Saldırı Altındayken Ne Yapmalı

Siteniz şu anda saldırı altındaysa ilk yapmanız gereken tek şey: Konsol → WAF → [alan adı] → Genel Bakış sayfasındaki Acil Koruma (Panik) butonuna tıklamak. Tüm ziyaretçilere anında JS Doğrulama uygulanır; otomatize trafiğin büyük kısmı kesilir. Ardından aşağıdaki adımlarla saldırıyı daraltın.

1. Panik butonuna basın. Konsol → WAF → [alan adı] → Genel Bakış sayfasında Acil Koruma (Panik) → Korumayı Başlat’a tıklayın. Tüm ziyaretçilere JS Doğrulama uygulanır, anında devreye girer. İstediğiniz zaman aynı sayfadan Korumayı Durdur ile geri alabilirsiniz. Saldırı JS challenge’ı geçiyorsa (gelişmiş botnet), Konsol → WAF → [alan adı] → Koruma sayfasından Koruma Modu’nu CAPTCHA’ya çevirin.

2. Otomatik Korumayı etkinleştirin. Aynı sayfada Otomatik Koruma anahtarını açın:

   • RPS Eşiği: varsayılan 100 (10–5000) — trafik bu eşiği aşınca challenge devreye girer
   • Mod: JS (gerekirse CAPTCHA)
   • Bekleme Süresi: 60 sn · Soğutma Süresi: 600 sn

   Böylece saldırı dalgalar halinde gelse bile koruma otomatik devreye girip trafiği normalleşince kendiliğinden kalkar; siz uyurken de çalışır.

3. Rate limit ve Failban’ı sıkılaştırın. Yine aynı sayfada:

   • Global Rate-Limit: Etkin yapın, istek sayısını düşürün (ör. 100 istek / 10 dk’dan daha sıkı değerlere)
   • Otomatik Engelleme (Failban): Etkin yapın; eşik 5, engel süresi 600 sn ile başlayın, saldırı sürerse engel süresini artırın (en fazla 86400 sn)

4. Saldırı kaynağını tespit edin. Konsol → WAF → [alan adı] → Analitik sayfasında en çok istek yapan IP’lere, ASN’lere ve ülkelere bakın. Saldırı belirli bir kaynaktan geliyorsa hedefli kurallar ekleyin (Kurallar → + Yeni Kural):

   # Saldıran ASN'i engelle
   IF   ip.asnum == 212238
   THEN block
   
   # Saldıran IP bloğunu engelle
   IF   ip.prefix in 203.0.113.0/24
   THEN block
   
   # Saldırı tek ülkeden geliyorsa
   IF   ip.country in XX
   THEN block

5. Aktif IP engellerini izleyin. Failban’ın yasakladığı IP’leri Konsol → WAF → [alan adı] → Engelli IP’ler sayfasından görüntüleyin. Buradan Engelle alanıyla elle IP/CIDR de engelleyebilir (örn. 203.0.113.7 veya 10.0.0.0/8), yanlışlıkla engellenen meşru bir IP’yi Kaldır ile serbest bırakabilirsiniz.

6. Kapasite sorunu varsa Bekleme Odası açın. Saldırı değil de ani meşru yoğunluk yaşıyorsanız (kampanya, bilet satışı), Konsol → WAF → [alan adı] → Bekleme Odası sayfasından bir oda oluşturun: etkilenen path’leri, kapasiteyi ve saniye başına kabul oranını girin. Fazla trafik engellenmek yerine sıraya alınır.

7. Saldırı bitince geri alın. Koruma Modu kartını kapatın, sıkılaştırdığınız limitleri normal değerlerine döndürün. Erişim loglarını gözden geçirip saldırı desenini not edin; kalıcı hale getirmek istediğiniz hedefli kuralları (ASN/ülke engelleri) açık bırakabilirsiniz.

Doğrulanan ziyaretçiler tekrar sorgulanmaz

Challenge’ı geçen ziyaretçiler bir süre muaf tutulur: JS doğrulamada varsayılan 30 dakika, CAPTCHA’da 60 dakika. Yani koruma modu açıkken gerçek kullanıcılar her sayfada değil, yalnızca ilk girişte doğrulama görür.

Saldırıdan önce hazırlık

En iyi acil durum planı saldırıdan önce yapılandır: Otomatik Koruma’yı kalıcı açık tutun, webhook ile challenge/failban olaylarında bildirim alın, kritik IP’lerinizi (ofis, ödeme sağlayıcı) bir IP listesiyle muaf tutun.

Doğrulama

• WAF sayfasındaki canlı RPS grafiğinde origin’e giden trafiğin düştüğünü, engellenen tehdit sayacının arttığını izleyin.
• Origin sunucunuzun CPU/bant genişliği yükünün normale döndüğünü kontrol edin.
• Normal bir tarayıcıdan siteye girin: kısa bir doğrulama ekranından sonra sorunsuz erişebilmelisiniz.
• Analitik’te meşru trafiğin (challenge’ı geçen istekler) sürdüğünü doğrulayın.

İlgili Sayfalar

DDoS KorumasıDört katmanlı koruma mimarisi

Doğrulama AyarlarıJS doğrulama, CAPTCHA ve otomatik engelleme

Bekleme OdasıYoğun trafikte kuyruk yönetimi