Bulut DDoS koruma katmanları, bir hizmeti erişilemez kılmayı amaçlayan dağıtık saldırıları farklı seviyelerde karşılayan savunma yapısını tanımlar. Tek bir savunma noktasının yeterli olmamasının nedeni, saldırıların da farklı katmanları hedeflemesidir: kimi ağ bant genişliğini boğar, kimi protokol açıklarını istismar eder, kimi de uygulamayı meşru görünen isteklerle yorar. Etkili koruma, bu saldırı türlerinin her birini kendi seviyesinde durdurmak üzere kurulur.

DDoS savunması tek bir duvar değil, saldırının her boyutunu kendi katmanında karşılayan iç içe geçmiş filtrelerdir.

Katmanlar Neyi Karşılar?

En dışta hacimsel katman bulunur. Burada amaç, ağı doldurmaya çalışan devasa trafik dalgalarını kaynağa ulaşmadan bulut sağlayıcının geniş kenar altyapısında emmektir; trafik dünyaya yayılmış birçok noktaya dağıtılarak tek bir bağlantının boğulması engellenir. Bu, klasik Dağıtık hizmet reddi saldırılarının büyük çoğunluğunun daha ilk adımda soğrulduğu katmandır.

Bir alt seviyede protokol katmanı yer alır. SYN sel saldırıları gibi bağlantı kurma mekanizmasını istismar eden yöntemler burada durdurulur; bu tür saldırılar az bant genişliğiyle bile bir sunucunun bağlantı tablolarını tüketebildiği için hacimsel filtreden ayrı ele alınmaları gerekir. Tek kaynaklı bir Hizmet reddi saldırısı genellikle bu seviyede yakalanırken, dağıtık ve büyük saldırılar birden çok katmanı aynı anda tetikler.

Uygulama Katmanı ve İnce Saldırılar

En içteki katman en sinsi saldırıları hedefler: her biri tek başına meşru görünen ama toplamda sunucuyu tüketen HTTP istekleri. Bu saldırıları paket sayısına bakarak ayırmak zordur; çünkü hacimleri düşüktür. Burada Web uygulama güvenlik duvarı devreye girer ve istekleri içerik, davranış ve hız kalıplarına göre değerlendirerek otomatik botları gerçek kullanıcılardan ayırır. Oran sınırlama ve doğrulama zorlukları bu katmanın tipik araçlarıdır.

Süreklilikle İlişkisi

DDoS koruması yalnızca teknik bir filtre değil, hizmet sürekliliğinin bir parçasıdır. Büyük bir saldırı sırasında koruma katmanları devrede olsa bile, olası bir taşma senaryosu için yedek kapasite ve yönlendirme planları hazır tutulmalıdır; bu yönüyle DDoS savunması Felaket kurtarma planı ile kesişir. Katmanların doğru yapılandırıldığını ve saldırı anında beklenen biçimde devreye girdiğini önceden doğrulamak için bağımsız bir altyapı ve mimari gözden geçirme çalışması, gerçek bir olay yaşanmadan zayıf halkaları ortaya çıkarır.