DoS (Denial of Service) Saldırısı Nedir? Türleri ve Savunma Teknikleri

Siteniz bir anda erişilemez hale geldi. Sunucu kaynakları tükendi. Log kayıtları anlamsız isteklerle dolup taştı. İşte tam bu noktada bir DoS gerçeğiyle yüzleşirsiniz. 2026 yılı itibarıyla siber tehdit aktörleri artık yalnızca bant genişliği tüketimi hedeflemiyor. Kripto madenci yerleştirme, bulut maliyet manipülasyonu veya fidye talebi gibi karmaşık amaçlar peşindeler.

Bu rehberi hazırlarken yılların saha deneyimini masaya yatırdım. Teorik bilgileri bir kenara bırakıp gerçek olay müdahale planı adımlarını paylaşacağım. Ayrıca TCK 244 kapsamındaki yasal sonuçları da netleştireceğim. Çünkü günümüzde hukuki boyutu bilmeden etkili bir savunma yapamazsınız.

Özellikle son 18 ayda yapay zeka tabanlı atak yöntemleri katlanarak arttı. Radware 2026 Küresel Tehdit Raporu’na göre hizmet reddi saldırısı sıklığı %168 yükseldi. Üstelik saldırganlar artık CAPTCHA aşma tekniklerini rutin biçimde kullanıyor. Neyse ki doğru katmanlı savunma mimarisiyle bu tehditlere karşı koyabilirsiniz.

Makale boyunca elinizin altında bir kahve, zihninizde ise merak olsun. Zira anlatacaklarım yalnızca sistem yöneticilerini değil, site sahiplerini ve girişimcileri de yakından ilgilendiriyor. Ağ güvenliği dünyasının en eski ama en güncel belasına birlikte dalalım.

DoS Saldırısı Nedir? Hizmet Reddi Saldırısının Derinlemesine Tanımı

Siber güvenlik ekosisteminde DoS, hedef sistemi meşru kullanıcıların erişemeyeceği hale getiren saldırılar bütünüdür. Basit mantıkla çalışır. Sunucu kaynaklarını tüketirsiniz. Hizmet kesintisi yaratırsınız. Sonuç olarak erişilebilirlik kaybı ortaya çıkar.

İnternette çoğu kaynak bu olguyu sadece bant genişliği ekseninde anlatır. Oysa benim yıllardır gördüğüm gerçek çok daha katmanlıdır.

Modern tehdit aktörü profili, uygulama katmanı yorma ile sunucu çökertme arasında mekik dokur. Dolayısıyla yalnızca hacimsel değil, zeka seviyesi saldırı vektörlerini de tanımalısınız.

Denial of Service (DoS) Açılımı ve Teknik Tanımı

Denial of Service terimi tam karşılığıyla hizmet reddi anlamına gelir. Temel prensip tektir. Hedef sistemin işlem kapasitesini aşırı zorlarsınız. Bunu yaparken genellikle tek bir kaynak bilgisayar kullanırsınız.

DoS saldırısı nedir sorusu aslında bir kaynak tükenmesi hikayesidir. Saldırgan, hedefe anormal boyutta istek gönderir. Sunucu bu istekleri karşılayamaz hale gelir. Neticede gerçek kullanıcılar dışarıda kalır. Bu nedenle iş sürekliliği kavramı doğrudan tehdit altına girer.

Teknik açıdan bu tür bir saldırı, OSI referans modelini hedef alır. Şöyle ki tehditler 3, 4 ve 7. katmanlarda yer alır.

Bu çeşitlilik, savunma stratejinizi de doğrudan etkiler. Zira her katman farklı bir saldırı vektörü barındırır. Örneğin ağ katmanında paket yağmuru görürsünüz. Uygulama katmanında ise yavaşlatma saldırısı sizi bekler.

DoS Saldırısının Amacı: Hizmet Kesintisinin Ötesinde Stratejik Hedefler

Çoğu kişi bu saldırıları sadece sunucu çökertme olarak görür. Fakat gerçek dünya çok daha karmaşıktır. Saldırganlar artık sadece finansal kayıplara yol açmıyor. Üstelik marka itibarınızı sarsıp sizden fidye de istiyorlar.

• Rekabet sabotajı: E-ticaret siteniz bir rakibin siparişini alamaz. Kesinti maliyeti dakikada binlerce liraya ulaşır.
• Smoke-screen saldırısı: Ekip bu hizmet reddi ile uğraşırken saldırgan arka kapıdan veri çalar. Bu, güvenlik açığı istismarı ile birleşen hibrit tehdit örneğidir.
• Fidye amaçlı RDoS: Saldırgan ödeme yapmazsanız sistemlerinizin sürekli çökeceğini söyler. Üstelik saldırganlar bu talepleri genelde anonim kripto paralarla iletir.
• Bulut maliyet manipülasyonu (FDoS): Serverless mimaride otomatik ölçeklenen faturayı patlatır. Finansal olarak sizi çökertmeyi hedefler.
• Politik hacktivizm: Belirli ideolojik hedeflere sahip gruplar, ses getiren kurumları hedef alır.

Bunları bilmek sizi bir adım öne taşır. Zira savunma bütçesi optimizasyonu yaparken tehdidi doğru tanımlamanız şarttır. Aksi halde yanlış katmana yatırım yaparsınız. Sonuçta koruma sağlayamazsınız.

MITRE ATT&CK’te DoS: T1498, T1499 ve Alt Teknikler

MITRE ATT&CK çerçevesi siber saldırı taksonomisinde altın standarttır. Sistem bu çerçevede DoS saldırılarını iki ana teknikle açıklar. T1498 ağ seviyesindeki hizmet reddidir. T1499 ise uç nokta hizmet reddi olarak geçer.

• T1498 – Ağ DoS: Bant genişliği tüketimi, SYN flood ve yansımalı saldırı (amplification) gibi vektörleri kapsar. Hedef ağ altyapısıdır.
• T1499 – Uç Nokta DoS: Uygulama katmanı yorma, yavaş okuma saldırısı ve bağlantı havuzu tüketimi içerir. Doğrudan sunucu yorgunluğu yaratır.
• Alt teknikler: Her iki ana madde altında OSI referans modeli katmanlarına göre detaylandırma vardır. Örneğin T1498.001 direkt ağ taşmasıdır.

Bu çerçeveyi bilmeniz tehdit istihbaratı ekipleriyle ortak dil konuşmanızı sağlar. Ayrıca kırmızı takım tatbikatı planlarken de bu matrisi kullanırsınız. Dolayısıyla sadece akademik değil, son derece pratiktir.

DoS ve DDoS Saldırıları Arasındaki 7 Temel Fark (Karşılaştırma Tablosu)

Sahada en sık duyduğum sorulardan biri şudur. DoS ve DDoS farkı nedir? Aslında ikisi de aynı sonucu hedefler. Hizmet kesintisi yaratmak. Fakat yöntem ve ölçek tamamen ayrışır.

Tek bir kaynaktan gelen saldırılara DoS deriz. Bunun yanı sıra DDoS ifadesi, dağıtık hizmet engelleme saldırısı anlamına gelir.

DoS saldırısı türleri ve örnekleri incelediğinizde farkı hemen görürsünüz. Binlerce zombi bilgisayar aynı anda hedefe yüklenir.

DoS vs DDoS: 7 Farkla Kapsamlı Karşılaştırma Tablosu

Bu tablo aslında olay müdahale planı hazırlarken pusulanız olur. Zira her senaryoda farklı kaslarınızı çalıştırmanız gerekir. Tek kaynaklı bir atak için rate limiting yeterlidir. Ancak dağıtık hizmet engelleme için scrubbing center mimarisi zorunludur.

Botnet Nedir? Zombi Bilgisayarlar ve IoT Cihazlarıyla Botnet Ekonomisi

Botnet saldırısı nedir sorusu bu dünyanın kalbinde yatar. Saldırgan önce binlerce cihazı ele geçirir. Bu cihazlara zombi bilgisayarlar denir. Ardından komuta kontrol merkezinden tek emirle hedefe saldırı başlatır.

• IoT botnet DDoS saldırısı: Akıllı kameralar, yazıcılar ve hatta buzdolapları bile botnet ağı parçası olur. Nesnelerin interneti güvenlik açığı burada devreye girer.
• Kiralık hizmetler: Karanlık web pazarı üzerinden saatlik botnet kiralama yapabilirsiniz. Dark web DoS fiyatları 2026’da 10 dolardan başlıyor.
• Ekonomi: Siber saldırı ekonomisi yıllık 8 trilyon doları aştı. Botnet ağı operatörleri bu pastadan büyük pay alıyor.

Özellikle IoT cihazların varsayılan parolaları hala değişmiyor. Bu nedenle zombi cihaz ağı her geçen gün büyüyor.

Cihazlar farkında olmadan bu ağların bir parçası haline geliyor. Saldırganlar genellikle truva atı mantığıyla sisteminize sızabilirler. Bu yüzden sadece güncel bir antivirüs yetmez. Davranışsal analiz yapan çözümler bu aşamada devreye girer.

Siz farkında olmadan evinizdeki kamera bir siber tehdit unsuru haline geliyor. Dolayısıyla kişisel siber güvenlik de kurumsal savunma kadar kritik.

DoS Saldırı Türleri: Hacim, Protokol, Uygulama Katmanı ve Amplifikasyon

Saldırı türlerini bilmeden savunma kuramazsınız. Her vektör farklı bir kasırga gibidir. Biri bant genişliği süpürür. Diğeri sunucu belleğini bitirir. Bir başkası ise TCP el sıkışması tablosunu doldurur. Dolayısıyla tanıyı doğru koymak gerekir.

Benim sahada uyguladığım sınıflandırma dört ana gruptan oluşur. Hacimsel, protokol, uygulama katmanı ve amplifikasyon. Her biri ayrı bir kör dövüş sanatı gibidir. Şimdi sırayla inceleyelim.

Hacimsel (Volumetrik) Saldırılar: Bant Genişliğini Tüketme (UDP Flood, ICMP Flood)

Volumetrik saldırı nedir diye sorarsanız size en yalın cevabı vereyim. Boruyu tıkayacak kadar su basmak. Bant genişliği tamamen sahte trafikle dolar. Meşru kullanıcıların paketleri kaybolur.

• UDP flood saldırısı: Saldırgan rastgele portlara UDP bağlantısız protokol paketleri yağdırır. Sunucu her port için ICMP yankı isteği yanıtı üretir. Kısacası kaynak tükenmesi kaçınılmaz olur.
• ICMP Flood: Ping of Death saldırısı bu kategoridedir. Sürekli ping atarak ağ trafiğini boğar.
• Etkisi: Web sitesi yavaşlama sebepleri arasında en yaygın olanıdır. Üstelik UDP flood engelleme, bağlantısız protokol yapısı nedeniyle zordur.

Bu tür saldırılar genelde 100 Gbps üzerinde seyreder. 2026 başında rekoru 3.8 Tbps olarak ölçtüler. Bu nedenle tek başına firewall DoS koruması yetersiz kalıyor. Mutlaka bulut tabanlı DoS koruma hizmetleri devreye almalısınız.

Protokol Odaklı Saldırılar: SYN Flood, Ping of Death, Smurf Attack

Protokol katmanı saldırıları OSI referans modeli 3 ve 4. katmanları hedefler. En bilinen örneği, SYN flood saldırısının çalışma mantığında net olarak görürüz. Saldırgan sürekli TCP el sıkışması başlatır ama tamamlamaz. Sunucunun bağlantı havuzu tükenmesi gerçekleşir.

• Adım 1: Saldırgan hedefe sahte IP spoofing ile SYN paketi gönderir. Üçlü el sıkışma süreci başlar.
• Adım 2: Sunucu SYN-ACK ile yanıt verir ve bağlantıyı yarı açık tutar. Kaynak burada kilitlenir.
• Adım 3: Saldırgan asla ACK göndermez. Sunucu zaman aşımına kadar bekler. Bellek dolar.
• Smurf attack nedir: ICMP paketlerini ağ broadcast adresine gönderip yanıtları kurbana yönlendirir. Buffer taşması yaratır.
• Ping of Death: Normalden büyük ICMP paketi ile hedefte ölümcül ping etkisi yapar.

Bu saldırı vektörü özellikle 2020’lerde çok popülerdi. Ancak modern işletim sistemleri artık buffer taşması korumalarıyla geliyor. Yine de yanlış firewall yapılandırması sizi savunmasız bırakır. Güvenlik duvarı kurallarınızı düzenli gözden geçirin.

Bu noktada aklınıza profesyonel çözümler gelebilir. İşin özüne inecek olursak, açık kaynaklı bir güvenlik duvarı dağıtımı da işinizi fazlasıyla görür.

Uygulama Katmanı (Layer 7) Saldırıları: Hedefte Uygulama Var — HTTP Flood, Slowloris

Katman 7 DoS saldırısı doğrudan web uygulamasını hedefler. HTTP flood saldırısı en bilinen örneğidir. Saldırgan sürekli sayfa yenileme isteği atar. Bundan dolayı sunucu yorgunluğu baş gösterir.

Öte yandan Slowloris saldırısı nasıl çalışır diye baktığınızda bambaşka bir zeka görürsünüz. Tek bir makine yüzlerce bağlantı açar. Ancak istekleri asla tamamlamaz. Bağlantı havuzu tüketimi gerçekleşir.

Slow Read HTTP saldırısı da aynı mantığı okuma hızıyla oynayarak uygular. Siber güvenlik ekipleri RUDY saldırısını ise yavaş HTTP post yöntemiyle tespit eder.

Ek olarak, low and slow saldırısı düşük bantla büyük hasar verme sanatıdır.

HTTP flood saldırılarını engellemek için CAPTCHA doğrulamasını kullanabilirsiniz. Bunun yanı sıra rate limiting yöntemiyle de başarılı sonuçlar alırsınız.

Ayrıca reverse proxy arkasına alınan uygulamalar daha dirençli olur. Slowloris saldırısı nasıl engellenir konusunda ise timeout değerlerini agresifleştirmeniz yeterlidir.

Yansımalı ve Amplifikasyon Saldırıları: DNS, NTP, Memcached Amplification

Bu saldırı türü saldırganın küçük bir istekle devasa yanıtlar oluşturmasına dayanır. Amplifikasyon faktörü burada kritik kavramdır.

Örneğin Memcached amplifikasyon saldırısı nedir sorunuzu hemen yanıtlayayım. 1 baytlık istek 51.000 baytlık yanıt üretir. İnanılmaz bir kaldıraç etkisidir.

• DNS Amplifikasyon: Saldırganlar, açık DNS çözümleyicilerine sahte IP adresi taklit ederek sorgu gönderir. Bunun sonucunda yanıt kurbana gider.
• NTP Amplifikasyon: Zaman sunucularının monlist komutunu kötüye kullanırlar. Yani aslında 556 kat büyüme sağlarlar.
• Memcached yansıma saldırısı: 2018’de 1.7 Tbps ile rekor kırmıştı. UDP bağlantısız protokol üzerinde çalışır.

Buradaki yansımalı saldırı mekanizması kurbanı tespit etmeyi zorlaştırıyor. Saldırgan üçüncü taraf sunucuları alet ediyor. Bu nedenle gerçek IP adresine ulaşmak epey meşakkatlidir. Küçük ama etkili bir detay: UDP portlarınızı dışarıya kapatmak ilk adımdır.

Bu saldırılara karşı UDP flood engelleme stratejinizi gözden geçirin. Ayrıca servis sağlayıcınızdan BGP Flow Spec desteği isteyin. Trafik temizleme merkezi (scrubbing center) olmadan devasa amplifikasyonlarla baş edemezsiniz.

Yeni Nesil Tehditler: RDDoS, FDoS, AI Destekli Saldırılar ve CAPTCHA Bypass

2026 yılı siber tehdit manzarası artık eski usul saldırılardan ibaret değil. Saldırganlar yapay zeka tabanlı atak yöntemleriyle geliyor.

Üstelik motivasyonları tamamen finansal hizmet reddi üzerine kurulu. Sessiz saldırı vektörü diye tanımladığımız yeni bir jenerasyon doğdu.

Eskiden saldırı deyince aklımıza sadece sunucu çökmesi gelirdi. Şimdilerde ise bulut maliyet manipülasyonu, fidye yazılımı ve DDoS tehditlerini bir arada görüyoruz.

Üstelik bu çifte şantaj içeren hibrit yapılar karşımıza çıkıyor. Ayrıca üretken yapay zeka ile saldırı simülasyonu yapan araçlar çoğaldı. Saldırganlar artık saniyeler içinde yeni vektör üretebiliyor.

Ransom DDoS (RDDoS) Nedir? Fidye Amaçlı DDoS Saldırıları ve Fidye Ödemek Suç mu?

Ransom DDoS (RDDoS) nasıl çalışır sorusu günümüzün en kritik başlıklarından biridir. Saldırgan önce küçük çaplı bir saldırı yapar. Ardından e-posta ile fidye talep eder. Ödeme yapmazsanız saldırı şiddetlenir. Bu tam bir siber fidye talebi mekanizmasıdır.

Saldırgana fidye ödemek suç mu diye sorarsanız cevabı nettir. Evet, suçtur. Üstelik parayı ödeseniz bile saldırının duracağının garantisi yoktur. Bu nedenle asla ödeme yapmamalısınız. Bunun yerine derhal USOM bildirimi sürecini başlatmalısınız.

Peki fidye ödemenin uluslararası boyutu nedir? ABD’de OFAC yaptırımları devreye girer. Avrupa tarafında ise bu durum GDPR kurallarını ihlal ettiğiniz anlamına gelir.

Bu nedenle karşı karşıya kalacağınız hukuki riskler ciddi oranda artar. Bu konuyu siber sigorta poliçenize mutlaka ekletin.

Bulut Fatura Kabartma (FDoS) ve Serverless Zafiyetleri

Bulut fatura kabartma saldırısı (FDoS) yeni nesil tehditlerin en sinsi olanıdır. Saldırgan sisteminizi çökertmez. Aksine sürekli çalıştırır. Otomatik ölçeklenmeyi tetikler. Sonuç olarak aylık faturanız 100 katına çıkar. Yani finansal hizmet reddi tam olarak budur.

Serverless DoS zafiyetiyle özellikle AWS Lambda ve Azure Functions ortamlarında karşılaşırsınız. Saldırgan milyonlarca fonksiyon çağrısı yapar.

Sistemler ise her bir çağrı için sizi ücretlendirir. Siz farkına varmadan bütçeniz erir. Sunucusuz mimari zafiyeti bu yüzden özel izleme gerektirir.

Buna karşı absorbe etme kapasitesi yüksek bütçe limitleri koymalısınız. Ayrıca anomali tespiti sistemleriyle anormal fatura artışlarını yakalamalısınız. Aksi halde ekonomik dayanıklılık sınırlarınız zorlanır.

AI Destekli DDoS Saldırıları: CAPTCHA Bypass ve Davranışsal Taklit

Yapay zeka tabanlı atak yöntemleri 2026’da altın çağını yaşıyor. Saldırganlar artık CAPTCHA bypass için özel eğitilmiş modeller kullanıyor. Captcha aşma oranları %99’a ulaştı. Bu nedenle captcha meydan okuması artık tek başına yeterli değil.

• Neural network DoS: Saldırgan yapay sinir ağları tabanlı IDS sistemlerini eğitip zafiyetlerini öğreniyor.
• Davranışsal taklit: İnsan fare hareketlerini, tıklama paternlerini birebir kopyalıyor. Anomali skoru sıfıra iniyor.
• Üretken yapay zeka ile saldırı simülasyonu: Saldırganlar bu yöntemi savunmanızı test etmek için değil, doğrudan aşmak için kullanır.

Buna karşı makine öğrenmesi ile DoS tespiti yapan sistemler şarttır. Random Forest anomali tespiti gibi ensemble modeller hala başarılıdır.

Ancak saldırganlar da aynı teknolojiyi kullanır. Bu nedenle sürekli güncel tehdit istihbaratı ile beslenmeniz gerekir.

DDoS-as-a-Service (DDoS Kiralama Hizmetleri) ve Karanlık Web Ekonomisi

Kiralık DDoS hizmetleri yasal mı sorusunun cevabı kesinlikle hayırdır. Ancak karanlık web pazarı üzerinde bu hizmetler mantar gibi çoğalıyor.

Stresser booter siteleri kendini stres testi simülasyonu aracı olarak pazarlayan saldırı platformlarıdır.

• Fiyatlandırma: Dark web saldırı fiyatları saatlik 10 dolardan başlar. Aylık abonelikle 500 dolar seviyesine çıkar.
• Erişilebilirlik: DDoS-as-a-Service platformları teknik bilgi gerektirmez. Fakat beş dakikada saldırı başlatırsınız.
• Yasal durum: Stresser ve booter yasal mı diyorsanız Türkiye’de ve dünyada kullanımı suçtur. Açıkçası bu durum, TCK 244 kapsamında DoS saldırılarının suç oluşturduğunu net bir şekilde gösterir.

Bu platformlar genellikle anonim ödeme kripto para ile çalışır. Siber suçlular bu süreçte Monero gibi izlenemeyen coinleri tercih eder.

Siber suçlarda yasal delil zinciri oluşturmak bu nedenle zorlaşır. Yine de adli bilişim pcap analizi ile saldırgana ulaşmak mümkündür.

DoS Saldırısı Nasıl Anlaşılır? Belirtiler, Tespit Yöntemleri ve Karar Ağaçları

Saldırı altında olduğunuzu anlamak her zaman kolay değildir. Bazen yoğun bir kampanya trafiği ile karıştırırsınız.

Bazen de sunucu DoS saldırısı belirtileri sinsice ilerler. Neyse ki yılların verdiği refleksle birkaç altın kural geliştirdim.

Öncelikle panik yapmayı bırakın. Derin bir nefes alın. Ardından sistematik biçimde kontrollere başlayın. Doğru teşhis koymadan yanlış ilaç vermek durumu ağırlaştırır. Bu nedenle önce belirtileri tarayın.

Ağ ve Sunucu Performansında Ani Düşüş ve HTTP Hata Kodları

Web sitesi yavaşlama sebepleri listesinin başında DoS gelir. Ancak her yavaşlama saldırı değildir. İşte size yol gösterecek temel belirtiler.

• 502 Bad Gateway: Arka uç sunucu cevap veremez. Yani kaynak tükenmesi işaretidir.
• 503 Service Unavailable: Sunucu geçici olarak hizmet dışıdır. Bağlantı havuzu tükenmesi yaşanıyordur.
• 504 Gateway Timeout: Zaman aşımı süresi dolmuştur. Açıkça yavaşlatma saldırısı belirtisidir.
• Ani CPU ve RAM sıçraması: Normalin %500 üzerinde kaynak kullanımı görürsünüz.

Bu belirtileri gördüğünüzde hemen log kayıtları incelemesi başlatın. Özellikle web sunucusu access logları size saldırı vektörü hakkında ipucu verir. Aynı IP’den gelen binlerce istek söz konusu ise durum nettir.

Anormal Ağ Trafiği ve Kaynak Tüketimi: Netstat, Tcpdump, Wireshark ile Analiz

Sunucu çökerten saldırılar genelde ağ trafiğinde iz bırakır. Bu izleri sürmek için birkaç temel araç yeterlidir. Adım adım ilerleyelim.

• Adım 1: Terminal açın ve netstat -an | grep SYN_RECV | wc -l komutunu çalıştırın. Yarı açık bağlantı sayısı 1000’in üzerindeyse SYN flood altındasınız demektir.
• Adım 2: tcpdump -i eth0 -n port 80 ile trafiği canlı izleyin. Paket yakalama (libpcap) ile saldırının kaynağını görürsünüz.
• Adım 3: Wireshark analiz programıyla ile pcap dosyasını açın. IP spoofing olup olmadığını veri paketi başlığı analiziyle tespit edin.
• Adım 4: Bant genişliği izleme araçlarınızı kontrol edin. Ani sıçrama var mı diye bakın.

Bu adımları uygularken sakin kalın. Yanlış alarm da olabilir. Ancak şüpheleriniz doğrulanırsa hemen olay müdahale planı devreye alın. Zira her saniye kesinti maliyeti artar.

Layer 7 mi Volumetrik mi? 2 AM Checklist — Karar Ağacı ile Ayırım

Gece 2’de telefonunuz çaldı. Site çöktü. Uykulu gözlerle saldırı türünü nasıl ayırt edersiniz? İşte size basit bir karar ağacı.

• Soru 1: Bant genişliği %100 dolu mu? Evet ise volumetrik saldırı ile karşı karşıyasınız. Hemen servis sağlayıcı (ISP) iletişimi başlatın.
• Soru 2: Bant genişliği normal ama CPU %100 mü? Evet ise uygulama katmanı yorma saldırısı altındasınız. Bu yüzden WAF kurallarınızı gözden geçirin.
• Soru 3: Web sunucunuz sorunsuz çalışıyor olabilir. Ancak yine de sayfalara erişemiyor musunuz? Bağlantı havuzu tüketimi yaşıyorsunuz. Bundan dolayı Timeout değerlerinizi düşürün.
• Soru 4: Veritabanı sorguları aşırı yavaşladı mı? Slowloris veya RUDY saldırısı tespiti yapın.

Bu basit checklist sayesinde 2 dakikada doğru teşhisi koyarsınız. Böylece değerli zamanınızı yanlış müdahaleyle harcamazsınız. Ayrıca ekibinize de net talimatlar vermiş olursunuz.

DoS Saldırısı Anında Yapılacaklar: 30 Dakikalık Müdahale Runbook’u

Saldırı anında ilk yapılacaklar listesi hayat kurtarır. Yıllar içinde defalarca revize ettiğim bu runbook’u sizinle paylaşıyorum.

Saat işliyor. Her saniye marka itibar kaybı ve web sitesi kesinti maliyeti demek. O yüzden hızlı ve sistematik olun.

Bu planı ekibinizle önceden prova edin. Kırmızı takım tatbikatı sırasında bu adımları test edin. Aksi takdirde gerçek saldırı anında panik olursunuz. Şimdi kronometreyi başlatalım.

İlk 5 Dakika: Doğru Tanı ve Ekip Aktivasyonu

• (0-1 dk): Panik yapmayın. Derin bir nefes alın. Monitörünüzü açın ve temel metrikleri kontrol edin.
• (1-2 dk): Olay müdahale ekibi (SIRT) WhatsApp grubuna acil durum mesajı atın. Sonrasında ekibi toplayın.
• (2-3 dk): Yukarıdaki 2 AM checklist ile saldırı türünü belirleyin. DoS mu DDoS mu? Katman 7 mi hacimsel mi?
• (3-5 dk): Cloudflare gibi servisleriniz varsa under attack modu aktif edin. Yoksa sonraki adıma geçin.

Bu aşamada asla sunucuyu yeniden başlatmayın. Delilleri kaybedersiniz. Ayrıca saldırganın işini kolaylaştırmış olursunuz. Sakin kalın ve plana sadık kalın.

İlk 10 Dakika: Servis Sağlayıcıyı Bilgilendirme ve İletişim Planı

• (5-7 dk): Hosting firmanızı veya bulut sağlayıcınızı arayın. Durumu net biçimde anlatın. Şirket hosting hesabınızı askıya alırsa ne yapacağınızı düşünmeyin. Bunun yerine doğrudan firma ile iletişime geçin.
• (7-9 dk): Servis sağlayıcı (ISP) iletişimi başlatın. BGP blackholing nasıl çalışır anlatın ve gerekiyorsa talep edin.
• (9-10 dk): Şirket içi iletişim planını devreye alın. Yönetime durumu bildirin. Sosyal medya ekibini bilgilendirin.

15. Dakika: Trafiği Filtreleyin ve Rate Limiting Uygulayın

• (10-12 dk): Güvenlik duvarı üzerinde saldırgan IP’leri tespit edin. IP adresi engelleme uygulayın.
• (12-14 dk): Rate limiting nasıl yapılır biliyorsanız hemen uygulayın. Aynı IP’den gelen istekleri sınırlayın.
• (14-15 dk): Reverse proxy katmanında trafik filtreleme kurallarını sertleştirin. Şüpheli User-Agent’ları bloklayın.

Bu adımda aşırıya kaçmamaya özen gösterin. Meşru kullanıcıları da engellemek istemezsiniz. Bu nedenle önce geçici kurallar koyun. Durum stabil olunca kalıcı hale getirirsiniz.

20. Dakika: Adli Bilişim İçin Delilleri Toplayın

• (15-17 dk): Tüm log kayıtlarını güvenli bir konuma kopyalayın. Log korelasyonu yapmak için ham veriler şarttır.
• (17-19 dk): Tcpdump ile 5 dakikalık pcap alın. Adli bilişim pcap analizi sonradan delil olur.
• (19-20 dk): Ekran görüntüleri, komut çıktıları ve zaman damgalarını kaydedin. Siber suçlarda yasal delil zinciri için bu kritiktir.

DoS saldırısında delil toplama ihmal edilmemelidir. Saldırı anında aklınız başınızdan gidebilir.

Fakat sonradan savcılığa başvuru yaparken bu deliller hayati önem taşır. Saldırı sonrası savcılığa başvuru sürecini mutlaka belgelendirin.

25. Dakika: Yedek Sistemleri Devreye Alma ve İş Sürekliliği

• (20-22 dk): Felaket kurtarma planı kapsamında yedek sunucuyu aktif edin. Yük devretme mekanizmasını çalıştırın.
• (22-24 dk): Anycast ağ dağıtımı varsa trafiği farklı bölgelere yönlendirin. Content Delivery Network (CDN) katmanını devreye alın.
• (24-25 dk): İş sürekliliği prosedürlerini çalıştırın. Özellikle müşterilere bilgilendirme sayfası gösterin.

Bu adım iş etkisi analizi yapmış şirketler için sorunsuz işler. Ancak plansızsanız kaos başlar.

Şirketler ekonomik dayanıklılıklarını tam olarak burada test eder. Hizmet seviyesi anlaşması (SLA) değerlerinizi koruyabildiniz mi? Cevabınız evet ise tebrikler.

30. Dakika: Yasal Mercileri Bilgilendirme (USOM, TR-CERT, CIMER, Savcılık)

• (25-27 dk): USOM bildirimi yapmak için kurumun yeni web sitesi olan siberguvenlik.gov.tr adresini ziyaret edin. Sonrasında saldırı bildirim formunu doldurun.
• (27-29 dk): TR-CERT saldırı raporlama sayfasını ziyaret edin. Bu esnada teknik detayları iletin.
• (29-30 dk): CIMER üzerinden resmi şikayet oluşturun. Savcılığa suç duyurusu için hazırlık yapın. DoS saldırısı şikayet etme sürecini başlatın.

Türkiye’de DDoS suçu TCK 244 kapsamında değerlendirilir. Bilişim sistemini engelleme suçu olarak geçer.

DoS saldırısı yasal sonuçları TCK 244 çerçevesinde ağırdır. Cezası nedir derseniz, kanunlar 2 yıldan 5 yıla kadar hapis cezası öngörür.

DoS Saldırılarına Karşı Korunma Yöntemleri: Katmanlı Savunma Stratejisi

Siber güvenlikte korunma yöntemlerini tek bir katmanla sınırlı tutamazsınız. Çok katmanlı savunma mimarisi kurmanız şarttır

Aslında bunu soğan gibi düşünebilirsiniz. Her katman sıyrıldığında bir yenisi devreye girer. Böylece sistem direnci maksimuma çıkar.

Benim favori yaklaşımım ağ, uygulama, organizasyonel ve proaktif katmanları birleştirmektir. Her biri ayrı bir yatırım gerektirir.

Ancak DoS koruma yatırım getirisi (ROI) hesaplandığında kesinlikle değer. Açıkçası olası bir siber saldırı, size korunma masrafından çok daha pahalıya patlar.

Ağ Seviyesi Koruma: BGP Blackholing, RTBH, FlowSpec ve Scrubbing Center

Ağ katmanında koruma, saldırı trafiğini sınırınıza varmadan durdurmayı hedefler. BGP kara delik yönlendirme en bilinen yöntemdir. Trafiği bir kara deliğe yönlendirip yok edersiniz.

Trafik temizleme merkezi (scrubbing center) en etkili çözümdür. Ancak maliyeti yüksektir.

Bu nedenle bulut tabanlı DoS koruma hizmetleri daha makul olabilir. Cloudflare DoS savunması, Akamai veya Radware gibi sağlayıcılar bu alanda öncüdür.

Uygulama Seviyesi Koruma: WAF, Rate Limiting ve CAPTCHA Stratejileri

Uygulama güvenlik duvarı (WAF) katman 7 saldırılarına karşı ilk kalkandır. Sistemler HTTP flood saldırısından korunmak için imza tabanlı özel kurallar barındırır. Ayrıca OWASP ModSecurity gibi açık kaynak çözümler de etkilidir.

• WAF koruması faydaları: SQL enjeksiyonu, XSS ve HTTP flood aynı anda engeller. Yani uygulama katmanı DoS direncini artırır.
• Rate limiting: API DoS ve WebSocket flood türü saldırıları sınırlar. Bununla birlikte kullanıcı bazlı kota uygularsınız.
• CAPTCHA: Bot trafiğini azaltır. Ancak AI destekli DDoS saldırısı karşısında gücü azalmıştır. Yine de ilk katman olarak değerlidir.

Organizasyonel Koruma: İş Sürekliliği Planı, BCP/DRP ve Siber Sigorta

Teknoloji tek başına yeterli değildir. İnsan ve süreç olgunluğu da şarttır. İş sürekliliği planı ve felaket kurtarma planı yazılı olmalıdır.

Buna ek olarak bu planları düzenli aralıklarla test etmeniz gerekir. Test edilmemiş plan geçersizdir.

Siber sigorta ise finansal açıdan can simididir. DoS saldırısı maliyet hesaplama yaptığınızda yıllık primin çok üzerinde rakamlar çıkar.

Sigorta değeri belirlerken iş etkisi analizi raporunu kullanın. Ayrıca poliçenizin RDoS ve FDoS kapsamını kontrol edin. Siber saldırıda KVKK bildirimi nasıl yapılır konusunu da poliçe danışmanınıza danışın.

Proaktif Savunma: Penetrasyon Testi, Red Team Tatbikatı ve Sürekli İzleme

Savunmanın en kritik ayağı proaktif olandır. Saldırıyı beklemeden zafiyetlerinizi bulun. Saldırı öncesi penetrasyon testi yaptırın. Red Team DoS senaryosu ile ekibinizi sınayın.

• Sızma testi (pentest): Zafiyet yönetimi kapsamında düzenli yaptırın. Sıfır gün açığı taraması da ekleyin.
• Kırmızı takım tatbikatı: Gerçek saldırı simülasyonu yapın. Özellikle web sitesi stres testi nasıl yapılır öğrenin.
• Etik DoS testi araçları: LOIC HOIC kullanımı kontrollü ortamda deneyin. Böylelikle savunmanızı ölçün.
• Makine öğrenmesi ile DDoS tespiti: Anomali skoru hesaplayan sistemler kurun. Daha sonra yapay sinir ağları tabanlı IDS devreye alın.

DoS anında yapay zeka müdahalesi artık hayal değil. Otomatik saldırı azaltma sistemleri saldırıyı saniyeler içinde tanır. Savunma bütçesi optimizasyonu yaparken bu alana öncelik verin. Zira insan müdahalesi her zaman gecikir.

Türkiye’de DoS Saldırısının Yasal Boyutu: TCK 244, KVKK, USOM ve CIMER Süreci

Yasal çerçeveyi bilmek en az teknik savunma kadar önemlidir. Türk Ceza Kanunu, DoS suçunu net bir şekilde tanımlar. Ayrıca KVKK veri ihlali boyutu da cabasıdır. Şimdi bu konuyu tüm detaylarıyla ele alalım.

Unutmayın, saldırıya uğradığınızda sessiz kalmak size fayda sağlamaz. Aksine yasal yükümlülüklerinizi ihlal etmiş olursunuz. Özellikle kişisel veri içeren sistemlerde KVKK bildirimi zorunludur.

TCK 244. Madde: Bilişim Sistemine Saldırı Suçu, Cezası ve İçtihadı

TCK 244 maddesi DoS suçu mu diye soranlara net bir yanıt verelim. Evet, bu bir suçtur. Kanun bu eylemi, bilişim sistemini engelleme suçu olarak tanımlar. Ayrıca DoS saldırısı düzenleyenler için iki yıldan beş yıla kadar hapis cezası öngörür.

Bilişim sistemini engelleme suçu, sistemin geçici veya kalıcı olarak çalışamaz hale gelmesiyle oluşur. Saldırının başarıya ulaşması şart değildir. Teşebbüs dahi suçtur. Ayrıca suçun nitelikli hallerinde ceza artar. Örneğin banka veya kamu sistemine saldırıda cezayı katlarlar.

DoS saldırısı veri çalar mı sorusu da sık gelir. Klasik bir DoS veri çalmaz. Ancak smoke-screen saldırısı ile birleşirse veri ihlali oluşur. Bu durumda hem TCK 244 hem de KVKK ihlali birlikte değerlendirilir.

KVKK Kapsamında Veri İhlali Bildirimi: DoS Sonrası Yasal Yükümlülükler

Saldırı sırasında kişisel veriler etkilendiyse KVKK veri ihlali bildirimi zorunludur. Peki siber saldırı sonrasında KVKK bildirimini nasıl yaparsınız? Adım adım anlatayım.

• Adım 1: İhlali öğrendikten sonra en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirin.
• Adım 2: İhlalden etkilenen kişi sayısını ve veri kategorilerini belirleyin.
• Adım 3: Alınan önlemleri ve ihlalin olası sonuçlarını raporlayın.
• Adım 4: Gerekirse ilgili kişilere de bildirim yapın.

Bu süreci atlamak ağır idari para cezalarına yol açar. Ayrıca marka itibar kaybı da cabasıdır. Bu nedenle hukuk ekibinizle sürekli iletişimde kalın.

USOM, TR-CERT ve CIMER: Siber Saldırı Bildirimi Nereye, Nasıl Yapılır?

DDoS için nereden yardım alınır sorusu kritiktir. Ulusal siber olay müdahale merkezi olan USOM ilk adresinizdir. Usom DDoS bildirimi sürecini şöyle işletirsiniz.

• Adım 1: Siberguvenlik.gov.tr adresindeki formu doldurun. Saldırı türünü, kaynak IP’leri ve zaman aralığını belirtin.
• Adım 2: TR-CERT saldırı raporlama için cert@tga.gov.tr adresine teknik detayları iletin.
• Adım 3: CIMER üzerinden resmi başvuru yapın. Fakat başvuru numaranızı saklayın.
• Adım 4: Saldırı sonrası savcılığa başvuru için delillerle birlikte dilekçe verin.

DoS Saldırısı Sonrası Maliyet Hesaplama ve Siber Sigorta

DoS saldırısı maliyet hesaplama yaparken sadece anlık kesintiyi düşünmeyin. İşte size gerçekçi bir maliyet kalemleri listesi.

Kayıp gelir, marka itibar kaybı, web sitesi kesinti maliyeti, hukuk giderleri ve iyileştirme maliyetleri. Tüm bunların toplamı sizi şaşırtabilir.

DoS maliyeti ne kadar diye merak ediyorsanız Ponemon Institute verilerine göre dakikada ortalama 22.000 dolar zarar oluşur. Bir saatlik saldırı 1.3 milyon doları aşar.

DoS koruma yatırım getirisi (ROI) hesaplaması bu rakamlar karşısında anlam kazanır. Yıllık 50.000 dolar koruma bütçesi size milyonları kurtarır.

Siber sigorta poliçenizi bu veriler ışığında güncelleyin. Sigorta değeri belirlerken iş etkisi analizi raporunu ekleyin. Ayrıca hizmet seviyesi anlaşması (SLA) kapsamınızı genişletin.

DoS Saldırıları İçin Otoriter Kaynaklar

Bu rehberde paylaştığım bilgiler saha deneyimine ve güncel raporlara dayanır. Daha derinlemesine araştırma yapmak isterseniz aşağıdaki otoriter kaynaklara mutlaka göz atın.

• OWASP DDoS Cheat Sheet: Açık Web Uygulama Güvenliği Projesi, DoS ve DDoS için resmi bir kılavuz sunar. Üstelik sektör bu kaynağı referans kabul eder. Her seviyeden savunmacı için pratik taktikler sunar.
• Cloudflare DDoS Protection: Küresel içerik dağıtım ağı devinin saldırılardan nasıl korunulur başlıklı kapsamlı makalesi gerçek dünya verilerine dayanır. Şirket bu makalede saldırı türlerini ve korunma yöntemlerini görsellerle açıklar.
• NIST Special Publication 800-61: ABD Ulusal Standartlar ve Teknoloji Enstitüsü bir rehber sunar. Açıkçası bu rehber siber olay yönetiminde altın standarttır. Saldırı anında yapılacaklar için resmi çerçeveyi belirler.

DoS ve DDoS Hakkında En Çok Merak Edilen 10 Soru

Sonuç: Proaktif Savunma, Sürekli İyileştirme ve Hazırlıklı Olma

Bu makalede hizmet reddi saldırısı dünyasını enine boyuna ele aldık. Temel tanımlardan başlayıp yapay zeka tabanlı atak yöntemlerine kadar uzandık.

Gördüğünüz gibi siber güvenlik olayı yönetimi statik değildir. Bu süreç sizden sürekli öğrenmenizi ve uyum sağlamanızı ister.

Size en büyük tavsiyem şudur. Bugün bir felaket kurtarma planı yazın. Ekibinizle kırmızı takım tatbikatı planlayın.

Bütçenize siber sigorta kalemini ekleyin. Zira yarın çok geç olabilir. Saldırganlar uyumuyor; siz de uyumayın.

Unutmayın, hazırlıklı olmak bir tercih değil zorunluluktur. Özellikle Türkiye siber saldırı istatistikleri 2025 verileri endişe vericidir.

USOM raporlarına göre ülkemiz günlük ortalama 400 büyük ölçekli saldırı almaktadır. Bu gerçekle yüzleşin ve hemen şimdi harekete geçin.