DoS ve DDoS çoğu zaman aynı anlamda kullanılır, ama baştaki fazladan D, saldırının nasıl çalıştığını ve nasıl durdurulduğunu neredeyse tamamen değiştirir. İkisi de bir hizmeti erişilemez kılmayı amaçlar; fark, saldırıyı kaç makinenin yaptığındadır — ve bu tek gerçek, sorunu kendiniz mi engelleyebileceğinizi yoksa sunucunuzun önünde bir korumaya mı ihtiyacınız olduğunu belirler.
DoS: Tek Saldırgan, Tek Kaynak
DoS (hizmet engelleme) saldırısı tek bir makineden gelir. Tek bir bilgisayar, sunucunun işlemcisini, belleğini ya da bağlantı tablosunu tüketmek için istek ya da bozuk paket seli gönderir. Tek adresten geldiği için durdurmak görece kolaydır: kaynak IP'yi belirleyip güvenlik duvarında engellersiniz, saldırı biter.
DDoS: Aynı Anda Binlerce Kaynak
DDoS (dağıtık hizmet engelleme) saldırısı aynı anda çok sayıda makineden gelir — genelde dünyaya yayılmış binlerce ya da milyonlarca ele geçirilmiş cihazdan oluşan bir botnet. DDoS'u savunması bu kadar zor kılan da bu dağıtıklıktır: engellenecek tek bir IP yoktur, trafik toplam bant genişliğinizi aşabilir ve her paket farklı, masum görünen bir adresten gelebilir.
Belirleyici fark
DoS, genelde elle engelleyebileceğiniz tek bir saldırgandır. DDoS ise engelleyemeyeceğiniz binlercesidir — bu yüzden gerçek DDoS savunması sunucunuzun önünde, çok sayıda kaynaktan gelen trafiği aynı anda soğurabilen ya da filtreleyebilen bir vekil ya da ağ katmanında yapılmalıdır.
DDoS'u Durdurmak Neden Çok Daha Zor?
- Tek kaynak yok: sel binlerce yerden gelirken tek bir IP'yi engellemek hiçbir işe yaramaz.
- Ölçek: dağıtık bir saldırı tek makineden çok daha fazla trafik üretebilir, bazen hattınızı tamamen aşar.
- Kamuflaj: uygulama katmanı (Layer 7) DDoS'u, gerçek kullanıcılardan ayırt edilmesi zor, geçerli görünen istekler gönderir.
- Ucuzluk: saldırganlar stresser servislerinden birkaç dolara botnet kapasitesi kiralar, yani eşik önemsizdir.
Her Biri Nasıl Savunulur?
Basit bir DoS sunucuda halledilir: güvenlik duvarı kuralları, fail2ban ve hız sınırları genelde yeter. DDoS ise sunucunuzun önünde savunma gerektirir. Ağ katmanı (L3/L4) hacimsel selleri host ya da transit sağlayıcınızın ağı soğurur; uygulama katmanı (L7) saldırıları ise her isteği inceleyen, otomatik istemcileri sınayan ve kötüye kullananlara hız sınırı koyan bir ters vekilde filtrelenir. Akarguard bu L7 ters vekilidir: alan adınızı bir DNS değişikliğiyle üzerinden geçirirsiniz, uygulama katmanı saldırılarını filtreler ve gerçek IP'nizi gizler ki doğrudan seller hedefsiz kalsın.