyebilir. Azure Uygulama Geçidi ve Azure Front Door'a ek olarak, Azure ayrıca Azure Güvenlik Duvarı sunar. Bu, tanımlanmış bir eşiği aşan istemcileri hız sınırlamak ve engellemek için kullanılabilir.

GCP

Google Cloud Platform (GCP) Cloud Armor sunar, tanımlanmış bir eşiği aşan istemcilerden gelen istekleri engelleyebilen hız sınırlama yeteneklerine sahip bir web uygulama güvenlik duvarı.

Bu uygulama katmanı hız sınırlama ürünleri, kötü niyetli istemcilerden gelen istek sayısını sınırlayarak HTTP flood saldırılarını etkili bir şekilde azaltabilir. Fakat, meşru trafiği engellemeyecek şekilde doğru yapılandırılmaları ve DDoS saldırılarına karşı kapsamlı koruma sağlamak için güvenlik duvarları ve DDoS azaltma hizmetleri gibi diğer güvenlik önlemleri ile birlikte kullanılması önemlidir.

Tamamlanmamış istekler için zaman aşımı

Aşağıda Apache için listelenmiş bazı Slowloris uygulama katmanı azaltma yöntemleri bulunmaktadır, Nginx, ve IIS web sunucuları, ve yük dengeleyiciler ve AWS için ek özellikler, Azure, ve GCP hizmetleri:

Apache

Yukarıda bahsedilen modüllere ek olarak, Apache ayrıca bir modül sağlar, mod_reqtimeout, gelen istekler için bir zaman aşımı ayarlamak için kullanılabilir. Eğer istemci belirtilen zaman aşımından daha uzun süren bir istek gönderirse, sunucu bağlantıyı kapatacaktır. Bu, slowloris saldırılarını önleyecektir.

Nginx

ngx_http_limit_conn modülü ve ngx_http_limit_req modülünün yanı sıra, Nginx ayrıca ngx_http_request modülünü de sağlar. Bu, üst akış sunucusunun isteği işleme süresini sınırlamak için kullanılabilir. Eğer üst akış sunucusu belirtilen zaman aşımından daha uzun sürerse, Nginx bağlantıyı kapatacaktır.

IIS

Dinamik IP Kısıtlamaları ve İstek Filtreleme modüllerine ek olarak, IIS ayrıca bir çekirdek mod sürücüsü sağlar HTTP.sys. Bu, gelen istekler için bir zaman aşımı ayarlamanıza olanak tanır. Eğer istemci belirtilen zaman aşımından daha uzun süren bir istek gönderirse, sunucu bağlantıyı kapatacaktır.

AWS

AWS WAF ve AWS Shield'a ek olarak, AWS ayrıca Elastic Load Balancer sağlar, bu, önceden tanımlanmış bir eşiği aşan bağlantıları kapatmak için yapılandırılabilen birçok bağlantı zaman aşımı kuralını içerir.

Azure

Azure Uygulama Geçidi ve Azure Front Door'a ek olarak, Azure ayrıca Azure Load Balancer sağlar, bu, önceden tanımlanmış bir süre boyunca boşta kalabilecek bağlantıları kapatmak için kullanılabilecek yapılandırılabilir bir boşta zaman aşımı özelliği içerir.

GCP

Google Cloud Platform (GCP) hizmetleri için birçok bağlantı zaman aşımı seçeneği sunar, bu, Cloud Load Balancing'i içerir, bu, önceden tanımlanmış bir eşiği aşan bağlantıları kapatmak için kullanılabilecek yapılandırılabilir bir zaman aşımı özelliği içerir.

Sonuç

Sonuç olarak, DDoS ve DoS saldırıları, hedef aldıkları OSI modelinin katmanlarına göre sınıflandırılabilir, örneğin ağ katmanı (Katman 3), taşıma katmanı (Katman 4), ve uygulama katmanı (Katman 7).

Katman saldırıları 3 ve katman 4 ağ ve taşıma katmanlarını trafikle doldurur, katman 7 saldırıları daha karmaşık olup, uygulamaların kendisindeki zayıflıkları istismar eder. HTTP seli ve Slowloris saldırıları katman örnekleridir 7 hizmet reddi saldırılarıdır. Bu saldırılara karşı önlemler arasında hız sınırlama bulunmaktadır, kara listeye alma, ve web uygulama güvenlik duvarları. Saldırıları gerçek zamanlı olarak tanımlamak ve sınırlamak, kapsamlı bir, çok katmanlı savunma stratejisi gerektirir ve izlemeyi içerir, tespit, ve yanıt yetenekleri.

Ayrıca, saldırganlar tekniklerini özelleştirip, tespiti atlatmak ve güvenlik önlemlerinden kaçmak için saldırılarını uyarlayabilir. Bu nedenle, kuruluşların kapsamlı bir, çok katmanlı savunma stratejisi gerektirir ve izlemeyi içerir, tespit, ve yanıt yeteneklerini uygulamaları, saldırıları hızlı bir şekilde tanımlamak ve gerçek zamanlı olarak sınırlamak için zorunludur. Bu, kötü niyetli trafik desenlerini tespit etmek ve engellemek için gelişmiş makine öğrenimi algoritmaları ve davranış analitiği kullanmayı içerebilir.