Dağıtık hizmet reddi saldırısı, çok sayıda farklı kaynaktan eş zamanlı olarak gönderilen trafikle hedefin erişilemez hâle getirilmesidir. Tek kaynaklı saldırılardan farkı, hem hacminin çok daha yüksek olması hem de kaynak bazlı engellemenin işe yaramamasıdır. Trafik binlerce farklı adresten geldiği için meşru kullanıcılardan ayırt edilmesi güçleşir. Bu iki özellik, saldırıyı savunması en zor türlerden biri hâline getirir. Koruma, hedefin kendi altyapısının ötesinde bir katman gerektirir.

Saldırı trafiği genellikle ele geçirilmiş cihazlardan oluşan ağlar üzerinden üretilir. Bu ağlar, güvensiz nesnelerin interneti cihazları, korumasız sunucular ve zararlı yazılım bulaşmış bilgisayarlardan oluşur. Ayrıca kiralanabilir saldırı hizmetleri de yaygınlaşmıştır. Bu erişilebilirlik, saldırının teknik yetkinlik gerektirmeden gerçekleştirilebilmesine yol açar. Sonuçta her ölçekten kurum hedef olabilir.

Dağıtık Hizmet Reddi Nedir?

Dağıtık hizmet reddi, çok sayıda dağıtık kaynaktan eş zamanlı gönderilen isteklerle hedef sistemin kaynaklarının tüketilmesi ve hizmet veremez hâle getirilmesidir.

Saldırının hacmi yıllar içinde belirgin biçimde artmıştır. Güçlendirme teknikleri sayesinde küçük bir saldırgan kaynağı çok büyük trafik üretebilmektedir. Yansıma ve güçlendirme saldırıları bu artışın temel nedenidir. Bu nedenle savunma da sağlayıcı seviyesine taşınmıştır. Kurum içi çözümler tek başına yetersiz kalır.

Motivasyonlar

Saldırıların ardındaki nedenler çeşitlidir. Fidye talebi, rekabet, ideolojik protesto ve dikkat dağıtma bu nedenlerin başında gelir. Dikkat dağıtma özellikle tehlikelidir; saldırı sırasında güvenlik ekibi erişilebilirliğe odaklanırken başka bir saldırı sessizce ilerleyebilir. Bu nedenle saldırı sırasında veri sızdırma gibi diğer izleme faaliyetleri durdurulmamalıdır. Müdahale planı bu riski dikkate almalıdır.

• Fidye talebiyle hizmet kesintisi tehdidi
• Rekabet amaçlı hizmet engelleme
• İdeolojik ve protesto amaçlı saldırılar
• Başka bir saldırıyı gizlemek için dikkat dağıtma
• Test amaçlı kısa süreli saldırılar

Nasıl Korunulur?

Koruma katmanlı biçimde kurulur. İlk katman, sağlayıcı ya da uzman platform tarafından sunulan trafik temizleme hizmetidir. İkinci katman, uygulama önündeki filtreleme ve hız sınırlama mekanizmalarıdır. Üçüncü katman ise mimarideki yedeklilik ve ölçeklenebilirliktir. Üç katmanın birlikte planlanması gerekir. Tek katmana dayanan koruma yetersiz kalır.

Koruma hizmetinin devreye alınma biçimi de önceden kararlaştırılmalıdır. Sürekli aktif modda çalışan çözümler, saldırı anında geçiş gecikmesi yaşatmaz. Talep üzerine devreye giren çözümlerde ise geçiş süresi kritik önem taşır. Bu süre, sözleşmede yazılı olmalıdır. Kriz anında öğrenilmesi kabul edilemez.

Müdahale ve İletişim

Saldırı sırasında en kritik konulardan biri iletişimdir. Müşterilerin durumdan haberdar edilmesi, güvensizliğin büyümesini engeller. Bilgilendirme kanalı, saldırıdan etkilenmeyen bir altyapıda bulunmalıdır. Ana sitesi erişilemez olan bir kurumun duyuru yapamaması sık görülen bir sorundur. Alternatif kanal önceden hazırlanmalıdır.

Saldırı sonrasında ise kayıtların incelenmesi gerekir. Saldırının hacmi, süresi, kaynak dağılımı ve hedef aldığı servisler kaydedilir. Bu bilgiler, koruma yapılandırmasının iyileştirilmesinde kullanılır. Ayrıca tekrarlayan saldırıların ilişkilendirilmesini sağlar. İnceleme, müdahale sürecinin son adımıdır.

Botnet ve Kiralık Saldırı Hizmetleri

Saldırı trafiğini üreten kaynaklar genellikle ele geçirilmiş cihazlardan oluşan ağlardır. Güvensiz yapılandırılmış kameralar, yönlendiriciler ve diğer bağlantılı cihazlar bu ağların büyük bölümünü oluşturur. Varsayılan parolaların değiştirilmemesi ve güncelleme yapılmaması bu cihazları savunmasız bırakır. Nesnelerin interneti güvenliği bu nedenle kolektif bir sorumluluktur. Her korunmasız cihaz, saldırı kapasitesine katkı sağlar.

Ayrıca kiralanabilir saldırı hizmetleri de yaygınlaşmıştır. Düşük ücretlerle satın alınabilen bu hizmetler, teknik yetkinlik gerektirmeden saldırı düzenlenmesini mümkün kılar. Bu erişilebilirlik, hedef profilini genişletmiştir. Küçük kurumlar da hedef olabilmektedir. Hazırlık, kurum büyüklüğünden bağımsız gereklidir.

Kurumun kendi cihazlarının bu ağların parçası olmaması da önemlidir. Ele geçirilmiş bir kurumsal cihazdan çıkan saldırı trafiği, kurumun adresinin engellenmesine yol açar. Bu nedenle çıkış trafiğinin izlenmesi gerekir. Olağandışı giden trafik uyarı üretmelidir. Bu kontrol çoğu ortamda eksiktir.

Fidye Odaklı Saldırılar

Bazı saldırılar doğrudan fidye talebiyle birlikte gelir. Saldırgan kısa bir gösteri saldırısı yapar ve ödeme yapılmazsa daha büyük bir saldırı düzenleyeceğini bildirir. Bu tehditlerin bir kısmı blöftür ve gerçek kapasiteye dayanmaz. Ödeme yapılması ise yeni taleplerin gelmesine yol açar. Bu nedenle ödeme genellikle önerilmez.

Tehdit alındığında yapılacak ilk iş, mevcut koruma kapasitesinin doğrulanmasıdır. Sağlayıcıyla iletişime geçilir ve koruma seviyesi gözden geçirilir. Ayrıca izleme yoğunlaştırılır. Bu hazırlık, tehdidin gerçekleşmesi hâlinde etkiyi azaltır. Hazırlık süresi kısıtlı olduğu için hızlı hareket edilmelidir.

Tehdit ayrıca ilgili kurumlara bildirilmelidir. Bu tür taleplerin kayıt altına alınması, benzer kampanyaların takibini sağlar. Ayrıca hukuki süreç için de gereklidir. Bildirim, kurum içi prosedürde tanımlı olmalıdır. Tanımsız durumlarda karar gecikir.

Privia Security olarak erişilebilirlik risklerini ve koruma katmanlarının yeterliliğinialtyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.