SYN flood, bağlantı kurma sürecinin kasıtlı olarak yarım bırakılmasıyla sunucu kaynaklarının tüketildiği bir hizmet reddi saldırısıdır. Bağlantı kurulurken istemci bir istek gönderir, sunucu yanıt verir ve istemcinin onayını bekler. Saldırgan bu son adımı hiç göndermez ve sunucu bekleyen bağlantıyı bir süre bellekte tutar. Çok sayıda yarım bağlantı biriktiğinde tablo dolar ve yeni bağlantı kabul edilemez. Meşru kullanıcılar da bu noktada hizmete erişemez.

Saldırının etkili olmasının nedeni, bekleyen bağlantıların sunucu tarafında kaynak tüketmesidir. Her yarım bağlantı için bellek ayrılır ve zaman aşımına kadar tutulur. Saldırganın ise hiçbir kaynak ayırması gerekmez; yalnızca istek gönderir. Bu asimetri, az kaynakla büyük etki üretilmesini sağlar. Klasik ve hâlâ geçerli bir saldırı tekniğidir.

SYN Flood Nedir?

SYN flood, bağlantı kurma el sıkışmasının tamamlanmaması yoluyla sunucudaki yarı açık bağlantı tablosunun doldurulması ve yeni bağlantıların engellenmesi saldırısıdır.

Saldırı genellikle sahte kaynak adreslerle yürütülür. Böylece sunucunun gönderdiği yanıtlar hiçbir zaman onaylanmaz ve saldırganın kimliği de gizlenir. Sahte adres kullanımı ayrıca engelleme kurallarını da etkisiz kılar. Bu nedenle savunma, kaynak bazlı engellemeye değil protokol düzeyindeki mekanizmalara dayanır. IP spoofing bu saldırının doğal bileşenidir.

Nasıl Çalışır?

Normal bir bağlantı üç adımda kurulur: istek, yanıt ve onay. Sunucu ikinci adımdan sonra bağlantıyı yarı açık durumda bekletir ve üçüncü adımı bekler. Bu bekleme süresi genellikle saniyeler düzeyindedir. Saldırgan saniyede binlerce istek göndererek tabloyu doldurur. Zaman aşımı süresi dolmadan yeni istekler geldiği için tablo hiç boşalmaz.

Tablonun boyutu sistem yapılandırmasına bağlıdır ve artırılabilir. Ancak yalnızca tablo boyutunu artırmak sürdürülebilir bir çözüm değildir; saldırgan hacmi de artırabilir. Bu nedenle asıl çözüm, yarı açık bağlantıların hiç saklanmamasını sağlayan mekanizmalardır. Bu mekanizmalar modern işletim sistemlerinde bulunur. Etkinleştirilmeleri gerekir.

• Sahte kaynak adreslerle çok sayıda bağlantı isteği gönderilmesi
• Sunucunun her istek için kaynak ayırıp beklemesi
• Yarı açık bağlantı tablosunun dolması
• Meşru bağlantı isteklerinin reddedilmesi
• Zaman aşımı süresince kaynakların bloke kalması

SYN Çerezleri

En etkili koruma mekanizması, yarı açık bağlantı için kaynak ayırmamayı sağlayan çerez yöntemidir. Sunucu, bağlantı bilgilerini kendi belleğinde saklamak yerine yanıt içinde kriptografik olarak kodlar. Onay geldiğinde bu bilgi çözülerek bağlantı kurulur. Böylece tablo hiç dolmaz ve saldırı etkisiz kalır. Mekanizma birçok işletim sisteminde bulunur.

Yöntemin küçük bir dezavantajı, bazı bağlantı seçeneklerinin taşınamamasıdır. Bu nedenle bazı sistemlerde yalnızca tablo dolmaya başladığında devreye girecek biçimde yapılandırılır. Bu koşullu çalışma, normal koşullarda performans kaybını önler. Yapılandırmanın kontrol edilmesi gerekir. Varsayılan değerler dağıtıma göre değişir.

Çerez mekanizması tek başına yeterli olmayabilir. Çok yüksek hacimli saldırılarda bant genişliği de dolabilir ve trafiğin hedefe ulaşmadan filtrelenmesi gerekir. Bu nedenle mekanizma, sağlayıcı seviyesindeki korumayla birlikte kullanılır. Katmanlı yaklaşım burada da geçerlidir. Tek mekanizmaya güvenmek risklidir.

Diğer Koruma Yöntemleri

Zaman aşımı sürelerinin kısaltılması, tablonun daha hızlı boşalmasını sağlar. Ancak aşırı kısa süreler, yavaş ağlardaki meşru kullanıcıları da etkileyebilir. Bu nedenle ayar dikkatli yapılmalıdır. Kurumun kullanıcı profiline göre denge kurulur. Değişiklik sonrası izleme yapılmalıdır.

Bağlantı isteklerine hız sınırı uygulanması da yaygın bir yöntemdir. Güvenlik duvarı ya da yük dengeleyici üzerinde tanımlanan sınırlar, aşırı istek gönderen kaynakları kısıtlar. Sahte adres kullanıldığında bu sınırın etkisi azalır. Yine de saldırının bir bölümünü filtreler. Diğer önlemlerle birlikte kullanılır.

Ters proxy ve yük dengeleyici kullanımı da koruma sağlar. Bu bileşenler bağlantıyı kendileri sonlandırdığı için arka uç sunucular doğrudan etkilenmez. Ayrıca bu bileşenler genellikle özel koruma yeteneklerine sahiptir. Ters proxy mimarisi bu nedenle önerilir. Mimari kararı erken alınmalıdır.

Tespit ve İzleme

Saldırının tespiti için yarı açık bağlantı sayısının izlenmesi gerekir. Bu sayının ani artışı güçlü bir işarettir ve eşik tabanlı uyarı tanımlanabilir. Ayrıca tamamlanmayan bağlantı oranı da izlenir. Normal koşullarda bu oran düşüktür. Ani yükseliş saldırıya işaret eder.

Kaynak adres dağılımı da incelenir. Çok sayıda farklı ve daha önce görülmemiş adresten gelen istekler, sahte adres kullanıldığını gösterir. Bu analiz, saldırı türünün belirlenmesine yardımcı olur. Doğru tür belirlendiğinde doğru koruma devreye alınır. Yanlış teşhis, etkisiz müdahaleye yol açar.

İzleme verilerinin saklanması, saldırı sonrası analiz için de gereklidir. Hacim, süre ve hedef servis bilgileri kaydedilir. Bu kayıtlar, koruma yapılandırmasının iyileştirilmesinde kullanılır. Ayrıca sağlayıcıyla yapılan görüşmelerde dayanak oluşturur. Kayıt tutulmadığında değerlendirme tahmine dayanır.

Diğer Bağlantı Tabanlı Saldırılar

Aynı mantıkla çalışan başka teknikler de bulunur. Bağlantının kurulduktan sonra hiç veri gönderilmemesi ya da bağlantının kapatılmaması, benzer biçimde kaynak tüketir. Bazı varyasyonlar ise bağlantı sonlandırma mesajlarını kötüye kullanır. Bu tekniklerin ortak noktası, protokolün beklediği davranışın yerine getirilmemesidir. Savunma da protokol düzeyinde kurulur.

Bağlantı sayısı sınırlamaları bu tekniklerin çoğuna karşı etkilidir. Kaynak adres başına eşzamanlı bağlantı sayısının sınırlanması, tek bir saldırganın kapasiteyi doldurmasını engeller. Dağıtık saldırılarda ise sınırın etkisi azalır. Bu nedenle sınırlama tek başına yeterli değildir. Diğer katmanlarla birlikte kullanılır.

Bağlantı durum tablolarının izlenmesi de faydalıdır. Farklı durumlardaki bağlantı sayılarının dağılımı, saldırı türü hakkında bilgi verir. Bu izleme işletim sistemi araçlarıyla yapılabilir. Metrikler bir izleme platformuna aktarılmalıdır. Manuel kontrol sürdürülebilir değildir.

Bulut ve Yük Dengeleyici Ortamlarında

Bulut ortamlarında bağlantı yönetimi genellikle yük dengeleyici katmanında yapılır. Bu bileşenler saldırıyı büyük ölçüde soğurur ve arka uç sunucuları korur. Ancak yük dengeleyicinin kendi kapasitesi de sınırlıdır. Sağlayıcının sunduğu koruma özelliklerinin etkinleştirilmesi gerekir. Varsayılan yapılandırmalar her zaman yeterli değildir.

Otomatik ölçeklenme de bir savunma katmanı sağlar. Yük arttığında yeni örneklerin devreye girmesi, kapasitenin dinamik olarak büyümesini sağlar. Ancak bu büyüme maliyet üretir ve saldırgan bunu bilerek maliyet artırma hedefleyebilir. Bu nedenle ölçeklenme sınırları tanımlanmalıdır. Sınırsız ölçeklenme mali risk oluşturur.

Ayrıca ölçeklenme yalnızca kapasite sorunlarını çözer. Protokol düzeyindeki saldırılara karşı filtreleme yine gereklidir. İki mekanizma birbirinin yerine geçmez. Mimari tasarımda ikisi de planlanmalıdır. Bulut koruma katmanları bu planlamayı destekler.

Yapılandırma Kontrol Listesi

İlk madde, çerez mekanizmasının etkin olmasıdır. İkinci madde, yarı açık bağlantı zaman aşımının makul değere ayarlanmasıdır. Üçüncü madde, bağlantı tablosu boyutunun sistem kapasitesine uygun büyütülmesidir. Dördüncü madde, kaynak başına bağlantı sınırının tanımlanmasıdır. Beşinci madde, izleme metriklerinin toplanması ve eşik uyarılarının kurulmasıdır.

Bu maddelerin tüm internete açık sistemlerde uygulandığının doğrulanması gerekir. Tek bir korumasız sistem, saldırı için yeterli bir hedef oluşturur. Doğrulama, yapılandırma taramalarıyla otomatikleştirilebilir. Sonuçlar bir temel çizgiyle karşılaştırılır. Sapmalar düzeltilir.

Privia Security olarak ağ sınırındaki koruma yapılandırmalarını ve erişilebilirlik dayanıklılığınıaltyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.