DDoS Saldırısı Nedir? Nasıl Çalışır ve Nasıl Korunulur?

Siteniz bir anda yavaşladı, sayfalar açılmıyor ya da tamamen erişilemez hale geldi; üstelik gerçek ziyaretçide bir artış da yok. Bu tabloyu gördüğünüzde akla gelmesi gereken ilk ihtimallerden biri DDoS saldırısıdır. Bu yazıda DDoS’un ne olduğunu, arka planda nasıl işlediğini, saldırı türlerini ve sitenizi korumak için neler yapabileceğinizi gereksiz teknik jargona girmeden anlatacağız.

DDoS Saldırısı Nedir?

DDoS, açılımıyla Distributed Denial of Service yani “Dağıtık Hizmet Engelleme” demektir. Özünde basit bir mantığı vardır: saldırgan, dünyanın farklı noktalarına yayılmış binlerce cihazı kullanarak hedef sunucuya aynı anda devasa miktarda istek gönderir. Amaç sunucunun işlemci, bellek ve bant genişliği gibi kaynaklarını tüketip gerçek kullanıcıların siteye ulaşmasını engellemektir.

Şöyle düşünün: küçük bir mağazanın kapısına aynı anda binlerce kişi dayanırsa, gerçekten alışveriş yapmak isteyen müşteri içeri giremez. DDoS de tam olarak bunu dijital dünyada yapar. Fark şu ki, bu “kalabalık” gerçek insanlardan değil, otomatik çalışan sahte isteklerden oluşur.

Bu Cihazlar Nereden Geliyor? Botnet Kavramı

Saldırıda kullanılan cihazlar çoğu zaman sahiplerinin haberi bile olmadan ele geçirilmiş cihazlardır. Sadece bilgisayar da değil; güvenlik kameraları, modemler, yönlendiriciler, akıllı ev cihazları gibi internete bağlı her şey bu orduya dahil edilebilir. Ele geçirilmiş bu cihaz topluluğuna botnet denir. Saldırgan tek bir komutla bütün botnet’i hedefe yönlendirir; bu yüzden trafik tek bir yerden değil, binlerce farklı IP’den gelir ve engellemesi zorlaşır.

Botnet’lerin ölçeği son yıllarda ürkütücü boyutlara ulaştı. 2025’te tespit edilen Aisuru gibi botnet’lerin bir ile dört milyon arasında cihazdan oluştuğu tahmin ediliyor. Bu ordu, saniyede 200 milyondan fazla istek üretebilecek kapasiteye sahip. Kısacası tehdit hem büyüyor hem de otomatikleşiyor.

DoS ile DDoS Arasındaki Fark

İkisi karıştırılır ama aralarında önemli bir fark vardır. DoS (Denial of Service) saldırısı tek bir kaynaktan gelir; bu nedenle o kaynağı tespit edip engellemek görece kolaydır. DDoS ise binlerce farklı kaynağa dağıldığı için “şu IP’yi kapatayım, biter” mantığı işlemez. İşin zorluğu da burada başlar: meşru trafikle sahte trafiği ayırt etmek, üstelik bunu saniyeler içinde yapmak gerekir.

Özellik	DoS	DDoS
Kaynak sayısı	Tek cihaz / tek IP	Binlerce dağıtık cihaz (botnet)
Engelleme kolaylığı	Görece kolay (IP engelle)	Zor (trafik her yerden gelir)
Ölçek	Sınırlı	Çok yüksek (Tbps seviyesine ulaşabilir)
Tespit	Nispeten belirgin	Meşru trafiğe benzeyebilir

DDoS Saldırı Türleri

1. Hacimsel Saldırılar (Volumetric)

En bilinen türdür. Hedefin bant genişliğini doldurmayı amaçlar; UDP flood ve ICMP flood gibi yöntemlerle saniyede gigabit’lerce, hatta terabit’lerce sahte veri gönderilir. Hattınız dolduğu için gerçek trafik içeri giremez. Bu tür saldırıların ölçeği her yıl kırılıyor: 2025’te kaydedilen en büyük hacimsel saldırı 31,4 Tbps seviyesine ulaştı ve yalnızca 35 saniye sürdü. Bu tip saldırıları emmek, tamamen ağınızın kapasitesine ve filtreleme altyapısına bağlıdır.

2. Protokol Saldırıları

SYN flood en tipik örneğidir. Sunucunun bağlantı tablosunu yarım kalmış (tamamlanmamış el sıkışma) bağlantılarla doldurarak yeni bağlantı kabul edemez hale getirir. Bant genişliği yetse bile sunucu cevap veremez. Ping of Death ve Smurf gibi eski ama hâlâ karşımıza çıkan yöntemler de bu kategoridedir.

3. Uygulama Katmanı Saldırıları

En sinsi olanıdır. Normal bir ziyaretçi gibi davranarak sürekli sayfa yenileme, arama veya form gönderme isteği yollar. HTTP flood bu türün en yaygın örneğidir; saldırgan gerçek bir tarayıcı gibi davranarak sürekli istek gönderir. Trafik hacim olarak az göründüğü için fark edilmesi zordur ama her istek sunucuda veritabanı sorgusu tetikleyebildiği için sunucuyu hızla yorar. WordPress, WooCommerce gibi dinamik ve veritabanı yoğun sitelerde özellikle etkilidir. Bu tür saldırılara karşı asıl savunma, uygulama tarafında hız sınırlama, bot doğrulama ve güncel yazılımdır.

Tür	Hedef	Tipik Yöntem	Tespit Zorluğu
Hacimsel	Bant genişliği	UDP / ICMP flood	Orta (hacimden belli olur)
Protokol	Bağlantı tablosu / güvenlik duvarı	SYN flood	Orta
Uygulama katmanı	Web uygulaması / veritabanı	HTTP flood	Yüksek (meşru trafiğe benzer)

Sitem Saldırı Altında mı? Belirtiler

DDoS’un en can sıkıcı yanı, ilk anda sıradan bir performans sorunuyla karıştırılabilmesidir. Aşağıdaki belirtilerin birkaçı bir arada görünüyorsa bir saldırı ihtimalini ciddiye almak gerekir:

• Belirgin bir kampanya, haber ya da reklam olmadan sitenin aniden ve aşırı yavaşlaması.
• Sunucu kaynak kullanımının (CPU, RAM) sürekli tavan yapması.
• Belirli IP blokları, alt ağlar veya ülkelerden olağan dışı yoğun istek gelmesi.
• Ziyaretçilere sürekli “503 Service Unavailable” veya zaman aşımı hatası dönmesi.
• Aynı sayfaya, aynı URL’ye ya da aynı forma anormal derecede tekrarlanan istekler.

Emin olmak için sunucu erişim loglarına bakmak en sağlıklı yoldur: kısa sürede aynı istekleri tekrarlayan çok sayıda farklı IP görüyorsanız, tablo büyük olasılıkla bir DDoS’a işaret eder.

DDoS Saldırısından Nasıl Korunulur?

Tek bir sihirli çözüm yok; korunma birkaç katmanın bir arada çalışmasıyla sağlanır. Aşağıdaki başlıklar, hem site sahibinin hem de barındırma sağlayıcısının sorumluluğunda olan tedbirleri kapsar.

Güçlü ve yedekli ağ altyapısı

Hacimsel saldırıları emebilmek için yüksek ve yedekli bant genişliği şarttır. Tek hatlı, dar bant genişlikli bir altyapı küçük bir saldırıda bile çöker. Birden fazla operatörle çalışan, yedekli omurgaya sahip bir ağ, saldırı trafiğini dağıtarak tampon görevi görür.

Ağ seviyesinde anti-DDoS filtreleme

Modern korunmanın kalbi budur. Saldırı trafiği daha sunucuya ulaşmadan, ağ girişindeki filtreleme (scrubbing) katmanında ayıklanır. L3-L4 seviyesinde çalışan bu sistemler, hacimsel ve protokol saldırılarını temizler ve yalnızca temiz trafiği sunucuya iletir.

Güvenlik duvarı ve hız sınırlama (rate limiting)

Tek bir IP’nin belirli bir sürede gönderebileceği istek sayısını sınırlayan kurallar, uygulama katmanı saldırılarını büyük ölçüde frenler. Buna CAPTCHA doğrulaması ve şüpheli davranış tespiti eklenince uygulama katmanı saldırılarının etkisi ciddi biçimde azalır.

Bilinen kötü IP’lerin engellenmesi

Daha önce saldırıya karıştığı bilinen IP’lerin kara listelerle (RBL) ve tehdit istihbaratı beslemeleriyle ağ kapısında durdurulması, botnet trafiğinin önemli bir kısmını daha sunucuya ulaşmadan eler.

CDN kullanımı

İçerik dağıtım ağları (CDN), sitenizin statik içeriğini dünyaya yayılmış sunuculardan sunarak trafiği dağıtır ve orijin sunucunuzu doğrudan hedef olmaktan korur. Özellikle görsel ve dosya yoğun sitelerde ek bir savunma katmanı sağlar.

Güncel yazılım

Eski eklenti ve sürümler hem saldırı yüzeyini büyütür hem de daha az kaynakla çökertilmenize yol açar. Sitenizi, temanızı, eklentilerinizi ve sunucu yazılımlarını güncel tutmak, saldırganların işini zorlaştıran en ucuz tedbirdir.

Saldırı Anında Ne Yapmalı?

Saldırı zaten başladıysa panik yerine sırayla ilerlemek gerekir:

• Doğrulayın: Sorunun bir yayın patlaması mı yoksa saldırı mı olduğunu access loglardan teyit edin.
• Barındırma sağlayıcınıza haber verin: Ağ seviyesindeki filtreleme yalnızca sağlayıcı tarafında devreye alınabilir; en hızlı çözüm buradadır.
• Hız sınırlama ve WAF kurallarını sıkılaştırın: Saldırı deseni belliyse ilgili yolları veya IP aralıklarını geçici olarak kısıtlayın.
• Kayıt tutun: Loglar hem saldırıyı analiz etmek hem de gerekirse adli süreç için değerlidir.

Alastyr Altyapısında DDoS’a Karşı Yaklaşımımız

Biz yıllar içinde gördüğümüz saldırı örüntülerinden kendi güvenlik duvarı ve honeypot altyapımızı geliştirdik. Tehdit istihbaratı ve RBL ağlarından beslenen bu sistem, sitelere gelen kötü niyetli botları daha kapıda durdurur. Böylece sunucu kaynakları sahte trafiğe değil, gerçek ziyaretçilerinize kalır; siteler hem daha hızlı açılır hem de daha güvende olur.

Ağ tarafında ise Voxility ile 1 Tbps üzeri L3-L4 anti-DDoS filtreleme kullanıyoruz; hacimsel ve protokol saldırıları, trafiğiniz sunucuya ulaşmadan temizleniyor. İzmir’deki kendi veri merkezimizde N+1 yedekli, Tier III standartlarında bir altyapı ve RIPE NCC üyesi bağımsız ağımız (AS3188) üzerinden 40 Gbit yedekli bağlantı ile hizmet veriyoruz. Buna ek olarak tüm sunucularımızda Imunify360 ve CageFS sürekli tarama yaparak uygulama katmanındaki tehditleri de kapsar.

Sağlam ve saldırılara dayanıklı bir altyapıda barınmak istiyorsanız sunucu çözümlerimizi, bulut sunucu seçeneklerimizi ya da yüksek trafikli projeler için hosting paketlerimizi inceleyebilirsiniz.

Sıkça Sorulan Sorular

DDoS saldırısı yasal mı?

Hayır. DDoS saldırısı düzenlemek pek çok ülkede olduğu gibi Türkiye’de de suçtur ve hapis ile para cezası gibi cezai yaptırımları vardır. Bir siteye kasıtlı olarak hizmet engelleme saldırısı yapmak bilişim suçu kapsamında değerlendirilir.

DoS ile DDoS arasındaki fark nedir?

DoS saldırısı tek bir kaynaktan gelir ve o kaynağı engellemek görece kolaydır. DDoS ise binlerce farklı cihazdan (botnet) aynı anda geldiği için tek bir IP’yi kapatmak yeterli olmaz; bu da onu çok daha tehlikeli ve durdurulması zor kılar.

Küçük web siteleri de DDoS hedefi olur mu?

Evet. Saldırılar her zaman planlı olmaz; botnet’ler internette rastgele hedefler tarayabilir. Ayrıca küçük siteler genellikle daha zayıf altyapıda barındığı için daha kolay hedeftir. Bu nedenle site büyüklüğünden bağımsız olarak güçlü bir altyapıda barınmak önemlidir.

DDoS saldırısını tek başıma durdurabilir miyim?

Büyük saldırıları paylaşımlı bir ortamda tek başınıza durdurmak zordur. Ağ seviyesinde filtreleme ve yeterli bant genişliği gerektiğinden, hosting sağlayıcınızın altyapısı belirleyicidir. Site tarafında hız sınırlama ve güncel yazılım gibi tedbirler alabilirsiniz, ancak asıl savunma ağ katmanında yapılır.

DDoS ile hacklenmek aynı şey mi?

Hayır. DDoS, sitenize erişimi engellemeyi amaçlar; verilerinizi çalmaz veya sisteme sızmaz. Hacklemek ise yetkisiz erişim sağlayıp veri ele geçirmek veya sistemi ele geçirmektir. Yine de DDoS bazen başka bir saldırıyı gizlemek için dikkat dağıtma amacıyla kullanılabilir.

En büyük DDoS saldırısı ne kadardı?

2025 yılında kaydedilen en büyük hacimsel DDoS saldırısı 31,4 Tbps seviyesine ulaştı ve yalnızca 35 saniye sürdü. Saldırı ölçekleri her yıl kırılıyor; bu da ağ seviyesinde güçlü filtreleme altyapısının önemini artırıyor.

VPS ya da sunucu kullanmak DDoS’a karşı daha mı güvenli?

Kendi başına daha güvenli olduğunu söylemek yanlış olur; belirleyici olan sağlayıcının ağ altyapısıdır. Ağ girişinde anti-DDoS filtreleme, yedekli bant genişliği ve güvenlik duvarı sunan bir altyapıda barındırıldığında hem paylaşımlı hosting hem de sunucu çözümleri çok daha dayanıklı olur.

Saldırı sırasında sitem tamamen kapanır mı?

Filtreleme yoksa ve altyapı yetersizse büyük olasılıkla erişilemez hale gelir. Ancak ağ seviyesinde temizleme (scrubbing) yapan bir altyapıda saldırı trafiği ayıklanır ve sitiniz kısa süreli yavaşlamayla ya da hiç kesinti yaşamadan ayakta kalabilir.

DDoS saldırısını nasıl anlarım?

Belirgin bir kampanya olmadan ani ve aşırı yavaşlama, CPU/RAM’in sürekli tavan yapması, belirli IP bloklarından yoğun istek ve ziyaretçilere sürekli 503 hatası dönmesi tipik belirtilerdir. Sunucu erişim loglarında kısa sürede aynı istekleri tekrarlayan çok sayıda farklı IP görmek en net göstergedir.