DDoS savunmasının katmanları nelerdir ve her biri neyi ele alır?

Question

Accepted Answer

DDoS savunması **derinlemesine savunmadır**: hiçbir tek kontrol her saldırıyı durdurmaz, bu yüzden her biri farklı bir trafik sınıfını emen, filtreleyen veya engelleyen katmanları yığarsınız. Sıra önemlidir — mümkün olduğu kadar çok işi kenardan uzağa, kaynağınızdan uzağa itin.

## Katmanlar, kenardan içe doğru

- **CDN / scrubbing merkezleri** (Cloudflare, Akamai, AWS Shield) — en dış katman. **anycast** ile, aynı IP birçok bulunuş noktasından duyurulur, bu yüzden hacimsel bir sel **global kapasite arasında yayılır** tek bir veri merkezi yerine. Scrubbing merkezleri seli emer ve yalnızca temiz trafiği iletir.
- **WAF (Web Uygulama Güvenlik Duvarı)** — HTTP isteklerini inceler ve kötü niyetli desenleri engeller: kötü imzalar, şüpheli kullanıcı ajanları, bilinen kötü IP'ler ve **Katman 7** gerçek istekleri taklit eden sellerini.
- **Rate limiting** — IP, API anahtarı veya kullanıcı başına istek sayısını bir zaman penceresi üzerinde sınırlandırır, `429 Too Many Requests` döndürür. Normal olanları zarar vermeden suistimal eden istemcileri durdurur.
- **Upstream / ISP blackhole (null-route)** — ham hacim için son çare. Sağlayıcı hedeflenen IP'ye tüm trafiği bırakır (**uzaktan tetiklenen blackhole, RTBH**), diğer her şeyi korumak için o tek IP'yi feda eder.
- **Autoscaling + overprovisioning** — kaymış olanları **absorbe** etmek için ekstra kaynak kapasitesi, diğer katmanlar devreye girerken zaman kazanmaktır.

## Birlikte nasıl çalışırlar

Mental model **absorbe et -> filtrele -> engelle**'dir:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Hacimsel saldırılar CDN/scrubbing katmanında ölür; gerçek trafik gibi görünen uygulama katmanı saldırıları WAF ve rate limiter tarafından filtrelenir.

## Neden önemli

Tek bir katmana güvenmek tahmin edilebilir şekilde başarısız olur: bir WAF 1 Tbps seli durduramaz (boru ilk olarak doyar) ve tek başına bir CDN, zekice bir HTTP selini kaynağınıza mutlu bir şekilde geçirir. Katmanlandırma, her saldırı sınıfının için tasarlanmış bir kontrol ile karşılaşması ve kaynağın yalnızca dış katmanlar kendi başlarına işlemediği trafiği görmesi anlamına gelir.