Saldırılar kendini tanıtmaz. İlk gördüğünüz şey yavaşlayan bir site, bir uyarı maili ya da müşteri şikâyetidir — hatalı bir güncellemenin, veritabanı kilidinin veya sosyal medyada viral olmanın belirtileriyle birebir aynı. En hızlı toparlanan ekipler, olayı saatler yerine dakikalar içinde sınıflandırabilenlerdir.
Yedi Belirti
- İstek sayısı normal zirvenizin çok üstüne çıkıyor ama sipariş ve üyelik sayıları sabit kalıyor.
- Trafik tek bir adrese yığılıyor: genelde ana sayfa, arama ya da giriş formu.
- Web sunucusu meşgul ama veritabanı boşta: bağlantılar birikiyor, sorgu sayısı artmıyor.
- Yanıt süreleri uzuyor ama sunucunun işlemcisi düşük seviyede — darboğaz hesaplama değil, bağlantı.
- Kaynak adresler mantıksız: bölgesel bir işletmeye aniden tanımadık ağlardan trafik geliyor.
- Tarayıcı bilgileri tek tip, eksik ya da çok eski. Gerçek ziyaretçiler çeşitlidir, botlar tek düzedir.
- Grafik fazla düzgün. İnsan trafiği gün içinde dalgalanır, saldırı düz çizgi ya da kare dalga çizer.
En hızlı test
Saniyedeki istek sayısını, aynı dakikadaki sipariş veya giriş sayısıyla karşılaştırın. İstek katlanıyor ama iş sonuçları sabitse, karşınızdaki müşteri değil otomasyondur.
İlk Refleksleriniz Genelde Yanlıştır
Sunucuyu yeniden başlatmak kuyruğu birkaç saniyeliğine boşaltır, sonra tekrar dolar. Sunucuyu büyütmek, saldırganın sizden daha ucuza tüketebileceği bir kapasite satın almaktır. Elle birkaç IP engellemek ise tatmin edicidir ama kaynak sayısı genelde logda gördüğünüzden kat kat fazladır.
İlk On Dakika
- Yukarıdaki iki sayıyla sınıflandırmayı doğrulayın ve saati not edin. Sonraki her adım bu andan ölçülür.
- Korumayı bir seviye yükseltin; doğrulanmamış istemciler sunucuya ulaşmadan elensin.
- Sunucunuza doğrudan erişilemediğini kontrol edin. Saldırgan gerçek IP'yi biliyorsa uç filtreleme işe yaramaz.
- Kanıt toplayın: zirve istek sayısı, hedef adresler, yanıt kodları ve kaynak ağlardan örnek.
- Destek ve satış ekibine ne olduğunu ve ne söyleyeceklerini bildirin.
Saldırı Bittikten Sonra
Biten saldırı, kapanan olay demek değildir. Kanıtları saklayın, detaylar tazeyken kısa bir değerlendirme yazın ve tekrar eden saldırıları kesintiye çeviren o tek şeyi kontrol edin: müdahale sırasında gerçek sunucu adresiniz herhangi bir noktada sızdı mı?