DDoS Nedir? Distributed Denial of Service Yapay Zeka Çağında

Siteniz bir anda yavaşladı. Müşterileriniz sayfaların açılmadığından şikayet ediyor. Sunucu kaynaklarınız tükeniyor. İşte bu an, büyük ihtimalle bir DDoS saldırısının tam ortasındasınız. 2026’da bu senaryo artık sadece büyük şirketlerin kabusu değil. DDoS, her ölçekten işletmeyi hedef alıyor.

Peki DDoS (Distributed Denial of Service) nedir? En basit haliyle dağıtılmış hizmet reddi saldırısıdır. Binlerce cihaz aynı anda hedef sunucuya istek yağdırır. Sunucu bu sahte trafiği kaldıramaz ve gerçek kullanıcılara hizmet veremez hale gelir. Sonuç, doğrudan gelir kaybı ve itibar zedelenmesidir.

2026’nın siber tehdit manzarası çok daha vahşi. Saldırganlar yapay zeka destekli araçlar kullanıyor. Hizmet olarak DDoS satın almak hiç olmadığı kadar kolay. Dahası, bu ataklar dakikada binlerce dolar kayba yol açıyor.

Üstelik çoğu zaman eski güvenlik önlemlerini de delip geçiyor.Dolayısıyla bu rehberi hazırladım. Sizi sadece teorik bilgilerle değil, bizzat laboratuvarınızda uygulayabileceğiniz testlerle donatacağım.

Pasif savunma stratejileri artık işe yaramıyor. Kendi güvenlik duvarınızı, WAF kurallarınızı ve API rate limiting politikalarınızı bizzat test etmelisiniz. Neyse ki bu makalede tam da bunu yapacağız. GoldenEye ve hping3 gibi araçlarla simülasyonlar çalıştıracak, saldırı anında uygulayacağınız müdahale planını adım adım öğreneceksiniz.

Bu rehberde KVKK sorumluluklarınızdan adli bilişim delil toplamaya kadar her detayı inceleyeceğiz. Artı, fidye yazılımlı DDoS tehditlerini ve Kubernetes pod fatura bombası tuzaklarını da ele alacağız. Çünkü gerçek bir DDoS olayı yaşadığınızda elinizde somut bir yol haritası olmalı.

2026’da DDoS Tehdidi Neden Bu Kadar Büyüdü? (Güncel İstatistikler)

2026 yılı itibarıyla DDoS saldırılarının hacmi akıl almaz boyutlara ulaştı. Geçen yılın raporlarına baktığımızda, saniyede 10 terabitlik eşiği aşan hiper volumetrik atak kayıtlarına rastlıyoruz.

Üstelik bu devasa saldırılar artık yalnızca ulus devletlerin veya sofistike hacktivist grupların tekelinde değil. Booter ve stresser servisleri sayesinde, birkaç yüz dolara yıkıcı bir dağıtılmış hizmet reddi saldırısı başlatmak mümkün.

IoT cihaz botnetleri bu büyümenin temel itici gücüdür. Saldırganlar milyonlarca güvenliksiz IP kamera ve yönlendiriciyi zombi bilgisayar olarak kullanıyor.

Siber suçlular bu bot ağlarını kiralamak için dark web forumlarında teklif veriyor. Dolayısıyla saldırı kapasitesi her geçen gün katlanarak artıyor.

Bir diğer faktör ise yapay zeka entegrasyonu. Geleneksel DDoS araçları sabit kalıplarla çalışır. Aksine, AI destekli saldırı motorları savunma mekanizmalarını gerçek zamanlı analiz ediyor.

Trafik filtreleme kurallarını öğreniyor ve anında adapte oluyor. Bu nedenle statik güvenlik duvarı politikaları artık yetersiz kalıyor. Saldırgan, WAF ve IPS sistemlerini aşmak için dinamik saldırı vektörü üretebiliyor.

Bulut bilişimin yaygınlaşması da tehdidi büyütüyor. Kurumlar hızla Kubernetes kümelerine geçiş yapıyor. Ancak pod otomatik ölçeklendirme tuzağı (fatura bombası) adını verdiğimiz yeni bir saldırı türü ortaya çıktı.

Saldırgan, uygulamanın otomatik ölçeklenmesini tetikleyecek sahte istekler gönderiyor. Sunucu çökmesi yerine, bulut faturanız anormal şekilde kabarıyor.

Bunun yanı sıra, HTTP/2 Rapid Reset gibi sıfırıncı gün açıkları keşfettiler. Bu yeni keşifler ise saldırganlara müthiş bir etkinlik kazandırdı.

CVE-2023-44487 ile kaydedilen bu zafiyet, tek bir bağlantı üzerinden milyonlarca isteği sıfırlama yeteneği sunuyor. Cloudflare gibi devler bile bu saldırıyı hafifletmek için ek önlemler almak zorunda kaldı.

Sektör araştırmalarına göre, 2026’nın ilk çeyreğinde DDoS saldırı sayısı geçen yıla oranla yüzde 40 arttı. Bu artışın arkasında fidye yazılımlı DDoS ve rekabetçi DDoS motivasyonları yatıyor.

Ayrıca jeopolitik gerilimler, hacktivist grupları daha agresif hale getiriyor. Sonuç olarak her kurum, kendini bu gerçeğe hazırlamak zorundadır.

DDoS Saldırılarının Dakika Başına Gerçek Maliyeti: $22,000

Bir DDoS kesintisinin maliyetini hesaplarken yalnızca kayıp geliri düşünmek büyük hatadır.

Corero ve MazeBolt gibi firmaların raporları, ortalama dakika başına kaybın $22,000 seviyesine ulaştığını gösteriyor. Bu rakam, e-ticaret devleri için çok daha yüksektir. Örneğin Amazon’un bir saatlik kesintisi milyonlarca dolara mal olabilir.

Ancak hizmet reddi maliyet analizi, operasyonel giderleri ve itibar kaybını da içermelidir. Buna ek olarak olay müdahale ekibinin mesaisini ve adli analiz çalışmalarını ödersiniz.

Diğer yandan yasal danışmanlık ve olası tazminat davası masrafları da cabasıdır. Üstelik KVKK uygunluk ve teknik tedbir eksiklikleri nedeniyle ciddi idari para cezalarıyla karşılaşabilirsiniz.

Dakika başına kayıp hesaplanırken sektörel farklılıklar da öne çıkar. Finans kuruluşları için saniyeler bile kritiktir. Bir bankanın internet bankacılığı hizmetinin 5 dakika durması, binlerce başarısız işlem demektir.

Oyun sektöründe ise düşük gecikme hayati önem taşır. Oyuncular, sunucu yavaşlamasını anında terk etme sebebi olarak görür.

İş kesintisi sigortası bu noktada gündeme gelir. Pek çok siber sigorta poliçesi, hizmet reddi kaynaklı zararları kapsar. Fakat poliçenizin DDoS saldırılarını kapsadığından emin olmalısınız.

Bazı sigorta şirketleri, müşterinin gerekli siber güvenlik katmanı kontrollerini yaptığını kanıtlamasını ister. DDoS testi simülasyonu raporlarınızı ibraz etmeniz gerekir.

Sonuçta, bir saatlik bir kesinti ortalama $1.32 milyon kayba yol açar. Bu sebeple önleyici yatırım yapmak, kriz anında çırpınmaktan her zaman daha akıllıcadır. Şimdi bu devasa tehdidin teknik anatomisine derinlemesine bakalım.

DDoS Saldırı Türlerini Derinlemesine Anlamak: OSI Modeli ve Yeni Vektörler

Bir DDoS saldırısını etkili şekilde savuşturmak için önce türünü tanımalısınız. Uzmanlar bu saldırıları genellikle hedef aldıkları OSI katmanına göre sınıflandırır.

Ağ katmanı (Layer 3/4) saldırıları bant genişliğini tüketmeye odaklanır. Uygulama katmanı (Layer 7) saldırıları ise sunucu kaynaklarını bitirmeyi hedefler. 2026’da bu ikisi arasındaki çizgi giderek bulanıklaşıyor.

Volumetric attack türünde saldırgan, hedefin tüm bant genişliğini çöp trafikle doldurur. UDP flood ve ICMP flood en yaygın örneklerdir.

DNS amplifikasyon (yansıtma) saldırısı ise sahte IP (spoofing) kullanarak küçük istekleri devasa yanıtlara dönüştürür. Bu sayede saldırgan, kendi kaynağını neredeyse hiç harcamaz.

Yansıtma saldırıları korkunç bir verimlilikle çalışıyor. Saldırgan sahte IP ile küçük paketler gönderiyor. Sunucu ise kurbanı dev yanıtlarla bombalıyor. İşin can alıcı noktası tam olarak burası; dağıtılmış yansıtma saldırıları amplifikasyonu katlıyor.

Protocol attack, ağ cihazlarının bağlantı durumu tablosu tablosunu hedef alır. SYN flood, en bilinen türüdür.

Saldırgan, hedef sunucuya çok sayıda yarım TCP bağlantı isteği gönderir. Sunucu her birine cevap beklerken kaynakları tükenir. TCP Middlebox Reflection gibi yeni yöntemleri de bu kategoriye dahil ettiler.

Yeni Nesil Vektörler ve Gelişmiş Tehditler

Application layer attack ise en sinsi türdür. Meşru HTTP istekleri gibi görünür. Bu nedenle tespiti zordur. HTTP flood, bir web sayfasını sürekli yenilemek gibidir. Sunucu, gerçek kullanıcı zanneder ve CPU tükenir. CAPTCHA atlatma botu kullanımı, bu saldırıları daha da ölümcül kılar.

Ayrıca yeni nesil vektörler arasında HTTP/2 Rapid Reset ve sis perdesi saldırısı sayabiliriz. Rapid Reset, sıfırlama akışlarıyla sunucuyu boğar.

Sis perdesi saldırısı ise ana DDoS hedefini gizlemek için eş zamanlı küçük saldırılar başlatır. Böylece savunmacı, asıl hedefi tespit edemez. Bu yüzden ağ trafiği analizi ve anomali tespiti hayati önem kazanır.

Çok Vektörlü (Multi-Vector) Saldırılar: AI ile Güçlendirilmiş Kombine Tehditler

Modern saldırganlar tek bir vektörle yetinmez. Çok vektörlü DDoS, aynı anda birden fazla katmanı hedef alır.

Örneğin saldırganlar bir yandan SYN flood ile güvenlik duvarının bağlantı tablosunu dolduruyor. Bunun yanı sıra HTTP flood ile web sunucusunu zorluyorlar. Buna ek olarak DNS amplifikasyon saldırısı ile bant genişliğini tüketiyorlar.

Yapay zeka bu kombine tehditleri çok daha tehlikeli hale getiriyor. AI destekli saldırı motorları, savunma tarafının tepkilerini sürekli izler.

Eğer WAF bir vektörü engellemeye başlarsa, AI anında diğer vektörün yoğunluğunu artırır. Bu adaptif yapı, manuel müdahaleyi neredeyse imkansız kılar.

Üstelik bu saldırılarda dinamik saldırı vektörü kullanımı yaygınlaştı. Saldırgan, IP blacklist’e alınan botları anında yenileriyle değiştirir. Paket filtreleme kurallarınızı sürekli güncellemeniz gerekir. Aksine, saldırganlar savunmanızı kısa sürede aşar.

Bununla birlikte, yapay zeka üretimi saldırı trafiği, normal kullanıcı davranışını taklit etmede ustalaştı. Geleneksel anomali tespiti sistemleri bu trafiği meşru sanarak hata yapabilir.

Oyun sektöründe rekabetçi DDoS motivasyonu öne çıkıyor. Bu nedenle siber saldırganların bu tür çok vektörlü saldırıları sıkça düzenlediğini görürüz.

Bir oyuncu, rakibinin IP adresini öğrendiği an booter servisini kullanır. Şöyle ki, bu servis üzerinden hem UDP hem HTTP flood başlatır. Ev kullanıcıları bile bu tehdidin hedefidir. Neyse ki, evde DDoS’tan korunma için VPN bağlantısı ve güçlü router güvenlik duvarı kurmak etkili olabilir.

Şimdi bu tehditleri daha da ileri taşıyan yeni nesil modellere bakalım.

Yeni Nesil Tehditler: Yapay Zeka Saldırganları ve ‘Hizmet Olarak’ Modeller

Siber suçlular suç ekosisteminde DDoS hizmetini doğrudan satıyor. Üstelik bu hizmeti kolayca satın alabilirsiniz. Booter ve stresser siteleri, aylık $50 gibi düşük ücretlerle güçlü saldırı paketleri sunuyor.

Kullanıcı dostu arayüzler işi kolaylaştırıyor. Yani teknik bilginiz olmasa bile birkaç tıklamayla saldırı başlatabilirsiniz. Bu olgu, tehdit aktörlerinin sayısını katbekat artırdı.

DDoS for hire modeli, kolluk kuvvetlerinin işini de zorlaştırıyor. Çünkü saldırıyı yaptıran kişi ile gerçekleştiren altyapı farklı kıtalarda olabiliyor.

Aslında ödemeler kripto paralarla yapıldığı için iz sürmek neredeyse imkansız hale geliyor. Ayrıca, bu servisleri fidye yazılımlı DDoS saldırıları için de kullanıyorlar.

Yapay zeka saldırganları ise oyunun kurallarını tamamen değiştiriyor. Siber suçlular, savunma açıklarını taramak ve exploit geliştirmek için LLM tabanlı sistemleri kullanıyor.

Özellikle API DDoS koruması zayıf olan sistemleri, AI destekli araçlarla dakikalar içinde tarayıp hedef alıyorlar. Bu nedenle geleneksel imza tabanlı korumaları artık tek başına yeterli bulmuyoruz.

Ransom DDoS (RDDoS) ve Fidye Ödemek Suç mudur?

RDDoS, saldırganın önce küçük çaplı bir DDoS gösterisi yapıp ardından fidye talep ettiği modeldir.

Genellikle “Ödeme yapmazsanız asıl saldırıyı başlatacağız” tehdidi içerir. 2026’da bu yöntem, özellikle finans ve e-ticaret sektörünü hedef alıyor. Saldırganlar, kesinti maliyetinin yüksek olduğunu bildikleri için kurbanların ödeme yapma olasılığını hesaplıyor.

Peki fidye ödemek suç mudur? Doğrudan suç değildir ancak terör finansmanı kapsamına girebilir. Özellikle saldırgan yaptırım listesindeki bir grupsa, ödeme yapmak ciddi hukuki sonuçlar doğurur.

Ayrıca ödeme yapmak, sizi gelecekteki saldırılar için “verimli hedef” haline getirir. Siber güvenlik camiasında genel kanı, asla fidye ödememek yönündedir. Bunun yerine derhal BTK bildirimi yapmalı ve olay müdahale planınızı devreye almalısınız.

Unutmamanız gereken bir diğer nokta, fidye yazılımlı DDoS ile veri sızıntısı tehdidinin birleştiği hibrit saldırılardır. Saldırgan, DDoS ile dikkatinizi dağıtırken arka planda veri çalar. Bu nedenle sadece salt koruma değil, bütüncül bir siber güvenlik stratejisi şarttır.

Bulut Fatura Kabartma (FDoS) ve Serverless Zafiyetleri

FDoS, DDoS’un bulut çağındaki en sinsi türevlerinden biridir. Saldırgan, uygulamanızın otomatik ölçeklendirme kurallarını tetikleyerek pod sayısını patlatır.

Trafik artışı meşru gibi görünür ancak hedef, sunucu çökmesi değil faturanızı kabartmaktır. Bu pod otomatik ölçeklendirme tuzağı (fatura bombası), özellikle Kubernetes kümelerinde ciddi bir tehdittir.

Serverless mimariler de benzer bir risk taşır. Sonsuz ölçeklenme vaadi, saldırganlar için sonsuz maliyet anlamına gelir. Eğer API rate limiting doğru yapılandırılmamışsa, tek bir saldırgan milyonlarca fonksiyon çağrısı tetikleyebilir.

Bunun sonucunda ay sonunda hiç beklemediğiniz bir faturayla karşılaşırsınız. Konteyner güvenliği politikalarınızı ve API güvenlik duvarı kurallarınızı bu senaryoya göre dizayn etmelisiniz.

Gerçek bir vaka bu durumu net şekilde gösteriyor. Bir SaaS firması, rakip saldırı yüzünden aylık AWS faturasının 50 kat arttığını gördü.

Saldırgan, yoğun veri çıkışı olan endpoint’leri hedef aldı. Şöyle ki, hem bant genişliğini tüketti hem de işlem maliyeti yarattı. Bu nedenle bulut maliyet anomalilerini gerçek zamanlı izleyecek alarmlar kurmanız hayati önem taşır.

LLM’lere Karşı Yeni Nesil DoS: Prompt-Induced Over-Generation

Büyük dil modellerinin (LLM) yaygınlaşmasıyla yepyeni bir hizmet reddi vektörü doğdu: Prompt-Induced Over-Generation.

Saldırgan, LLM tabanlı bir API’ye çok uzun ve karmaşık cevaplar ürettirecek özel prompt’lar gönderir. Böylece, modelin devasa miktarda token üretmesini sağlar. Bu durum hem GPU kaynaklarını tüketir hem de API maliyetini uçurur.

Bu saldırı türü, özellikle chatbot ve içerik üretim API’leri sunan firmaları tehdit eder. Yani, “Bana tüm roman karakterlerini detaylı anlat” gibi bir komutla dakikada binlerce token harcatabilir.

Geleneksel rate limiting burada yetersiz kalır. Token bazlı kotalar ve çıktı uzunluğu sınırlandırmaları zorunludur. Ayrıca anomali tespiti motorları, normal kullanıcı davranışından sapan prompt kalıplarını algılamalıdır.

2026’da LLM DoS saldırılarını durdurmak için API rate limiting kullanabilirsiniz. Ayrıca sisteme bir giriş doğrulama katmanı eklemeniz gerekir.

Her prompt’un beklenen maksimum çıktı token sayısını belirlemeli ve aşım durumunda isteği reddetmelisiniz. Açıkçası yapay zeka çağında, DDoS’un sınırlarını artık sadece ağ katmanı belirlemiyor.

Kendi DDoS Simülasyon Laboratuvarınızı Kurun: Adım Adım Rehber

Teoriyi bir kenara bırakıp kolları sıvama vakti. Kendi lab ortamınızda DDoS simülasyonu yapmak, savunma stratejilerinizi doğrulamanın en güvenli yoludur.

Elbette bu testleri ASLA canlı sistemlerde veya izinsiz ağlarda yapmamalısınız. Testler yalnızca izole sanal makinelerde ve etik sınırlar içinde kalmalıdır.

Önceleri biz bu testleri pahalı donanımlarla yapardık. Artık güçlü bir dizüstü bilgisayar ve VirtualBox yeterli. Saldırı tarafında Kali Linux, hedef tarafta ise Ubuntu Server veya Windows Server kullanabilirsiniz. Önemli olan, saldırı trafiğini gözlemleyebileceğiniz log mekanizmalarını aktif etmektir.

Bu rehberde üç adımda sıfırdan bir simülasyon kuracağız. İlk olarak sanal ortamı hazırlayacağız. Ardından hedef sunucuyu yapılandıracağız.

Son olarak GoldenEye ile HTTP flood, hping3 ile SYN flood testleri gerçekleştireceğiz. Her adımda karşılaşabileceğiniz tuzakları ve yıllardır yaptığım hataları paylaşacağım.

Adım 1: Sanal Ortamınızı Hazırlayın (VirtualBox, Kali Linux)

İlk iş olarak VirtualBox indirip kurun. Ardından iki adet sanal makine oluşturun. Birinci makineyi Kali Linux ISO’sundan kuracaksınız.

Bu bizim saldırı makinemiz olacak. İkinci makine ise Ubuntu Server 24.04 LTS ile hedef sunucu rolü üstlenecek. Her iki sanal makineye de en az 2 GB RAM ve 2 CPU çekirdeği atayın.

Ağ ayarlarında kritik bir detay var: İki makineyi de “Internal Network” (dahili ağ) moduna alın. Böylece saldırı trafiği asla gerçek ağınıza sızmaz. Bu yalıtılmış ortam, etik stres testi (LOIC) gibi araçları güvenle denemenizi sağlar. Bu arada, asla bu araçları internete açık hedeflerde kullanmayın; suçtur.

Kali Linux’u kurduktan sonra terminali açın ve sistem depolarını güncelleyin: sudo apt update && sudo apt upgrade -y. Ardından GoldenEye ve hping3’ü yükleyin.

GoldenEye GitHub’dan klonlayın: git clone https://github.com/jseidl/GoldenEye.git. hping3 ise depolarda hazırdır: sudo apt install hping3 -y. Bu kadar basit.

Adım 2: Hedef Sunucuyu Yapılandırın ve Log Mekanizmalarını Aktif Edin

Hedef Ubuntu sunucuya Apache2 veya Nginx kurarak başlayın. sudo apt install apache2 -y komutuyla hemen bir web sunucusu ayağa kaldırın.

index.html sayfasına basit bir “Hedef Sunucu” yazısı ekleyin. Şimdi en önemli kısım loglardır. Apache’nin access.log ve error.log dosyalarını gerçek zamanlı izlemek için tail -f /var/log/apache2/access.log komutunu kullanın.

Ağ seviyesinde trafik yakalamak için tcpdump’ı aktif edin. sudo tcpdump -i eth0 -w ddos_capture.pcap komutu, tüm paketleri kaydeder.

Bu pcap dosyasını daha sonra Wireshark yazılımıyla ile forensic analiz için kullanabilirsiniz. Bu arada, sunucunuzun mevcut kaynak kullanımını gözlemek için htop veya bmon gibi araçları da kurun.

Birçok kişinin atladığı nokta, güvenlik duvarı loglarının aktif edilmesidir. Eğer sunucuda UFW varsa sudo ufw logging on ile logları açın. pfSense gibi bir güvenlik duvarı kullanıyorsanız, onun da log seviyesini debug moda alın. Bu sayede saldırı anında hangi paketin nerede takıldığını görebilirsiniz. İleride gerçek bir olay anında bu loglar delil niteliği taşır.

Adım 3: GoldenEye ve hping3 ile İlk Simülasyonunuzu Başlatın

İlk test olarak GoldenEye ile bir HTTP flood gerçekleştirelim. Kali terminalde GoldenEye dizinine gidin ve şu komutu çalıştırın: ./goldeneye.py http://hedef-ip -w 50 -s 50 -m random.

Bu komut, 50 işçi thread ile 50 soket açarak hedefe rastgele User-Agent’lerle HTTP isteği yağdırır. Hemen hedef sunucunun access.log’una bakın; saniyede yüzlerce istek geldiğini göreceksiniz.

Ardından hping3 ile bir SYN flood testi yapalım. sudo hping3 -S --flood -p 80 hedef-ip komutu, hedefin 80 portuna sürekli SYN paketi gönderir.

Sunucunun kaynak kullanımı htop’da fırlayacak, yeni bağlantı kabul edemez hale gelecektir. İşte bu, klasik bir ağ katmanı (Layer 3/4) saldırısıdır.

Şimdi asıl önemli adım: Bu saldırıları durdurmak için kendi güvenlik duvarınızı ve rate limiting kurallarınızı devreye alın.

Örneğin iptables ile SYN paketlerine limit koyabilirsiniz: sudo iptables -A INPUT -p tcp --syn -m limit --limit 10/s -j ACCEPT. Veya Apache mod_evasive ile HTTP isteklerini sınırlayın. Testleri tekrarlayarak savunmanızın etkinliğini ölçün.

Bu döngüyü sürekli tekrarlayın. Saldırı yapın, logları inceleyin, kural ekleyin, tekrar saldırın. Gerçek DDoS koruma yeteneği işte böyle laboratuvarda yoğrularak gelişir. Bir sonraki bölümde, bu testleri daha da ileri taşıyıp konfigürasyon hatalarınızı nasıl keşfedeceğinizi anlatacağım.

Güvenlik Açıklarınızı Keşfedin ve Doğrulayın (MazeBolt RADAR)

Kendi labınızda yaptığınız simülasyonlar değerli bir başlangıçtır. Fakat gerçek dünyada DDoS koruma cihazlarınız sürekli değişen ağ koşullarıyla mücadele eder.

MazeBolt RADAR gibi otomatik DDoS test platformları, canlı sistemlerinizdeki zafiyetleri kesintisiz olarak tarar. Bu araçlar, saldırı yüzeyinizdeki kör noktaları size gösterir.

Uzmanlar geleneksel sızma testlerini genellikle noktasal zamanlarda yapar. Oysa DDoS koruma sistemleri dinamik ortamlarda çalışır. Bir kural değişikliği, yanlışlıkla bir güvenlik açığı yaratabilir.

İşte bunu önlemek için sürekli doğrulama şarttır. DDoS saldırı azaltma önlemleri ancak böyle güvenilir kalır.

Noktasal Testler Neden Yetersiz? ‘Konfigürasyon Kayması’ Sorunu

Konfigürasyon kayması, zaman içinde sistem ayarlarının güvenli temel çizgiden uzaklaşmasıdır. Örneğin bir yönetici, geçici bir sorun için WAF kuralını gevşetir. Ancak daha sonra eski haline getirmeyi unutur. Bu unutulan kural, sıfırıncı gün açığı kadar tehlikelidir. Aylık penetration testleri bu tür kaymaları yakalayamaz.

Benzer şekilde, CDN sağlayıcınızın arka planda yaptığı bir güncelleme, sizin trafik temizleme politikanızı etkisiz kılabilir. Bu nedenle her değişiklik sonrası otomatik regresyon testi yapmalısınız. MazeBolt RADAR, tam da bu felsefeyle çalışır. Canlı trafiğe zarar vermeden sürekli doğrulama yapar.

Kişisel tecrübem şudur: Yıllar önce bir finans kuruluşunda manuel testler yaptık. Bu testlerden “temiz” raporu alan bir IPS, gerçek bir saldırıda 15 dakikada çöktü.

Sebebi, test sonrası yapılan bir yazılım güncellemesiydi. O günden beri sürekli doğrulamanın şart olduğunu savunuyorum. Bu nedenle siber tehdit istihbaratını her zaman güncel tutmalısınız.

Yapay Zeka Üretimi Saldırılarla (AI-Generated Attacks) Test Etme

2026 yılında savunma testlerini AI destekli saldırı simülasyonlarına dönüştürmelisiniz. Geleneksel test araçları sabit imzalar kullanır. Modern WAF’lar bunları kolayca tanır ve engeller.

Oysa AI destekli saldırı motorları, her seferinde farklı bir saldırı vektörü oluşturur. Bu, savunmanızın gerçek direncini ölçmenin tek yoludur.

Örneğin yapay zeka destekli HTTP flood testleri, CAPTCHA atlatma botu yardımıyla insan davranışını taklit eder. Her istek farklı bir gezinme paterni izler.

Eğer WAF’ınız bu trafiği engelleyemiyorsa, gerçek bir saldırıda da başarısız olur. Bu testler sadece Layer 3/4 değil, Layer 7 savunmanızı da sınar.

Sonuç olarak, etkin bir DDoS koruma stratejisi, sürekli ve adaptif testten geçer. Şimdi savunma duvarlarınızı nasıl test edeceğinizi detaylandıralım.

Savunma Duvarlarınızı Test Edin: WAF, Rate Limiting ve CDN

DDoS koruma stratejinizin bel kemiği, katmanlı savunma mimarisidir. Bu katmanlar; edge protection, WAF, rate limiting ve trafik temizleme merkezlerinden oluşur.

Ancak bu parçaları doğru ayarlamazsanız sisteminiz çöker. Dolayısıyla bir saldırı anında her şey domino taşı gibi devrilir. Şimdi, her bir katmanı nasıl test edeceğinizi uygulamalı olarak göstereceğim.

Özellikle CDN ve Anycast ağ kullanıyorsanız, saldırı emilim kapasiteniz yüksektir. Ancak bu, sizi rehavete sürüklememelidir.

Çünkü uygulama katmanı saldırıları, CDN önbelleğini bypass ederek doğrudan origin sunucuya ulaşabilir. İşte bu nedenle WAF kurallarınızı mutlaka test etmelisiniz.

WAF Kural Setlerinizi HTTP Flood ile Test Edin

WAF’ınızın HTTP flood karşısındaki davranışını test etmek için önce temel kuralları devre dışı bırakın. Ardından GoldenEye veya benzeri bir araçla kademeli olarak saldırı başlatın.

Saldırıyı başlatırken WAF loglarını gerçek zamanlı izleyin. Hangi isteklerin engellendiğini, hangilerinin sızdığını not edin.

Etkili bir WAF testi için farklı User-Agent, coğrafi lokasyon ve istek desenleri denemelisiniz. Modern bir WAF, anomali tespiti ile normal trafik ile saldırıyı ayırt edebilmelidir.

Eğer WAF’ınız sadece IP blacklist mantığıyla çalışıyorsa, sahte IP (spoofing) kullanan bir saldırganı asla durduramazsınız.

Test sırasında en sık yapılan hata, WAF’ın “alert only” modunda unutulmasıdır. WAF’ı mutlaka “block” modunda test edin. Engelleme sonrası sunucu yükünün normale dönüp dönmediğini gözlemleyin.

Ayrıca false positive (yanlış pozitif) oranını da ölçün. Gerçek kullanıcılar engelleniyorsa, kural toleranslarınızı ayarlamanız gerekir.

API Rate Limiting Politikalarınızı Zorlayın ve Doğrulayın

API’ler, modern uygulamaların can damarıdır. Fakat aynı zamanda en büyük saldırı yüzeyidir. API rate limiting politikalarınızı test etmek için önce endpoint’lerinizin limit değerlerini öğrenin. Ardından Apache Bench veya wrk gibi araçlarla limitleri aşmayı deneyin.

Örnek bir test: ab -n 10000 -c 100 https://api.hedefiniz.com/v1/endpoint. Bu komut, 100 eşzamanlı bağlantıyla 10.000 istek gönderir.

Eğer rate limiting doğru çalışıyorsa, bir süre sonra 429 Too Many Requests hatası almalısınız. Hata alınan noktada, diğer endpoint’lerin hala çalıştığını doğrulayın. İzole bir hata yönetimi şarttır.

İleri seviye bir test için farklı IP’lerden istek gönderin. Bunun yanı sıra farklı API anahtarlarıyla limit aşımını deneyin. Saldırganlar genellikle dağıtık kaynak kullanır.

Bu nedenle IP bazlı rate limiting tek başına yeterli değildir. API anahtarı ve oturum bazlı kotalar eklemelisiniz. Ayrıca LLM API’leri için token bazlı sınırlandırma da uygulayın. Tüm bu testleri otomatize ederek CI/CD hattınıza ekleyin.

DDoS Saldırısı Anında Uygulanabilir Müdahale Planı (Runbook)

Bir DDoS saldırısı başladığında panik, en büyük düşmanınızdır. Bu yüzden her kurumun yazılı bir olay müdahale planı olmalıdır. Bu plan, kimin ne yapacağını adım adım tanımlar. Aşağıda, yüzlerce olaydan süzülmüş bir saldırı anı acil durum akış kartı özeti sunuyorum.

Öncelikle unutmayın: Dakikaların bile maliyeti $22,000 seviyesindedir. Hızlı ve soğukkanlı hareket etmelisiniz. Planınızı daha önce masa başı tatbikatlarıyla test ettiyseniz, gerçek olayda çok daha başarılı olursunuz. Siber saldırı vektörü ne kadar karmaşık olursa olsun, disiplinli bir plan avantajınızdır.

İlk 5 Dakika: Tanı, Ekip Aktivasyonu ve ‘Panik Butonu’

İlk olarak alarmın gerçek bir saldırı olup olmadığını doğrulayın. Açıkçası bu durum sadece ani bir normal trafik artışı da olabilir. Ağ trafiği analizi araçlarınızı açın.

Anlık bağlantı sayısına, bant genişliği tüketimine ve sunucu cevap sürelerine bakın. Eğer anormal bir SYN flood veya UDP flood deseni görüyorsanız, saldırı altındasınız demektir.

Derhal kriz iletişim kanalınızı (ör. Slack, Teams) aktif edin. Olay müdahale ekibini toplayın. Elinizde önceden tanımlı bir “panik butonu” prosedürü varsa, onu başlatın.

Bu buton genellikle CDN’inizi “under attack” moduna alır. Üstelik önceden hazırladığınız katı güvenlik duvarı kurallarını çalıştırır. Cloudflare gibi servislerde bu özellik tek tıkla aktiftir.

Aynı anda, sunucu loglarını harici bir diske yedeklemeye başlayın. İleride adli bilişim uzmanları bu logları resmi birer siber saldırı delili olarak kullanabilir.

Zaman damgalarının doğruluğundan emin olun. NTP senkronizasyonu hayati önem taşır. Paket taşması yaşanan anlık durumları kayıt altına alın.

15. Dakika: Trafiği Temizleyin ve Yasal Bildirimleri Başlatın (USOM, KVKK)

Saldırı onaylandıktan sonraki 15 dakika içinde trafik temizleme önlemlerini maksimuma çıkarın. Saldırgan IP’leri manuel olarak IP blacklist’e ekleyin. Rate limiting eşiklerini düşürün.

Coğrafi kısıtlama uygulayabiliyorsanız, saldırı kaynağı ülkeleri geçici olarak engelleyin. Amacınız, meşru kullanıcıların hizmete erişebilmesini sağlamaktır.

Yasal yükümlülüklerinizi asla ihmal etmeyin. Siber saldırı kişisel veri ihlaline yol açmış olabilir. Bu nedenle durum saptamasından sonraki 72 saat içinde KVKK’ya bildirim yapmalısınız.

Ayrıca USOM’a (Ulusal Siber Olaylara Müdahale Merkezi) BTK bildirimi yaparak resmi kayıt oluşturun. Bu bildirimler, ileride açılacak bir DDoS tazminat davası için kritik öneme sahiptir.

Adli bilişim delil toplama sürecini de başlatın. Saldırı anına ait pcap kayıtları, loglar ve sistem anlık görüntülerini alın. Bu delilleri, zincirleme adli bütünlük kurallarına uygun şekilde saklayın.

Daha sonra bilişim suçları savcılığı’na suç duyurusunda bulunabilirsiniz. Unutmayın, DDoS saldırısı suç mu sorusunun cevabı Türk Ceza Kanunu’nda açıktır: TCK m.244 uyarınca evet, suçtur ve hapis cezası vardır.

DDoS Saldırısı Sonrası İtibar Yönetimi ve Kriz İletişimi

Teknik ekip saldırıyı bertaraf ettiğinde asıl sınav başlar: Kriz iletişimi ve marka itibarı koruma. Saldırı haberleri sosyal medyada hızla yayılır. Müşterileriniz endişelidir. Eğer doğru iletişim kuramazsanız, teknik başarınız gölgede kalır.

Bu bölümde, kriz anında ne söyleyeceğinizi ve güveni nasıl yeniden inşa edeceğinizi anlatacağım.

Paydaşlarla İletişim: Müşterilere, Medyaya ve Düzenleyicilere Ne Söylemeli?

İlk kural, asla yalan söylemeyin veya sessiz kalmayın. Müşterilerinize dürüst bir durum güncellemesi yapın. “Yoğun bir siber saldırı altındayız, ekiplerimiz müdahale ediyor” mesajı yeterlidir.

Ek olarak teknik detay vermeyin. Saldırganın işine yarayacak bilgileri asla paylaşmayın. Aynı zamanda, medyaya konuşacak tek bir sözcü belirleyin. Kurum içi bilgi sızıntısını önleyin.

Düzenleyici kurumlarla iletişimde ise şeffaf olun. KVKK ve USOM’a yapacağınız bildirimler için hukuk ekibinizle koordineli çalışın.

Bir DDoS sis perdesi saldırısı sırasında veri sızdırmış olabilirsiniz. Haliyle derhal veri sorumlusu sıfatıyla harekete geçin. Bu süreçte alınan kararların yazılı kaydını tutun; ileride DDoS tazminat davası açılması gerekebilir.

Saldırı Sonrası Marka Güvenini Yeniden İnşa Etmek

Saldırı sonrası en zorlu görev, kaybolan güveni geri kazanmaktır. Müşterilerinize, hangi ek güvenlik önlemlerini aldığınızı anlatın.

Örneğin, bir DDoS koruma servisinin trafiğinizi sürekli analiz ettiğini söylemeniz insanlara güven verir. Hatta dilerseniz bağımsız bir güvenlik firmasından denetim raporu alıp yayınlayın.

Ayrıca saldırıdan etkilenen kullanıcılara özel telafi paketleri sunun. Örneğin bir e-ticaret sitesiyseniz, kesinti süresi boyunca işlem yapamayanlara indirim kuponu verin.

Bu, mağduriyeti gidermenin ötesinde, marka sadakati oluşturur. Unutmayın, krizi iyi yöneten şirketler, saldırı öncesine göre daha güçlü bir itibarla çıkabilir.

DDoS Saldırılarına Karşı Sektörel Korunma Kılavuzları

Her sektörün kendine özgü riskleri ve öncelikleri vardır. Bir e-ticaret sitesi için saniyelik kesinti doğrudan satış kaybı anlamına gelir. Önemli bir diğer nokta ise bir oyun sunucusu için düşük gecikmenin hayati önem taşımasıdır.

SaaS firmaları ise API kötüye kullanımına karşı tetikte olmalıdır. Gelin şimdi her sektör için en etkili korunma yöntemlerine yakından bakalım.

E-Ticaret ve Bankacılık: Yüksek Kullanılabilirlik ve Anlık Korumalar

E-ticaret ve bankacılık sektörü, DDoS saldırganlarının bir numaralı hedefidir. Çünkü kesinti doğrudan gelir kaybıdır. Bu kurumlar için yük dengeleyici ve Anycast ağ mimarisi olmazsa olmazdır.

Trafik temizleme merkezleri, saldırı trafiğini meşru kullanıcıya ulaşmadan filtreler. Ayrıca coğrafi olarak dağıtılmış veri merkezleri, bölgesel saldırılara karşı direnç sağlar.

Anlık korumalar için WAF kurallarınızı agresif modda tutmalısınız. Özellikle yoğun kampanya dönemlerinde botnet kaynaklı fiyat kazıma ve stok tüketme saldırılarına dikkat edin.

Bu tür saldırılar, aslında birer application layer attack türüdür. İş zekası araçlarıyla anormal alışveriş paternlerini tespit edebilirsiniz. DDoS saldırı belirtileri konusunda ekibinizi eğitin.

Oyun Sektörü: Düşük Gecikme ve IP Gizleme Stratejileri

Oyun sektörü, rekabetçi DDoS saldırılarının en yoğun yaşandığı alandır. Bir oyuncu, rakibini alt etmek için stresser servisi kiralayıp saldırı yapabilir.

Oyun sunucuları genellikle UDP protokolüne dayandığı için UDP flood saldırılarına karşı hassastır. Oyun firmaları, oyuncular arası iletişimde IP adreslerini gizlemelidir. Ayrıca oyun firmaları, kullanıcıları VPN ve Proxy kullanmaya teşvik etmelidir.

Ayrıca oyun sunucuları, gerçek zamanlı trafik filtreleme yapabilen özel DDoS koruma hizmetleriyle entegre olmalıdır.

Cloudflare Spectrum veya benzeri çözümler, UDP tabanlı oyun trafiğini proxy’leyerek saldırıları emer. Oyuncuların bağlantı gecikmesini artırmamak için bölgesel edge sunucular kullanmalısınız. Oyunlarda DDoS koruması bu nedenle özel uzmanlık ister.

SaaS ve API Odaklı Firmalar: Rate Limiting ve API Güvenlik Duvarları

SaaS firmaları için en kritik varlık API’leridir. API DDoS koruması, katmanlı bir strateji gerektirir.

Sistem ilk katmanda API rate limiting, ikinci katmanda ise API güvenlik duvarı barındırır. Üstelik üçüncü katmanda anomali tespiti mekanizması kullanırsınız. Her API endpoint’i için ayrı limitler tanımlamalısınız. Ayrıca kullanıcı bazlı kotalar, IP bazlı kotalarla desteklemelisiniz.

Özellikle GraphQL gibi esnek sorgu yapıları, saldırganların tek bir istekle sunucuyu aşırı yüklemesine izin verir. Sorgu derinliği ve karmaşıklık limitleri koymazsanız, bu bir zaafiyet haline gelir.

API güvenlik testlerinizi sürekli yaparak yeni açıkları proaktif şekilde kapatın. Ayrıca LLM API’leri için token tüketimini sınırlayan özel korumalar ekleyin. Tüm bu önlemler, dağıtılmış hizmet engelleme tehdidini en aza indirir.

DDoS Hakkında İleri Okuma Kaynakları

Sunduğum bilgileri derinleştirmek için aşağıdaki otoriter kaynakları incelemenizi öneririm:

• RIPE NCC – Understanding DDoS Scrubbing in BGP: Five Leading Scrubbers: Beş büyük DDoS temizleme sağlayıcısının BGP yönlendirme verilerini analiz eder.
• CAIDA – The UCSD Network Telescope: DDoS saldırılarının arka plan ışımasını pasif olarak izleyerek küresel tehditleri analiz eder.
• BSI – Gefährdungen (Ocak 2026): Ocak 2026’ya ait DDoS istatistikleri ve önleme önerileri sunar.

DDoS Kabusu Yaşayanların En Kritik 10 Sorusu ve Net Cevapları

Sonuç: ‘Savunma Pasif Değildir, Aktif Bir Test Sürecidir’

Bu rehber boyunca DDoS’un 2026’daki karanlık yüzünü ve aydınlık savunma stratejilerini ele aldık. Gördüğünüz gibi, salt güvenlik duvarı almak veya bir WAF kurmak yeterli değil.

Sistemlerinizi sürekli test etmeli, simülasyonlarla kör noktalarınızı bulmalı ve olay müdahale planınızı güncel tutmalısınız. DoS ve DDoS arasındaki farkı bilmek de savunmanın temelidir.

Kendi laboratuvarınızda yapacağınız stres testleri, size paha biçilmez bir deneyim kazandırır. Bu deneyim, gerçek bir saldırı anında soğukkanlılığınızı korumanızı sağlar.

Unutmayın, siber güvenlik bir varış noktası değil, sürekli bir yolculuktur. Saldırganlar her gün yeni taktikler geliştiriyor; siz de savunmanızı bir adım önde tutmak zorundasınız. Veri paketi incelemeleri ve düzenli log analiziyle hazırlıklı olun.

Şimdi sıra sizde. Sanal makinelerinizi kurun, GoldenEye’ı klonlayın ve ilk simülasyonunuzu başlatın. Savunmanızı test etmekten asla korkmayın. Çünkü gerçek tehlike, test edilmemiş bir güvenlik duvarının arkasına saklanmaktır.