DDoS Nedir, Nasıl Engellenir?

Panelde ani bir trafik patlaması görünüyor. Ajans “bulut koruma alalım” diyor, hosting sağlayıcısı “bizde DDoS koruma zaten dahil” diyor, ağ ekibi ise “biz saldırıyı upstream’de zaten karartıyoruz” diyor, üçü de farklı bir katmandan konuşuyor ve hiçbiri aynı şeyi kastetmiyor. Oysa “ddos nedir” sorusunun cevabı kadar, saldırının hangi katmanda gerçekleştiğini ayırt etmek de belirleyici; çünkü yanlış katmana yapılan yatırım saldırı anında hiçbir işe yaramıyor. Bu rehber üç şeyi netleştiriyor: saldırının hangi katmanda olduğunu ayırt etmek, korumayı doğru yere konumlandırmak ve Türkiye’de bu konuda yasal olarak neyin zorunlu olduğunu bilmek.

DDoS Nedir?

DDoS (Distributed Denial of Service / Dağıtık Hizmet Engelleme), bir sistemin taşıyabileceğinden fazla isteği çok sayıda farklı kaynaktan aynı anda göndererek hizmeti erişilemez hale getiren saldırı türüdür. Amaç veri çalmak değil, hizmeti durdurmaktır; bu yüzden başarısı sistemin kapasite sınırıyla ölçülür. Saldırının hedefi gizlilik değil erişilebilirliktir. DDoS, verinize değil, hizmete erişiminize yönelir. Kapasite sınırı üç farklı noktada ortaya çıkabilir: bant genişliğinde, sunucunun bağlantı tablosunda veya uygulamanın işlem gücünde. IETF’in RFC 4732 belgesi, hizmet reddi durumunu bir sistemin meşru kullanıcılara sunduğu hizmet kalitesinin kasıtlı olarak düşürülmesi olarak tanımlar; DDoS ise bunu tek bir kaynaktan değil, çok sayıda kaynaktan eşzamanlı şekilde yapar. Özetle ddos nedir sorusunun teknik cevabı budur: kapasiteyi aşan, dağıtık kaynaklı bir erişilebilirlik saldırısı.

DoS ile DDoS Arasındaki Fark Nedir?

DoS saldırısı tek bir kaynaktan, DDoS ise binlerce farklı kaynaktan gelir; aradaki fark yalnızca ölçek değil, savunma yönteminin tamamen değişmesidir. Tek kaynağı IP bazında engellemek mümkündür, dağıtık kaynağı engellemek ise trafiğin tamamını sınıflandırmayı gerektirir. Bu yüzden “IP’yi engelle, iş biter” refleksi DDoS’ta işlemez: binlerce farklı IP’den gelen trafiği tek tek engellemeye çalışmak hem operasyonel olarak imkânsızdır hem de meşru kullanıcıları filtrenin dışında bırakma riski taşır. Google’ın “ddos nedir” aramasında gösterdiği özet blok da okuru doğrudan bu ayrıma yönlendiriyor; çünkü savunmanın ilk adımı, saldırının kaynak sayısını doğru tahmin etmekten geçiyor.

Botnet Nedir ve Saldırı Nasıl Kurulur?

Botnet, sahiplerinin haberi olmadan ele geçirilmiş cihazlardan oluşan ve tek bir merkezden yönetilen ağdır; DDoS saldırılarının dağıtık kaynağını bu ağ sağlar. Günümüzde botnetlerin önemli bölümü güncellenmemiş yönlendirici, kamera ve IoT cihazlarından kurulur. Saldırı üç aşamada kurulur: önce cihazlar bir zafiyet veya varsayılan şifre üzerinden ele geçirilir, ardından bir komuta-kontrol sunucusu üzerinden ağ yönetilir, son olarak saldırgan tek bir komutla binlerce cihazı aynı anda hedefe yönlendirir. Kiralanabilir saldırı hizmetlerinin varlığı, bu sürecin ileri düzey teknik bilgi gerektirmeden başlatılabildiği anlamına gelir. Üstelik saldırıya katılan cihazların bir kısmı sizin ağınızda da olabilir; güncellenmemiş bir yönlendirici veya IP kamera, haberiniz olmadan bir botnet’in parçası hâline gelebilir.

DDoS Saldırı Türleri Hangi Katmanda Çalışır?

DDoS saldırıları hedef aldıkları katmana göre üçe ayrılır: hattı dolduran volumetrik saldırılar, bağlantı tablosunu tüketen protokol saldırıları ve uygulamayı yoran istek saldırıları. Katmanı doğru belirlemek önemlidir, çünkü her katman farklı bir yerde ve farklı bir yöntemle durdurulur. Aşağıdaki tablo, en sık görülen beş saldırı türünü katmanına, sizde nasıl göründüğüne ve doğru karşı önleme göre ayırıyor.

Tablodaki DNS tabanlı satır özellikle gözden kaçar: site ayakta olduğu hâlde alan adı çözülmediği için “her şey çökmüş” görünür. Bu senaryoya karşı ad çözümleme katmanını da coğrafi olarak dağıtılmış bir yapıyla ayrıca güçlendirmek gerekir.

DDoS Saldırısı Olduğunu Nasıl Anlarsınız?

DDoS saldırısı, trafik artışının kaynak dağılımı ile içerik talebi arasındaki tutarsızlıktan anlaşılır: gerçek bir kampanya trafiği belirli sayfalara ve bilinen coğrafyalara yoğunlaşır, saldırı trafiği ise dağınık kaynaklardan gelir ve dönüşüm üretmez. Aşağıdaki beş sinyal bir arada görüldüğünde, önünüzdeki tablo büyük olasılıkla bir DDoS’tur:

• Oturum başına istek sayısı anormal yüksek
• Trafik artıyor ama dönüşüm sabit
• Tek bir uç noktaya yoğunlaşma
• Kaynak IP’lerin ASN dağılımı olağan dışı
• Kesinti sonrası log’da 4xx/5xx deseni

DDoS Saldırısı Nasıl Engellenir? 6 Katman

DDoS saldırısı tek bir üründe değil, birbirini tamamlayan katmanlarda engellenir: trafiğin hattınıza gelmeden temizlenmesi, uygulama katmanının ayrı korunması ve saldırı anında devreye girecek yönlendirmenin önceden kurulmuş olması gerekir. Tek katmanlı savunma en zayıf halkada kırılır. Aşağıdaki altı madde, bir sağlayıcıyla konuşurken sorulması gereken somut kriterlerdir.

1. Trafiği hattınıza gelmeden temizletin. Volumetrik saldırı hattınızı doldurduktan sonra kendi cihazınızda çözülemez; temizlemenin yukarı akışta, siz görmeden yapılması gerekir. Sağlayıcınıza trafiğin hangi noktada ayrıştırıldığını sorun.

2. Kara delik yönlendirmesini koruma sanmayın. IETF’in RFC 5635 belgesine göre, hedef adrese yönelik kara delik (blackhole) yönlendirmesi uygulandığında saldırının hedef üzerindeki etkisi aslında tamamlanmış olur: o adrese giden bütün paketler; saldırı trafiği de, meşru trafik de aynı anda düşürülür. Bu bir son çare hasar sınırlama tekniğidir; sağlayıcınız DDoS çözümü olarak yalnızca bunu sunuyorsa aldığınız şey koruma değil, kontrollü kesintidir.

3. L7 için ayrı bir katman isteyin. Hacimsel korumanın uygulama katmanını da kapsadığı varsayımı yanlıştır; HTTP flood normal görünen isteklerden oluşur ve yalnızca uygulama farkındalığı olan bir katman ayırt edebilir. WAF ve bot ayrıştırmanın dahil olup olmadığını sözleşmede arayın.

4. Always-On mu On-Demand mı olduğunu netleştirin. On-Demand modelde trafik, saldırı tespit edildikten sonra temizleme merkezine yönlendirilir; bu yönlendirmenin tamamlanmasına kadar geçen süre boyunca hizmet etkilenir. Kabul edilebilir kesinti süreniz sıfıra yakınsa Always-On gerekir.

5. Kesinti riskinizin baskın nedenini doğrulayın. Uptime Institute’un 2026 yılı Sekizinci Yıllık Kesinti Analizi’ne göre etkili kesintilerin başlıca nedeni hâlâ enerji kaynaklıdır; UPS, transfer şalteri ve jeneratör arızaları baskın durumda. DDoS koruması bir kesinti sigortası değildir, yalnızca belirli bir vektörü kapatır.

6. Sağlayıcının yetkilendirme durumunu sorun. 7545 sayılı Siber Güvenlik Kanunu, kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş sağlayıcılardan tedarik edilmesini öngörür. Kritik altyapı kapsamındaysanız, tedarikçinizin bu yetkilendirmeye sahip olup olmadığını yazılı olarak sorun.

Koruma Nereye Konuşlandırılır?

DDoS koruması dört yerden birinde konuşlandırılır: sağlayıcının bulut ağında, kendi ağ kenarınızdaki donanımda, ikisini birleştiren hibrit yapıda veya barındırma paketinizin içinde. Seçim, hattınızın saldırı hacmini taşıyıp taşıyamamasına ve kabul edilebilir kesinti sürenize bağlıdır.

Hattı geniş ve veri dışarı çıkmasını istemeyen kurumlar için üçüncü sütundaki sınır önemli: yerinde donanım (bkz. tablodaki ikinci satır) düşük gecikme sağlar, ama hattınız saldırı hacmini taşıyamazsa devre dışı kalır.

DDoS Koruması Neyi Çözer, Neyi Çözmez?

DDoS koruması yalnızca saldırı kaynaklı erişim kaybını çözer; enerji arızası, bağlantı kesintisi ve veri sızması gibi diğer kesinti nedenlerine etkisi yoktur. Bu yüzden DDoS koruması bir süreklilik garantisi değil, belirli bir saldırı vektörünü kapatan tek bir katmandır.

Enerji kaynaklı kesintiler DDoS’tan çok daha yaygındır. Uptime Institute’un 2026 raporuna göre operatörlerin %57’si son büyük kesintisinin maliyetinin 100.000 doları aştığını, beşte biri ise 1 milyon doları aştığını bildiriyor ve bu kesintilerin başlıca nedeni hâlâ enerji arızaları. Bu yüzden altyapı sağlamlığı konuşulurken yedekli enerji mimarisi ve felaket kurtarma planı (bkz. tablodaki ilgili satır), DDoS korumasından ayrı ama en az onun kadar öncelikli konulardır.

Türkiye’de DDoS: 7545 Sayılı Kanun Ne Getiriyor?

Türkiye’de 19 Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, bilişim sistemleri üzerinden hizmet sunanlara tespit ettikleri zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı’na bildirme yükümlülüğü getirir; kritik altyapılarda kullanılacak güvenlik ürün ve hizmetlerinin yetkilendirilmiş sağlayıcılardan tedarik edilmesini öngörür. Bildirim “makul süre” değil gecikmeksizin yapılmalıdır (madde 8). Bu yükümlülük, KVKK’nın kişisel veri ihlali bildirim sürecinden ayrı ve bağımsızdır; ikisi karıştırılmamalıdır. Kritik altyapı kapsamındaysanız tedarikçi seçimi artık yalnızca teknik değil, aynı zamanda bir uyum kararıdır (madde 8). Kanun idari para cezaları da öngörüyor: madde 8/4 kapsamındaki yükümlülüklere aykırılık için yüzbin Türk lirasından bir milyon Türk lirasına kadar; ticari şirketlerde ise bağımsız denetimden geçmiş brüt satış hasılatının yüzde 5’ine kadar (madde 16).

KVKK açısından hassas bir ayrım var: 6698 sayılı Kanun’un 12. maddesi, kişisel verilere hukuka aykırı erişimi önlemeye yönelik tedbirleri zorunlu kılar. Yalnızca hizmetin yavaşlaması veya durması, tek başına bir kişisel veri ihlali değildir. DDoS’un KVKK ile kesiştiği nokta, saldırının bir veri sızdırma girişimini gizlemek için perde olarak kullanıldığı senaryodur.

Kısacası, ddos nedir sorusunun cevabı teknik olarak nettir; asıl belirsizlik hangi katmanda açığınızın olduğudur. Doğru soru “DDoS koruması alalım mı?” değil, “hangi katmanda açığım ve o katmanı kim kapatıyor?” sorusudur. Volumetrik bir saldırıyı hat kapasitesiyle, L7 saldırısını WAF’la, kesinti anındaki gecikmeyi de Always-On/On-Demand tercihiyle eşleştirmek, bütçenin doğru yere gitmesini sağlayan tek yol budur.

Dorabase’in DDoS koruma hizmeti ağ (L3/L4) ve uygulama (L7) katmanlarını kapsar; Always-On ve On-Demand seçenekleri, BGP yönlendirme ve GRE tüneli entegrasyonu ile 7/24 güvenlik operasyon merkezi desteği sunar. Türkiye’de muhatap bir tüzel kişilik olması, olay anında sözleşmesel muhatabın yurt dışında olmaması anlamına gelir.

Sıkça Sorulan Sorular

Kaynakça: