DDoS Koruması

L7 (uygulama katmanı) DDoS saldırıları, HTTP isteklerini origin kaynaklarını tüketmek için kullanır. Yüksek hacimli istekler, Slowloris gibi yavaş hız saldırıları veya hedeflenmiş endpoint flooding bu kategoriye girer.

HEIMWALL zaten ne yapıyor?

Herhangi bir kural girmeden HEIMWALL otomatik olarak şunları uygular: Yönetilen Kurallar ile bilinen saldırı imzalarını engeller, Tehdit Listesi üzerinden kötü niyetli IP’leri durdurur ve her sunucu için bir ham istek limiti (raw limit) çalıştırır. Aşağıdaki kurallar bu otomatik katmanların üzerine özelleştirilebilir eşikler ekler.

Temel Kurallar

# Yüksek bot skoru olan isteklere JS challenge
IF   waf.bot_score ge 60
THEN js

# Login endpoint'ini sınırla
IF   http.request.base_uri == /login
THEN ratelimit 20/60s

# Hosting IP'lerinden yüksek bot aktivitesi
IF   waf.client.ip_type == hosting
AND  waf.bot_score ge 50
THEN captcha

Konsolda bu seçimlerle:

• Yüksek bot skoruna JS — Alan Bot Skoru (0–100) · Operatör büyük eşittir · Değer 60 → Aksiyon JS Doğrulama
• Login’e rate limit — Alan Path (sorgusuz) · Operatör eşittir · Değer /login → Aksiyon Rate Limit (20 istek / 60 sn)
• Hosting + bot skoruna CAPTCHA — Alan IP Altyapı Tipi · Operatör eşittir · Değer hosting VE Alan Bot Skoru (0–100) · Operatör büyük eşittir · Değer 50 → Aksiyon CAPTCHA

js aksiyonu, tarayıcı-tabanlı olmayan istemcileri elemenin en düşük sürtünmeli yöntemidir; gerçek tarayıcılar JavaScript’i çözer ve geçer, headless araçlar ve ham HTTP istemcileri ise takılır. Saldırı sırasında bot skoru eşiğini 60’tan 40’a düşürerek kapsamı genişletebilirsiniz.

Login endpoint’inin rate limit’e tabi tutulması, kimlik bilgisi doldurma ve kaba kuvvet saldırılarının bir DDoS vektörü olarak kullanılmasını önler. 20 istek/60 saniye, normal kullanıcı davranışını karşılayan makul bir alt sınırdır.

Hosting ve veri merkezi IP’lerinden gelen yüksek bot aktivitesi, saldırıların kiralık bulut altyapısından gönderildiğinin göstergesidir. Bu kombinasyon gerçek son kullanıcıları neredeyse hiç etkilemez.

Gelişmiş Varyant

# Kümülatif saldırı: ülke + bot skoru
IF   ip.country in RU, CN
AND  waf.bot_score ge 40
THEN captcha

# Eş zamanlı istek limitini kritik endpoint için düşür
IF   http.request.base_uri has_prefix /checkout
THEN maxconcurrent 20

Konsolda bu seçimlerle:

• Ülke + bot skoru CAPTCHA — Alan Ülke · Operatör listede · Değer RU, CN VE Alan Bot Skoru (0–100) · Operatör büyük eşittir · Değer 40 → Aksiyon CAPTCHA
• Checkout’a eşzamanlı limit — Alan Path (sorgusuz) · Operatör ile başlar · Değer /checkout → Aksiyon Eşzamanlı İstek Sınırı (20)

Birden fazla sinyal birleştirmek yanlış pozitif riskini azaltır. Hem belirli bir ülkeden hem de orta-yüksek bot skoruyla gelen trafik, neredeyse kesinlikle saldırı kaynağıdır; yalnızca ülke veya yalnızca bot skoru ise her biri ayrı ayrı meşru istemcileri de kapsayabilir.

maxconcurrent, bir endpoint’e aynı anda gönderebileceğiniz eşzamanlı bağlantı sayısını sınırlar. Ödeme veya checkout gibi kaynak-yoğun akışlarda bu sınır, origin’in meşru kullanıcılar için yanıt vermeye devam etmesini garanti eder.

İpuçları

• DDoS sırasında Bot Skoru eşiğini 40’a düşürün; saldırı geçtikten sonra normalleştirin
• Eşzamanlı İstek Sınırı aksiyonuyla kritik endpoint’leri origin tarafında eşzamanlı yük baskısından koruyun
• Bot skoru 0–30 arasındaki trafiği muaf tutun; bunlar büyük ihtimalle gerçek kullanıcılardır