DNS, NTP ve diğer protokolleri kullanarak gerçekleştirilen amplification saldırıları ve bunlara karşı alınabilecek önlemler.
Amplification saldırıları, siber güvenlik dünyasının en tehlikeli DDoS saldırı türlerinden biridir. Bu saldırılar, küçük bir trafik miktarıyla büyük hasarlar verebilen sofistike teknikler kullanır. Saldırganlar, açık protokolleri kullanarak hedefe büyük miktarda trafik yönlendirir ve bu sayede minimum kaynak kullanarak maksimum etki yaratır.
2024 yılında amplification saldırılarında %40'lık bir artış gözlemlenmiştir. Bu artışın temel nedenleri arasında IoT cihazlarının yaygınlaşması, açık protokollerin artması ve saldırganların daha sofistike teknikler geliştirmesi yer almaktadır.
Amplification saldırıları, üç temel aşamada gerçekleşir:
Reflector sunucular, gelen sorguları hedef IP adresine yanıtlar. Bu sayede, saldırganın gönderdiği küçük trafik, hedefe büyük miktarda trafik olarak ulaşır.
DNS amplification saldırıları, en yaygın amplification vektörüdür. Saldırganlar, açık DNS sunucularına büyük yanıtlar üretecek sorgular gönderir. Özellikle ANY sorguları, çok büyük yanıtlar üretebilir.
// DNS ANY sorgusu örneği
dig @8.8.8.8 ANY example.com
// Bu sorgu, 53 kat daha büyük yanıt üretebilirNTP (Network Time Protocol) amplification saldırıları, özellikle tehlikelidir. MONLIST komutu kullanılarak gerçekleştirilen bu saldırılar, 556 kat büyütme sağlayabilir.
Memcached protokolü, en yüksek amplification oranına sahiptir. 2018 yılında GitHub'a yapılan saldırıda bu teknik kullanılmıştır.
SSDP (Simple Service Discovery Protocol) amplification saldırıları, UPnP cihazları kullanılarak gerçekleştirilir.
28 Şubat 2018'de GitHub, 1.35 Tbps'lik bir Memcached amplification saldırısına maruz kaldı. Bu saldırı, o dönemdeki en büyük DDoS saldırısıydı.
Ekim 2016'da Dyn DNS'e yapılan saldırı, Twitter, Netflix ve Spotify gibi büyük siteleri etkiledi. Mirai botnet'i kullanılarak gerçekleştirilen bu saldırı, IoT cihazlarının tehlikesini gösterdi.
En etkili korunma yöntemi, gereksiz açık protokolleri kapatmaktır:
Rate limiting, aynı IP'den gelen sorgu sayısını sınırlar:
// iptables ile rate limiting örneği
iptables -A INPUT -p udp --dport 53 -m limit --limit 10/sec -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROPBCP 38 (RFC 2827) standardına uygun olarak, sahte kaynak IP'leri engelleyin.
Anycast ağları, saldırı trafiğini dağıtarak etkisini azaltır. ProtoSec'in global Anycast ağı, bu tür saldırılara karşı etkili koruma sağlar.
ProtoSec, amplification saldırılarına karşı çok katmanlı koruma sağlar:
"Amplification saldırıları, modern internet altyapısının en büyük tehditlerinden biridir. Etkili koruma için hem teknik hem de operasyonel önlemler alınmalıdır."
- Can Özkan, Ağ Güvenliği Uzmanı
2025 yılında amplification saldırılarında şu trendlerin görülmesi bekleniyor:
Amplification saldırıları, günümüzün en tehlikeli DDoS saldırı türlerinden biridir. Bu saldırılara karşı korunmak için:
ProtoSec, bu tür saldırılara karşı en gelişmiş koruma teknolojilerini kullanarak müşterilerinin ağlarını güvende tutar. Daha fazla bilgi için bizimle iletişime geçin.
Bu konuyla ilgili diğer yazılarımızı keşfedin
DDoS korumasında asimetrik ve simetrik filtreleme yöntemlerinin karşılaştırması, avantajları, dezavantajları ve hangi durumlarda kullanılması gerektiği.
Mehmet KayaIP spoofing saldırılarının ne olduğu, nasıl çalıştığı, hangi tehditleri oluşturduğu ve bu saldırılara karşı alınabilecek önlemler.
Elif DemirAnycast ağlarının DDoS korumasındaki rolü, avantajları, çalışma prensibi ve ProtoSec'in global Anycast altyapısının nasıl müşterileri koruduğu.
Ahmet YılmazEn karmaşık siber saldırılara karşı bile kesintisiz koruma ve anında müdahale kapasitesiyle tanışın.