Hız sınırlama, bir kaynağa belirli bir sürede yapılabilecek istek sayısını sınırlayan bir güvenlik ve kararlılık denetimidir. Bir kullanıcı ya da istemci, tanımlı sınırın ötesinde istek gönderdiğinde, fazladan istekler geçici olarak reddedilir. Bu denetim, hem kötüye kullanımı önler hem de kaynakların adil biçimde paylaşılmasını sağlar. Özellikle otomatik ve yoğun istek üreten saldırılara karşı etkili bir savunmadır. Bu nedenle hız sınırlama, modern uygulama güvenliğinin temel bir bileşeni olarak kabul edilir.

Denetimin değeri, hem güvenlik hem kararlılık boyutlarından gelir. Güvenlik açısından, kaba kuvvet ve veri toplama gibi yoğun istek gerektiren saldırıları yavaşlatır. Kararlılık açısından ise, aşırı yükün sistemi çökertmesini önler. Bu iki boyut, denetimi çok yönlü bir koruma aracı hâline getirir. Doğru uygulandığında, hem kötü niyetli hem de kazara oluşan aşırı yükü sınırlar.

Hız Sınırlama Nedir?

Hız sınırlama, bir kaynağa belirli bir sürede yapılabilecek istek sayısını sınırlayarak kötüye kullanımı önleyen ve kaynakları koruyan bir denetim mekanizmasıdır.

Denetim, genellikle bir zaman penceresi içinde izin verilen istek sayısı olarak tanımlanır. Bir istemci, bu pencere içinde sınırı aşarsa, sonraki istekleri belirli bir süre reddedilir. Sınır, istemci kimliği, adres ya da kullanıcı hesabı gibi ölçütlere göre uygulanabilir. Bu ölçütlerin seçimi, denetimin adil ve etkili çalışmasını belirler. Doğru ölçüt seçimi, meşru kullanıcıları etkilemeden kötüye kullanımı sınırlar.

Hangi Saldırılara Karşı Korur?

Denetimin başlıca koruduğu saldırı, kaba kuvvet girişimleridir. Parola tahmin saldırıları, çok sayıda deneme gerektirdiği için hız sınırlamayla belirgin biçimde yavaşlar. Kaba kuvvet saldırıları bu denetimle pratik olmaktan çıkabilir. Sınırlı sayıda denemeye izin verilmesi, saldırganın başarı şansını büyük ölçüde azaltır. Bu koruma, kimlik doğrulama güvenliğinin önemli bir parçasıdır.

İkinci koruma, otomatik veri toplamaya karşıdır. Saldırganlar, bir arayüzden toplu veri çekmek için çok sayıda otomatik istek gönderebilir. Hız sınırlama, bu tür toplu çekme girişimlerini yavaşlatarak zorlaştırır. Böylece büyük çaplı veri sızıntıları sınırlanır. Bu koruma, özellikle çok sayıda kayıt sunan arayüzlerde değerlidir.

Üçüncü koruma, kaynak tüketimine dayalı saldırılara karşıdır. Aşırı sayıda istek, bir sistemi yanıt veremez hâle getirebilir. Hız sınırlama, istek yoğunluğunu denetleyerek bu tür yüklenmeleri sınırlar. Hizmet reddi saldırılarının bazı biçimleri bu denetimle azaltılabilir. Bu koruma, sistemin kararlılığını ve erişilebilirliğini korur.

• Kaba kuvvet ve parola tahmin saldırılarının yavaşlatılması
• Otomatik toplu veri çekmenin zorlaştırılması
• Kaynak tüketimine dayalı saldırıların sınırlanması
• Kaynakların adil biçimde paylaşılması
• Kazara oluşan aşırı yükün denetlenmesi

Nasıl Uygulanır?

Uygulama, hangi ölçüte göre sınırlama yapılacağının belirlenmesiyle başlar. Adres, kullanıcı hesabı ya da istemci kimliği gibi ölçütler kullanılabilir. Her ölçütün kendine özgü avantajları ve sınırları vardır. Örneğin yalnızca adrese dayalı sınırlama, aynı ağdaki meşru kullanıcıları etkileyebilir. Bu nedenle ölçüt, uygulamanın bağlamına göre dikkatle seçilmelidir.

Sınırın nasıl aşıldığında yanıt verileceği de belirlenmelidir. Fazladan istekler, geçici olarak reddedilebilir ve istemciye ne zaman tekrar deneyebileceği bildirilebilir. Bu geri bildirim, meşru istemcilerin davranışlarını uyarlamasına yardımcı olur. Yanıtın açık ve tutarlı olması, hem güvenlik hem kullanılabilirlik açısından önemlidir. İyi tasarlanmış bir yanıt, meşru kullanıcıları en az düzeyde etkiler.

Sınırların uygulamanın farklı bölümleri için ayrı ayrı tanımlanması da değerlidir. Kimlik doğrulama gibi hassas işlevler için daha sıkı, sıradan işlevler için daha esnek sınırlar uygulanabilir. Bu ayrım, korumayı riskle orantılı hâle getirir. Arayüz güvenliği bağlamında hız sınırlama, temel bir önlem olarak konumlanır. Bölüme özel sınırlar, hem güvenliği hem kullanılabilirliği dengeler.

Sınırlama Algoritmaları

Hız sınırlama, farklı algoritmalarla uygulanabilir ve her birinin kendine özgü davranışı vardır. Sabit pencere yaklaşımı, belirli bir zaman aralığında izin verilen istek sayısını sayar. Kayan pencere yaklaşımı ise pencere sınırlarındaki ani yığılmaları daha iyi yönetir. Jeton kovası gibi yaklaşımlar, kısa süreli yoğunluklara esneklik tanırken ortalama hızı sınırlar. Algoritma seçimi, uygulamanın trafik desenine ve ihtiyaçlarına göre yapılmalıdır.

Algoritmanın seçimi, hem güvenlik hem kullanıcı deneyimini etkiler. Çok katı bir yaklaşım, meşru yoğunluk anlarında kullanıcıları gereksiz yere engelleyebilir. Çok esnek bir yaklaşım ise kötüye kullanımı yeterince sınırlamayabilir. Bu nedenle algoritma ve eşik değerleri, gerçek trafik gözlemlenerek ayarlanmalıdır. Doğru ayarlanmış bir algoritma, meşru kullanımı etkilemeden kötüye kullanımı sınırlar.

Dağıtık Ortamlarda Uygulama

Dağıtık sistemlerde hız sınırlama, ek karmaşıklık taşır. Birden çok sunucunun aynı istemciye hizmet verdiği ortamlarda, sınır tüm sunucular arasında eşgüdümlü uygulanmalıdır. Her sunucunun bağımsız sayması, gerçek sınırın katlanmasına yol açabilir. Bu nedenle dağıtık ortamlarda, paylaşılan bir sayaç deposu kullanılır. Bu merkezî sayım, sınırın tutarlı biçimde uygulanmasını sağlar.

Bu merkezî yaklaşım, performans açısından da dikkat gerektirir. Paylaşılan sayaç deposu, her istekte erişildiği için hızlı ve ölçeklenebilir olmalıdır. Yavaş bir sayaç deposu, sınırlamanın kendisini bir darboğaza dönüştürebilir. Bu nedenle dağıtık hız sınırlama, dikkatli bir mimari tasarım gerektirir. Doğru tasarlandığında, hem tutarlı hem performanslı bir sınırlama sağlar.

Bir katman olarak hız sınırlama, ağ geçidi düzeyinde de uygulanabilir. Uygulamanın önünde yer alan bir ağ geçidi, istekleri uygulamaya ulaşmadan sınırlayabilir. Bu yaklaşım, uygulamayı aşırı yükten daha erken korur. Ters proxy ve ağ geçitleri, bu tür merkezî sınırlamayı kolaylaştırır. Ağ geçidi düzeyinde sınırlama, uygulama düzeyindeki denetimi tamamlar.

Privia Security olarak uygulama ve arayüzlerin kötüye kullanıma karşı korunmasını düzenli zafiyet tarama kapsamında değerlendiriyoruz.