İçeriğe atla
Bilgi Merkezi/Makale
Makale

DDoS Saldırısı Nedir? Türleri, Botnet ve Korunma Yolları

DDoS, çok sayıda cihazdan gelen trafikle bir hizmeti erişilemez kılar. Botnet'i, saldırı türlerini, 2026 verilerini ve korunma katmanlarını anlattık.

Oğuzhan Gerçek··7 dk okuma
DDoS Saldırısı Nedir? Türleri, Botnet ve Korunma Yolları

Kısa cevap: DDoS (Distributed Denial of Service, dağıtık hizmet engelleme), çok sayıda cihazdan gönderilen trafik ya da istekle bir sistemi meşru kullanıcılarına erişilemez hâle getiren saldırıdır. Bu trafiği çoğu zaman, saldırganın uzaktan yönettiği ele geçirilmiş cihazlardan oluşan bir botnet üretir. Saldırılar hacimsel, protokol ve uygulama katmanı saldırıları olarak üçe ayrılır; saldırgan bunları birleştirebilir. Korunmanın temeli, trafiği kurumun bağlantısına ulaşmadan karşılayan bir koruma hizmeti, uygulama katmanında hız sınırlama ve WAF ile önceden sınanmış bir müdahale planıdır.

DDoS saldırısı nedir? DoS ile farkı

NIST sözlüğü hizmet engellemeyi (DoS), yetkili erişimin engellenmesi ya da zamana duyarlı işlemlerin geciktirilmesi olarak tanımlıyor; DDoS ise aynı tekniğin çok sayıda host kullanılarak uygulanan biçimi. CISA, FBI ve MS-ISAC tarafından Mart 2024'te yayımlanan ortak rehbere göre DoS saldırganı genellikle bir ya da birkaç bilgisayar kullanır. DDoS'ta ise çoğu zaman bir botnet'e bağlı çok sayıda kaynak aynı anda trafik gönderir. Bu dağıtık yapı çok daha yüksek hacim üretir ve savunmayı zorlaştırır. Etki iki türde de aynıdır: hizmet kesintisi, mali kayıp ve itibar kaybı. Üç saldırı grubunu ağ güvenliği yazımızda özetledik, kısa tanım da sözlüğümüzde var.

Botnet nedir?

MITRE ATT&CK botnet'i, koordineli görevler yürütmesi için komut verilebilen, ele geçirilmiş sistemlerden oluşan ağ olarak tanımlıyor. Saldırganın kendi botnet'ini kurması gerekmez: hazır bir ağ kiralanabilir ya da "booter/stresser" denen bir hizmete abone olunabilir.

MITRE'ye göre üreticisinin desteği bitmiş (end-of-life), internete açık uç cihazlar botnet için sıkça ele geçiriliyor; küçük ofis ve ev router'larından ya da IoT cihazlarından oluşan ağlar da botnet olarak kiralanabiliyor. Cloudflare'in 2025'in son çeyreği raporuna göre Aisuru-Kimwolf botnet'i, çoğu Android TV olan tahminen 1-4 milyon cihazdan oluşuyor. Cihaza yerleşen botnet ajanını malware yazımızda anlattık.

Hacimsel saldırılar: UDP flood ve yansıtma

Hacimsel saldırılar, CISA'nın tarifiyle hedefin bant genişliğini ya da sistem kaynaklarını yoğun trafikle tüketir. En yalın örneği UDP flood'dur: Cloudflare'e göre sunucu, gelen her paket için ilgili portu dinleyen bir program arar, bulamazsa ICMP ile cevap verir. Yeterince büyük bir flood, sunucunun önündeki firewall'un durum tablosunu (state table) da doldurabilir.

Hacmi büyütmenin yolu yansıtmadır (reflection): MITRE'nin anlatımıyla saldırgan, kaynak adresini kurbanın IP'si olarak sahtelediği istekleri üçüncü taraf sunuculara gönderir ve cevaplar kurbana gider. Cevabı isteğinden büyük protokoller kullanıldığında trafik birkaç büyüklük mertebesi artabilir (amplification). MITRE'ye göre DNS ve NTP bu alanda öne çıkan iki protokol; memcache'te büyütme, istek paketinin 51.200 katına kadar çıkabiliyor.

CISA'ya göre yansıtma trafiği genellikle meşru, herkese açık sunuculardan gelir; önlem bu yüzden iki taraflı: kurumun DNS çözümleyicisi yalnızca güvenilen ağdaki cihazlara hizmet vermeli, internet sağlayıcıları da sahte kaynak adresli paketleri Mayıs 2000 tarihli BCP 38'in (RFC 2827) çağrısı doğrultusunda süzmeli.

Protokol saldırıları: SYN flood

Protokol saldırıları, CISA'ya göre ağ protokollerindeki ya da servislerdeki zayıflıkları kullanır. Klasik örneği SYN flood'dur. IETF'in Ağustos 2007 tarihli RFC 4987 belgesine göre saldırgan çoğu zaman sahte adresli çok sayıda SYN paketi yollar; sunucu her biri için yarım açık bir bağlantının durumunu saklar ve kuyruk (backlog) dolunca meşru istekler reddedilir.

RFC, karşı önlemleri ödünleşimleriyle birlikte sıralıyor: kuyruğu büyütmek, bekleme süresini kısaltmak, SYN cache ile ayrılan durumu azaltmak, SYN cookie ile hiç durum tutmamak ya da bağlantı kurulumunu bir firewall'a devretmek.

Uygulama katmanı: HTTP flood ve HTTP/2 Rapid Reset

Uygulama katmanı saldırıları, uygulamanın işlem gücünü tüketir. HTTP flood'da sunucu GET ya da POST istekleriyle boğulur: Cloudflare'in anlatımıyla bir form gönderimini işleyip veri tabanına yazmak, isteği göndermeye kıyasla daha fazla kaynak harcatır. Bu trafik normal trafikten zor ayrıldığı için Cloudflare, JavaScript sınavları, CAPTCHA benzeri testler ve WAF gibi önlemler sayıyor.

Protokolün kendisi de silaha dönüşebilir. Google, saniyede 398 milyon isteğe ulaşan HTTP/2 Rapid Reset saldırılarını Ağustos 2023'te durdurduğunu duyurdu. Google'ın açıklamasına göre istemci tek bağlantıda çok sayıda akış (stream) açar ve her isteği RST_STREAM ile hemen iptal eder. Eşzamanlı akış sınırı hiç aşılmaz, sunucu ise iptal edilen her istek için iş yapmaya devam eder. Açık CVE-2023-44487 numarasıyla izleniyor; Cloudflare'in önerilerinden biri internete açık bütün web sunucularının yamalanması. Bu yüzden yama yönetimi de DDoS savunmasının parçasıdır.

Güncel ölçek: 2025 ve 2026 verileri

Cloudflare'in 2025 raporuna göre DDoS saldırılarının sayısı 2025'te iki katından fazla artıp 47,1 milyona ulaştı. Ocak-Haziran 2026'yı kapsayan, 11 Ağustos 2026'da yayımlanan ilk yarı raporunda dört bulgu öne çıkıyor:

  • Terabit saldırılar: 1 Tbps'i aşan 935 ağ katmanı saldırısının 805'i ikinci çeyrekte görüldü; bu, bir önceki çeyreğin altı katından fazla.
  • Yansıtmaya kayış: DNS tabanlı saldırılar ağ katmanı etkinliğinin %34,3'ünü oluşturdu; CLDAP flood'ları bir çeyrekte %580 arttı.
  • Kısa saldırılar: Ağ katmanı saldırılarının %96,62'si 500 Mbps altında kaldı, %90,60'ı 10 dakikadan kısa sürdü.
  • Türkiye: Küresel saldırı trafiğindeki payını iki katından fazla artırarak ikinci çeyrekte en çok saldırı alan üçüncü ülke oldu.

Rapor, elle ya da talep üzerine (on-demand) devreye alınan korumanın bu tempoya yetişemeyeceğini savunuyor.

Fidye amaçlı DDoS (RDDoS)

Cloudflare'in tanımıyla fidye amaçlı DDoS (RDDoS), DDoS tehdidiyle para koparma girişimidir. Çoğu bir fidye notuyla başlar; saldırgan küçük bir gösteri saldırısı yapıp son tarih koyabilir. Fidye yazılımından farkı şu: sistemleri şifrelemez ve saldırganın iç sistemlere girmesini gerektirmez. Cloudflare'e göre fidyeyi ödemek hiçbir zaman iyi bir fikir değil; tehdit, ilgili kolluk birimlerine bildirilmeli.

DDoS'tan korunma: savunma katmanları

NCSC'ye göre kararlı bir saldırgan, çoğu kurumun tek başına kaldırabileceğinden fazla trafiği neredeyse her zaman gönderebilir. MITRE de bağlantı kapasitesini aşan flood'ların genellikle yukarı akışta, yani internet sağlayıcısında, CDN'de ya da bir DDoS koruma sağlayıcısında karşılanması gerektiğini yazıyor. Katmanlar şöyle sıralanabilir:

  • Scrubbing: Trafik, kötü niyetli kısmın ayıklandığı uzak veri merkezlerinden geçirilir (Cloudflare); NCSC'ye göre pek çok internet sağlayıcısı bunu sunabiliyor.
  • CDN ve anycast: NCSC'ye göre bir CDN'i DoS ile devre dışı bırakmak çok zordur; ancak CDN'in asıl sunucuyu (origin) saldırgandan gizlediğinden emin olunmalı. Anycast, kalan saldırı trafiğini birden çok veri merkezine dağıtır.
  • Hız sınırlama: Rate limiting, bir işlemin belirli sürede kaç kez tekrarlanabileceğini sınırlar. NCSC'nin örneğinde arama sorgularının arka plandaki veri tabanını boğmasını önler.
  • Load balancer ve yedeklilik: CISA, trafiği bir load balancer ile birden çok sunucuya ya da veri merkezine dağıtıp tek arıza noktası oluşmasını önlemeyi tavsiye ediyor.
  • İzleme: CISA'ya göre sapmayı fark etmek için normal trafiğin bir temeli (baseline) çıkarılmalı.

Ağ tarafını ağ koruması, uygulama tarafını uygulama güvenliği (WAF) hizmetimizde ele alıyoruz.

Müdahale planı, test ve iş sürekliliği

DDoS bir erişilebilirlik olayıdır; planı da iş sürekliliği çalışmasının parçasıdır. MITRE, müdahale üçüncü tarafların hızla devreye girmesini gerektirebileceği için bir felaket kurtarma ya da iş sürekliliği planı istiyor. CISA'ya göre plan rolleri, iletişim kanallarını ve önceden belirlenmiş azaltma stratejilerini içermeli. NCSC'nin önerileri şunlar:

  1. Hizmeti, saldırı altında kısıtlı da olsa çalışacak biçimde tasarlayın.
  2. Yönetim erişimini ayrı bir ağdan verin ve güvenilen konumlarla sınırlayın.
  3. Sağlayıcıya, harekete geçmeden önce haber verip vermeyeceğini ve ek önlemleri ne kadar sürede açacağını sorun.
  4. Planı düzenli olarak ve yalnızca meşru test sağlayıcılarıyla sınayın: NCSC'ye göre hazır olduğunu düşünmek, bilmekle aynı şey değil.
  5. Saldırı sırasında zaman damgalarını, IP adreslerini ve paket kayıtlarını toplayın; sonra planı çıkarılan derslerle güncelleyin (CISA).

Sık sorulan sorular

DDoS ne demek? Distributed Denial of Service, yani dağıtık hizmet engelleme demek: çok sayıda cihazdan gelen trafikle bir sistemi erişilemez kılan saldırı.

DoS ile DDoS arasındaki fark nedir? DoS tek ya da birkaç kaynaktan gelir. DDoS çok sayıda kaynaktan, çoğu zaman bir botnet'ten gelir; hacmi daha yüksek, ayıklaması daha zordur.

Botnet nedir? Ele geçirilmiş ve uzaktan komut verilebilen cihazlardan oluşan ağdır. DDoS ve toplu oltalama gibi saldırılarda kullanılır; hazır botnet'ler kiralanabilir.

DDoS saldırısından nasıl korunulur? Trafiği kurumun bağlantısına ulaşmadan karşılayan bir koruma hizmeti, CDN, hız sınırlama ve WAF birlikte kullanılır; önceden sınanmış bir müdahale planı da gerekir.

Kaynaklar