Smarter by Design.Simpler for Business
Bot/DDoS Protection
Bot/DDoS Protection, TR7'nin uygulama katmanında (L7) çalışan DDoS ve bot koruma modülüdür. Bir vService'e gelen trafiği Kurum Servislerine ulaşmadan önce üç ayrı açıdan değerlendirir: ne kadar geliyor, nereden geliyor ve kim gönderiyor. Üç sorunun her birini ayrı bir koruma yanıtlar; kararlar tek bir zincirde birleşir ve istek bu zincirin sonunda ya geçer, ya bir doğrulamaya yönlendirilir, ya da durdurulur.
Modül tek bir eşikten ibaret değildir. Hacim limitleri, itibar listeleri ve bot skoru birbirinden bağımsız çalışır; her biri kendi modunda durur, kendi kural listesini taşır ve kendi muafiyetlerini tanır. Yaptırım katmanı ise ortaktır: hangi koruma karar verirse versin, Captcha, Quarantine ve Waiting Room aynı ortak altyapıyı kullanır.
Koruma cihaz genelinde açılıp kapatılan tek bir modül değildir: her vService için ayrı ayrı etkinleştirilir. Etkinleştirme anında üç korumanın da yapılandırması oluşturulur, ancak hepsi aynı modla başlamaz: hacim ve davranış korumaları izleme moduyla, itibar koruması ise doğrudan yaptırım moduyla açılır.
Denetim istek başına yapılan bağımsız bir hesap değildir. Hacim ölçümü, zaman penceresiyle yaşlanan sayaç tablolarında birikir (kimi tablo kaynak başına, kimi vService geneli için tek anahtarla tutulur); itibar kararı tek bir tablo okumasıdır; bot skoru ise her istek için yeniden hesaplanır. Üç sonuç aynı istek üzerinde birleşir, tek bir karara indirgenir ve olay kaydına aynı sonuç sözlüğüyle yazılır. Yaptırım trafik motorunun kendi içinde uygulanır ve ek bir ağ atlaması oluşturmaz; yalnızca meydan okuma sayfasının kendi istekleri yerel bir sokete bağlı ayrı bir bileşene gider.
vService üzerinde çalışır
Bot/DDoS koruması, trafiği karşılayan vService üzerinde çalışır: istek vService tarafından karşılanıp TLS sonlandırıldıktan sonra, hedef seçilmeden önce bu denetimden geçer. Bu nedenle koruma HTTP ve L7 TCP tipindeki vService'lerde etkinleştirilir; Network (Layer 4) trafiği ayrı bir veri düzleminden geçtiği için uygulama katmanı denetimine giremez.
TR7 Ürün Yapısındaki Yeri
Bot/DDoS Protection, TR7'nin ürün yapısında iki parçaya karşılık gelir: bot yönetimi TR7 WAAP ürününün kapsamındadır, L7 DDoS koruması ise L7 DDoS Protection eklentisidir (add-on). Standart L7 DDoS koruma kapsamı ürün lisansıyla gelir; eklenti, korumayı daha fazla vService'e genişletir. Lisanslama ayrıntıları tr7.com üzerinde yer alır.
3
Bağımsız Koruma
Hacim, itibar ve davranış ayrı ayrı ölçülür; her biri kendi modunda çalışır
3
Çalışma Modu
Off · Monitor · Active: koruma başına ayrı ayrı seçilir
8
Hacim Kontrolü
Kaynak bazlı, toplam ve genişlik ölçen kontroller; her biri kendi limitiyle bağımsız çalışır
46
Bot Faktörü
HTTP vService'te 46 sinyal skora girer; L7 TCP'de uygulama katmanına bağlı olmayan 17'si çalışır
25
İtibar Kategorisi
23 tehdit kategorisi ile operatörün kendi kara listesi ve harici besleme kaynakları
4
Ortak Kart
Captcha, Quarantine, Waiting Room ve Notifications üç korumaya birden hizmet eder; L7 TCP'de yalnız ikisi bulunur
HTTP · L7 TCP
Desteklenen Tipler
L7 TCP'de uygulama katmanına bağlı yetenekler daralır, koruma çalışmayı sürdürür
Kesintisiz
Ayar Değişikliği
Değişiklik açık bağlantılar kopmadan yürürlüğe girer; ayrı bir dağıtım adımı yoktur
Ayrı bir cihaz ya da servis gerekmez
Koruma, vService'in trafik motorunun içinde çalışır. Kurulacak ayrı bir bileşen, açılacak ayrı bir servis ya da yönlendirilecek ayrı bir cihaz yoktur; vService formundaki kutu işaretlendiğinde yapılandırma aynı motora eklenir.
vService sayısında modüle özgü sınır yoktur
Koruma kaç vService'te açılabileceğine dair ayrı bir kota taşımaz. Sınırlar modülün kendi içindedir ve yapılandırma başınadır: vService başına en fazla altı gelişmiş bildirim tetiği, 5.000 kayıtlık Quarantine listesi gibi.
Ayrı bir dağıtım adımı yoktur
Modun, limitin ya da kural listesinin değiştirilmesi kesintisiz uygulanır: açık bağlantılar kopmaz, ayrıca bir yayınlama ya da yeniden başlatma adımı çalıştırılmaz.
Bot/DDoS Protection Nedir?
Bir web servisine yönelen istenmeyen trafik tek bir biçimde gelmez. Bazen hacim sorunudur: tek bir kaynak ya da binlerce kaynak, servisin taşıyabileceğinden fazla istek gönderir. Bazen kaynak sorunudur: isteği gönderen adres daha önce saldırı, tarama ya da kötüye kullanım kaydıyla işaretlenmiştir. Bazen de davranış sorunudur: istek sayısı normaldir, kaynak temizdir, ancak isteği gönderen bir tarayıcı değil, tarayıcı taklidi yapan bir yazılımdır.
Bu üç sorunun ortak bir çözümü yoktur. Hacim sorununu çözen bir limit, tek tek istek gönderen bir içerik toplama yazılımını (scraper) yakalayamaz. İtibar listesi, listede olmayan yeni bir botnete karşı sessiz kalır. Bot skoru ise binlerce farklı adresin her birinin yalnızca birkaç istek gönderdiği dağıtık bir selde tek başına yeterli değildir.
Üç Ayrı Soru, Üç Ayrı Koruma
Ne kadar geliyor? L7 DDoS Protection
Trafiğin hacmini ölçer. Tek bir adresin ya da bütün kaynakların birlikte ürettiği istek, bağlantı ve hata sayısını belirli bir zaman penceresinde sayar; ayrıca aynı anda trafik üreten farklı adres sayısını izleyerek dağıtık istek sellerini yakalar. Sayıya bakar, kimliğe bakmaz.
Nereden geliyor? IP Reputation Protection
Kaynağın geçmişine bakar. Adres, sürekli güncellenen itibar verisinde bir kategoriye düşüyorsa kural listesi o kategoriye bağlanan yaptırımı uygular. Karar tek bir tablo okumasına dayanır: hacim gibi bir zaman penceresi ya da skor gibi bir hesap gerektirmez, bu nedenle hem en ucuz hem de trafiğin ilk isteğinden itibaren geçerli olan katmandır.
Kim gönderiyor? Bot Protection
İstemcinin davranışına bakar. TLS parmak izinden başlık sırasına, istek örüntüsünden tarayıcı tutarlılığına kadar çok sayıda sinyali bir bot skorunda toplar. Tek bir istek bile skorlanır: hacimden ve listeden bağımsız olarak "bu bir tarayıcı mı?" sorusunu yanıtlar.
Davranışsal Analiz
Üç korumadan ikisi isteğin tek bir anına bakar: hacim sayacı o pencerede kaç istek geldiğini, itibar listesi ise adresin hangi kategoriye düştüğünü söyler. İkisi de istemcinin ne yaptığını değil, ne olduğunu ölçer.
Behavioral Analysis, bot skorunun faktör gruplarından biridir ve tam da bu boşluğu kapatır: istemcinin tek bir isteğine değil, zaman içindeki desenine bakar. Her isteği kusursuz görünen, başlıkları eksiksiz ve parmak izi gerçek bir tarayıcıya ait olan bir istemci bile şu davranışları gösterdiğinde bu gruptan puan alır:
- aynı yola belirli bir pencere boyunca sabit hızda istek göndermek,
- ardı ardına bulunamayan adresler denemek,
- yapılandırma dosyası ve yedek dosyası arayan yollara uzanmak.
Diğer faktör grupları istemcinin ne olduğunu, bu grup ne yaptığını söyler. İyi gizlenmiş içerik toplama yazılımlarını ve tarayıcıları yakalayan sinyaller çoğunlukla buradan gelir; grubun sinyalleri kötücüllük ekseninde ağır bastığı için bir tanesi tek başına bir istemciyi en üst banda çıkarabilir.
Skorlama iki eksenlidir
Bot skoru tek bir "bot mu değil mi" ölçüsü değildir. İki soru ayrı ayrı ölçülür: bu bir makine mi? ve bu düşmanca mı? Bir izleme sistemi ya da doğrulanmış bir arama motoru robotu birinci eksende yüksek, ikinci eksende düşük kalır; hiçbir zararlı işareti taşımayan ancak yapılandırma dosyası arayan bir istemci ise tersini gösterir. Skor sınıfının Bad Bot olması yalnızca kötücüllük ekseninden geçilerek mümkündür.
Faktörlerin tam listesi ve her birinin ağırlığı Factors sayfasındadır.
WAF ile Farkı
Bot/DDoS koruması ile WAF aynı katmanda çalışır, aynı isteği görür ve sıklıkla aynı vService'te birlikte açılır. Ancak farklı soruları yanıtlarlar:
| Bot/DDoS Protection | WAF | |
|---|---|---|
| Soru | İstek ne kadar, nereden ve kimden geliyor? | İsteğin içeriği zararlı mı? |
| Bakılan | Sayaçlar, kaynak itibarı, istemci davranışı | Path, sorgu, başlık ve gövdenin içeriği |
| Tipik yakaladığı | İstek seli, scraper, kimlik doldurma, botnet | SQL enjeksiyonu, XSS, dosya yolu saldırısı |
| Karar zamanı | İçerik açılmadan önce | İçerik ayrıştırıldıktan sonra |
| vService tipi | HTTP ve L7 TCP | Yalnızca HTTP |
İki katman birbirinin yerine geçmez
Temiz içerikli ancak saniyede binlerce kez tekrarlanan bir istek WAF için sorunsuzdur; Bot/DDoS için bir sel göstergesidir. Tek bir kez gönderilen zararlı yükte ise durum tersine döner. İki modül aynı vService'te birlikte açıldığında her ikisi de aynı isteği değerlendirir ve birbirinin yerine geçmez: biri isteğin içeriğini, diğeri isteğin kaynağını ve sıklığını sorgular.
TR7'de Bot/DDoS
TR7'de bu üç koruma tek bir modül altında toplanır ve tek bir yönetim ekranından yönetilir. Modülün üç tasarım kararı vardır:
- Korumalar bağımsızdır. Her koruma kendi modunu taşır. Biri yaptırım uygularken diğeri yalnızca izleyebilir, üçüncüsü tamamen kapalı olabilir. Üçünü birden çeviren ortak bir mod anahtarı bulunmaz; modülün tamamı ise vService formundaki tek kutuyla açılıp kapatılır.
- Yaptırım katmanı ortaktır. Üç koruma da aynı Captcha, aynı Quarantine ve aynı Notifications altyapısını kullanır. Bir kaynağı Quarantine'e hangi korumanın koyduğu kayıtta yazar, ancak liste tektir.
- Kararlar tek bir olay kaydında birleşir. Hangi koruma karar verirse versin, sonuç aynı olay kaydına aynı sonuç sözlüğüyle yazılır. Bir isteğin neden durduğunu anlamak için üç ayrı yere bakılmaz.
Neden İhtiyaç Duyulur?
- Erişilebilirlik. Bir istek seli, servisi hiçbir zafiyet kullanmadan devre dışı bırakabilir. Limitler, arka uca geçen yükü öngörülebilir bir bantta tutar.
- Kaynak maliyeti. İçerik toplayan yazılımlar (scraper) ve otomatik istemciler, hiçbir zarar vermeseler bile bant genişliği, veritabanı bağlantısı ve önbellek alanı tüketir.
- Hesap güvenliği. Kimlik doldurma ve deneme yanılma saldırıları tek tek bakıldığında olağan görünen isteklerden oluşur; ancak kaynak bazlı hata sayacı ve bot skoru bunları birlikte yakalar.
- İçerik ve fiyat koruması. Otomatik toplama, rekabete açık içerik ve fiyat verisini toplu hâlde dışarı taşır.
- Talep patlaması. Her yığılma saldırı değildir. Kampanya ya da duyuru sonrası oluşan meşru yoğunluk, engellenmek yerine sıraya alınarak yönetilir.
Nasıl Çalışır?
01 · HacimSayaçlar okunur ve limitlerle karşılaştırılırKaynak bazlı ve toplam sayaçlar kendi zaman pencerelerinde değerlendirilir. Blok sırası özelden genele doğrudur: tek bir adrese ait limitler, bütün trafiği ölçen limitlerin önünde sorulur.
02 · İtibarKaynağın geçmişine bakılırİstemci adresi itibar verisindeki bir kategoriye düşüyorsa kural listesi bu kategoriye bağlanan yaptırımı uygular. Kategori eşleşmesi tek bir tablo okumasıdır: sayaç penceresi ya da skor hesabı gerektirmez.
03 · DavranışBot skoru hesaplanırSeçili faktörler değerlendirilir ve istemciye bir skor verilir. Skor bantlara düşer; kural listesi hangi banttan itibaren hangi yaptırımın uygulanacağını söyler.
04 · SonuçTek bir karar uygulanır ve kaydedilirKararı veren koruma, uygulanan yaptırım ve gerekçesi olay kaydına yazılır. İzleme modundaki korumaların kararları da kaydedilir, ancak trafiğe uygulanmaz.
Bir isteğin tek bir kararı olur
Aynı istek birden fazla korumanın ölçütüne uyabilir; ancak yaptırım yalnızca bir kez uygulanır. Kararı hangi korumanın vereceği sabit bir öncelik sırasıyla çözülür: L7 DDoS → IP Reputation → Bot Protection. Bu nedenle olay kaydında her isteğin tek bir kararı bulunur ve kararı veren koruma kayıtta ayrıca yazılır.
Sıra, korumaların açık ya da kapalı olmasından bağımsızdır: üstteki koruma kapalıysa karar bir alttakine geçer.
İzleme modu bir prova modudur
Monitor modundaki bir koruma bütün hesaplamayı yapar, bütün kararları üretir ve hepsini olay kaydına yazar; ancak hiçbir isteği durdurmaz. Kayıtlarda bu kararlar Would… damgasıyla görünür. Modu yaptırıma almadan önce bu damgalı satırlar okunduğunda, yaptırıma geçildiğinde hangi trafiğin duracağı önceden görülür.
Üç Koruma
L7 DDoS Protection
Trafiği hacim üzerinden sınırlar. Sekiz ayrı kontrol taşır; her kontrol kendi metriğini, kendi limitini ve kendi yaptırımını tutar ve bağımsız olarak açılıp kapatılır. Hız ölçen kontroller ayrıca kendi zaman penceresini taşır.
Kontrollerin yedisi aynı soruyu farklı ölçeklerde sorar: ne kadar? Bir bölümü tek bir adresi izler (istek, bağlantı ve hata sayısı), bir bölümü bütün trafiği toplar (toplam istek ve bağlantı). Sekizincisi ise ayrı bir eksende durur ve kaç yerden? diye sorar: aynı anda trafik üreten farklı adres sayısını ölçtüğü için, on binlerce kaynağın her birinin yalnızca birkaç istek gönderdiği dağıtık bir seli yakalar. Bu tabloda hiçbir kaynak bazlı limit tetiklenmez ve toplam limitler meşru bir kampanya trafiğiyle aynı görünür.
Ülke ve ağ tipi kontrolleri ise sayıya hiç bakmadan da çalışabilir: bir kural satırına limit yazılmadığında satır doğrudan üyelik kuralına dönüşür.
Hız ölçen dört kontrol varsayılan olarak 10 saniyelik pencerede çalışır: tek adres için 1000 istek ve 100 bağlantı, vService geneli için 10000 istek ve 5000 bağlantı. İstek limitleri aşıldığında Captcha, bağlantı limitleri aşıldığında Silent Drop uygulanır. Aynı anda trafik üreten farklı adres sayısını ölçen kontrol ise bir hız değil bir sayım taşır: varsayılan eşiği 10000'dir.
Kaynak IP ve toplam istek/bağlantı kontrollerinde yumuşak limitin üstünde ikinci bir kademe tanımlanabilir. Bu sert tavan varsayılan olarak boştur ve yaptırımı seçilemez: kaynak IP kontrollerinde doğrudan Quarantine, toplam kontrollerde doğrudan Silent Drop uygulanır. Hata sayacı ile aktif kaynak ve coğrafi kontrollerde sert tavan alanı bulunmaz.
IP Reputation Protection
Kaynağın itibarına bakar. Cihaz genelinde tutulan ve düzenli olarak tazelenen itibar verisi, adresleri saldırı türü, kötüye kullanım biçimi ve ağ niteliği gibi kategorilere ayırır. Koruma bir kural listesi taşır: hangi kategorilerin hangi yaptırıma bağlanacağı satır satır tanımlanır ve ilk eşleşen satır kazanır.
Kategori listesi 25 girişten oluşur: 23 tehdit kategorisi ile operatörün kendi kara listesi ve tanımladığı harici besleme kaynakları. Üçünün de işleyişi aynıdır, farkları verinin nereden geldiğidir.
Üç koruma içinde istisna olan budur: koruma etkinleştirildiğinde doğrudan Active moduyla başlar, izleme modundan geçmez. Varsayılan kural listesi ilk günden itibaren yaptırım uygular: sekiz saldırı kategorisi ile operatörün kendi listesi Quarantine'e alınır, vpnIp dışındaki kalan kategoriler engellenir. Bunun pratik sonucu, korumanın açıldığı anda trafiğin bir bölümünün engellenmeye başlayabilmesidir.
Bot Protection
İstemcinin davranışına bakar ve her istek için 0-100 arasında bir bot skoru üretir. Skor tek bir sinyalden değil, sekiz grupta toplanan faktörlerin birlikte değerlendirilmesinden çıkar: bağlantı ve TLS düzeyindeki parmak izleri, başlıkların varlığı ve sırası, adresin niteliği, istek örüntüsü ve istemcinin kendini tanıttığı bilgiyle davranışı arasındaki tutarlılık. Faktörlerin üçü skoru düşüren güven sinyalidir: oturum açmış, Captcha'yı çözmüş ya da gerçek etkileşim gösteren istemcinin skoru aşağı çekilir.
Hangi faktörlerin skora gireceği seçilebilir; seçim boş bırakıldığında bütün faktörler etkin sayılır ve ileride eklenen faktörler de kendiliğinden kapsama girer. HTTP vService'te 46 faktör değerlendirilir; L7 TCP'de uygulama katmanı bilgisi gerektirmeyen 17'si çalışır.
Skor dört sınıfa ayrılır: 0-39 Clean, 40-59 Suspicious, 60-84 Bot, 85-100 Bad Bot. Kural listesi hangi eşikten itibaren hangi yaptırımın uygulanacağını belirler; varsayılan liste 90 puandan itibaren engelleme, 75 puandan itibaren Captcha uygular.
Doğrulanmış arama motoru robotları için ayrı bir güven anahtarı bulunur. Doğrulama, robotun kendini tanıttığı ada değil adres aralığına dayanır: kendini arama motoru olarak tanıtan ancak doğrulanmış aralıkların dışından gelen bir istemci muaf tutulmaz.
Çalışma Modları
Üç korumanın her biri aynı üç moddan birinde çalışır ve modlar birbirinden bağımsız seçilir.
Off
Koruma tamamen kapalı
Hiçbir ölçüm yapılmaz, hiçbir kayıt üretilmez. Bu değer her zaman operatörün bilinçli kararıdır ve öğrenme yardımcısı bu kararı önerileriyle bozmaz.
Monitor
Ölçer, karar verir, uygulamaz
Bütün limitler ölçülür, bütün skorlar hesaplanır, bütün kararlar olay kaydına yazılır; ancak hiçbir istek durdurulmaz. Yaptırıma geçmeden önceki prova modudur.
Active
Kararlar trafiğe uygulanır
Kural listesi ve limitler yürürlüktedir: istekler engellenir, Captcha'ya yönlendirilir ya da Quarantine'e alınır.
vService'in Bot/DDoS Management durum şeridi bu üç moddan türeyen bir okuma gösterir: en az biri yaptırım uyguluyorsa Active, hiçbiri uygulamıyor ancak en az biri izliyorsa Monitoring, üçü de kapalıysa Not Active. Şeritteki bu yazı bir ayar değildir; modlar yalnızca korumaların kendi bantlarından değiştirilir.
Ortak Yaptırım Katmanı
Üç koruma da kararlarını aynı dört kartın sunduğu altyapıyla uygular. Kartlar korumalara ait değildir: bir tanesi bile kullanılmıyorken ayarları saklanmaya devam eder ve bir koruma o karta yönlendirmeye başladığında yazılmış değerlerle çalışır.
| Kart | İşi |
|---|---|
| Captcha | Şüpheli kaynağı engellemek yerine bir doğrulamaya yönlendirir. Doğrulamayı geçen kaynak tanımlı bir süre boyunca yeniden sorgulanmaz; sürekli başarısız olan kaynak ise Quarantine'e alınabilir. |
| Quarantine | vService başına tutulan tek listedir ve en fazla 5.000 kayıt taşır. İçeri alınan kaynak, süresi dolana kadar (varsayılan 30 dakika) her isteğinde aynı yaptırımla karşılaşır; kutu üyeliği korumaların kararlarının önüne geçer ve kaynağın yeniden bir kurala takılması gerekmez. |
| Waiting Room | Bir saldırı yaptırımı değildir: meşru talep patlamasında aynı anda hizmet alan ziyaretçi sayısını tavanla sınırlar (varsayılan 1.000) ve fazlasını geliş sırasına göre kuyruğa alır. Yalnızca HTTP vService'lerde bulunur ve üç korumanın aksine varsayılan olarak Off moduyla gelir. |
| Notifications | Trafiğe hiç dokunmaz: hangi olayların bildirim doğuracağını ve bu bildirimlerin dört kanaldan (e-posta, SMS, SNMP, arayüz) hangileriyle iletileceğini belirler. Varsayılan olarak yalnızca arayüz kanalı açıktır. |
Öğrenme (Smart Advisor)
Bir hacim limitinin doğru değeri servisten servise değişir: aynı sayı bir servis için gevşek, diğeri için hizmeti kesecek kadar dardır. Modül bu değeri operatörün tahmin etmesini beklemez. Öğrenme motoru vService'in geçmiş trafiğini okur, her ayar için uygun aralığı hesaplar ve sonucunu bir öneri olarak sunar.
Motor Neyi Okur, Neyi Üretir?
Motor trafiği dört eksende izler: kaynak adres, ülke, ağ tipi ve bot davranışı. Bu ölçümlerden üç tür çıktı üretir:
| Çıktı | Anlamı | Uygulanabilir mi? |
|---|---|---|
| Suggestion | Sayısal bir limit ya da bir kural satırı önerisi. Motorun hem hesapladığı hem uygulayabildiği sonuçtur. | Evet, tek işlemle |
| Advice | Motorun hesapladığı, ancak kararı operatöre bırakılan değer. Waiting Room kapasitesi ve ani yükseliş eşiği bu sınıftadır: ziyaretçiyi kuyruğa alma kararı motora bırakılmaz. | Hayır, yalnızca okunur |
| Attention | Bakılması istenen bir tespit. Bir öneri değildir ve bekleyen öneri sayacına girmez. | Hayır |
Üç Çalışma Modu
| Mod | Davranış |
|---|---|
| Off | Periyodik değerlendirme hiç yapılmaz. Ekran açıldığında ve kayıt düzenlendiğinde anlık bir değerlendirme yine yürütülür. |
| Smart Advisor | Varsayılan mod. Motor öğrenir, gerekçesini yazar ve önerir; kendiliğinden hiçbir şey uygulamaz. Değerlendirme sabit sıklıkla, saat başı çalışır. |
| Automatic | Motor öğrendiklerini tanımlı periyotta kendisi uygular. Tune Limits Only freni açıldığında yalnızca sayısal limitlere dokunur, kural yapısına dokunmaz. |
Öğrenme penceresi Learning Lookback ayarından gelir ve varsayılanı bir aydır. Girilen değer motorun çalıştığı hazır pencerelere yuvarlanır: yaklaşık bir hafta, iki hafta, bir ay ve iki ay. Ayrıca güvenilir sayılan ülkeler ve ağ tipi grupları listelenerek öğrenmenin dışında tutulur; bu listeler öğrenilen sayıları değiştirmez, üretilen kural yapısını biçimlendirir.
Uygulamanın Sınırları
Öneriler Learning şeridindeki inceleme penceresinden seçilir ve tek bir paket olarak gönderilir. Uygulama hepsi ya da hiçbiri biçimindedir: paketteki tek bir seçim geçersizse hiçbiri uygulanmaz.
Motorun yetkisi bilinçli olarak sınırlıdır. Sunucu üç durumu reddeder: elle Off yapılmış bir korumanın etkinleştirilmesi, dolu bir kural listesinin üzerine yazılması ve motorun sahiplenmediği satırların değiştirilmesi. Yani operatörün yazdığı bir kural, öğrenme tarafından sessizce ezilmez.
Öğrenme kapalıyken de sayılar dolu görünebilir
Off modunda duran yalnızca periyodik koşudur. Ekran her açıldığında yürürlükteki ayarlar üzerinden anlık bir değerlendirme yapıldığı için karttaki sayaçlar yine dolu görünebilir. Periyodik koşuyu durduran ikinci bir durum daha vardır: Smart Advisor modunda Mute Suggestion Notifications işaretliyse koşu hiç yapılmaz.
İzleme ve Görünürlük
Pano Dashboard
Seçilen zaman aralığındaki tehdit, sonuç ve durum verisi panellerde toplanır; vService'in yapılandırması ayrıca bir akış şeması olarak özetlenir.
Anlık durum Live Stats
Saniyede bir yenilenen sayaçlar, sonuç dağılımı, kural tabloları ve kartların canlı kutuları. Bir ayarın etkisini değiştirdikten hemen sonra görmek için kullanılır.
Tek tek inceleme Event Logs · Global Event Log
Her isteğin hangi korumaya, hangi kurala ve hangi eşiğe takıldığı kayıt düzeyinde okunur. Cihaz genelindeki tarama için ayrı bir global ekran bulunur.
Haber alma Notifications
Tehdit durumu bandı, öğrenme önerileri ve operatörün tanımladığı kapsam sayaçları; e-posta, SMS, SNMP ve arayüz kanallarından iletilir.
Yönetim ve Operasyon
- Koruma vService başına açılır. Etkinleştirme, vService düzenleme formundan ya da Bot/DDoS Protected vService List ekranından toplu olarak yapılır.
- Ayarlar taşınabilir. Bir vService'in bütün Bot/DDoS yapılandırması dosyaya aktarılır ve başka bir vService'e yüklenir. İçe aktarma tam değiştirmedir.
- Değişiklikler kesintisizdir. Yapılandırma değişikliği açık bağlantıları düşürmeden yürürlüğe girer.
- Ayrı bir yetki alanı yoktur. Ekranların görüntülenmesi Load Balancer alanında izleme yetkisi, bütün düzenlemeler ise Load Balancer alanında değiştirme yetkisi ister.
- Sayaçlar cihaza özeldir. Cluster kurulumunda yapılandırma eş cihaza yayılır, ancak sayaç tabloları eşitlenmez: devir sonrasında Quarantine, Captcha sayaçları ve Waiting Room eş cihazda boş başlar.
Kullanım Senaryoları
Tek kaynaklı sel L7 DDoS Protection
Az sayıda kaynaktan gelen yoğun istek seli, kaynak bazlı limitlerle daha arka uca ulaşmadan kesilir. Limitin üstüne bir sert tavan tanımlandığında ısrar eden kaynak doğrudan Quarantine'e alınır ve her isteğinde yeniden değerlendirilmez.
Dağıtık sel Aktif kaynak sayısı
On binlerce adresin her birinin yalnızca birkaç istek gönderdiği bir botnette hiçbir kaynak bazlı limit tetiklenmez. Aynı anda trafik üreten farklı adres sayısını ölçen kontrol, hacmi değil trafiğin genişliğini izlediği için bu tabloyu yakalar.
İçerik ve fiyat toplama Bot Protection
Hacmi düşük tutarak limitlere hiç takılmayan bir scraper, tarayıcı taklidindeki tutarsızlıklarla yakalanır. Doğrulanmış arama motoru robotları aynı kurallardan muaf tutulduğu için site dizinlenmesi bozulmaz.
Kimlik doldurma ve deneme yanılma Hata sayacı · İtibar
Giriş denemeleri tek tek bakıldığında olağan görünür. Kaynak bazlı hata sayacı bu denemeleri birlikte sayar; itibar verisi ise aynı kaynağı başka kurumlarda da işaretlenmişse ilk istekte yakalar.
Meşru talep patlaması Waiting Room
Bilet satışı ya da kampanya açılışında gelen yığılma bir saldırı değildir. Waiting Room, aynı anda hizmet alan ziyaretçi sayısını tavanla sınırlar ve fazlasını sıraya alır: kimse reddedilmez, arka uç ise sabit yük görür.
Coğrafi ve ağ tipi kısıtı Country · Network Type
Yalnızca belirli ülkelere hizmet veren bir servis, diğer ülkelerden gelen trafiği doğrudan üyelik kuralıyla sınırlar. Anonimleştirici ağlar ve veri merkezi aralıkları da aynı biçimde ayrı kurallara bağlanır.
Saldırı anında müdahale Event Logs · Notifications
Tanımlı kapsam sayaçları eşiği aştığında bildirim üretilir; olay kaydından saldırının kaynağı, kararı veren koruma ve tetiklenen kural incelenir ve kaynak aynı pencereden muafiyet ya da engelleme listesine alınır.
Ayarların çoğaltılması Export · Import
Bir vService'te olgunlaşmış yapılandırma dosyaya aktarılıp benzer servislere yüklenir; her servis için aynı ayarlama süreci baştan yaşanmaz.
Terminoloji
| Terim | Açıklama |
|---|---|
| Off · Monitor · Active | Bir korumanın çalışma modu. Üç koruma kendi modunu ayrı ayrı taşır, ortak bir ana anahtar bulunmaz; modların vService genelindeki dağılımı panoda Protection Modes panelinde izlenir. |
| L7 DDoS Protection | Hacim ölçen koruma. Sekiz kontrol taşır; hız ölçenler kendi zaman penceresini, hepsi kendi limitini tutar. |
| IP Reputation Protection | Kaynağın itibar verisindeki kategorisine bakan koruma. Üç koruma içinde doğrudan yaptırım moduyla açılan tek koruma budur. |
| Bot Protection | İstemcinin davranışına bakıp bot skoru üreten koruma. |
| Action Rules | Bir korumanın koşul ve yaptırım satırlarından oluşan sıralı listesi. İlk eşleşen satır kazanır. L7 DDoS'un ülke ve ağ tipi kontrollerinde aynı yapı Rules adıyla geçer. |
| Hard Ceiling | Yumuşak limitin üstündeki ikinci kademe. Varsayılan olarak boştur ve yaptırımı seçilemez: kaynak IP kontrollerinde Quarantine, toplam kontrollerde Silent Drop. Alan yalnızca bu dört kontrolde bulunur. |
| Bot Score | İstemcinin otomasyon olma olasılığını özetleyen 0-100 arası sayı. İki eksende ölçülür: bu bir makine mi? ve bu düşmanca mı? |
| Clean · Suspicious · Bot · Bad Bot | Bot skorunun düştüğü dört sınıf. Sırasıyla 0-39, 40-59, 60-84 ve 85-100 aralıklarına karşılık gelir; Bad Bot sınıfına yalnızca kötücüllük ekseninden ulaşılır. |
| Behavioral Analysis | Bot skorunun faktör gruplarından biri. İstemcinin tek bir isteğine değil, zaman içindeki desenine bakar. |
| Verified Bot | Adres aralığından doğrulanan arama motoru ya da yapay zekâ tarayıcısı. Bot kurallarından ve IP itibar kurallarından muafiyeti varsayılan olarak açıktır; hacim limitlerinden muafiyet ise L7 DDoS tarafındaki ayrı bir anahtarla sağlanır ve varsayılan olarak kapalıdır. |
| Captcha | Şüpheli kaynağa engelleme yerine sunulan doğrulama adımı. Aksiyon listesinde Show captcha olarak geçer. |
| Quarantine | Karantinaya alınan kaynakların tutulduğu, vService başına tek olan liste. Canlı tablosunun panel başlığı Quarantine Penalty Box'tır. |
| Waiting Room | Aynı anda hizmet alan ziyaretçi sayısını sınırlayıp fazlasını kuyruğa alan kapasite aracı. Bir saldırı yaptırımı değildir. |
| Silent Drop | İsteğe cevap verilmeden bağlantının kapatılması. L7 TCP vService'lerde engellemenin karşılığıdır. |
| Smart Advisor | Trafikten öğrenip ayar önerisi üreten, ancak kendiliğinden uygulamayan motor. Aynı zamanda öğrenme modlarından birinin adıdır. |
| Would… | İzleme modundaki bir korumanın olay kaydına yazdığı, trafiğe uygulanmayan karar: Would Block, Would Show CAPTCHA, Would Quarantine gibi. |
| Advanced Notifications | Operatörün tanımladığı kapsam ve pencere sayaçları. Eşik aşıldığında bildirim üretir, trafiğe dokunmaz. |
Bölümler
Başlangıç
vService Bazında İzleme ve Yönetim
Bot/DDoS Protected vServices
Korumalı bir vService'in yönetim ekranı: sekmeler, erişim yolları ve sekmelerin işbölümü.
→
Dashboard
Tehdit panosu: konu başlıklarına göre gruplanmış görünüm sekmeleri, paneller ve yapılandırmayı özetleyen akış şeması.
→
Bot/DDoS Management
Bütün yapılandırma: koruma modu şeridi, dört ortak kart, öğrenme şeridi ve üç koruma sütunu.
→
Event Logs
Olay kayıtları: sonuç bandı, iki katmanlı filtreleme ve dört sekmeli önizleme.
→
Live Stats
Canlı istatistikler: frontend sayaçları, sonuç dağılımı ve kart bazlı canlı kutular.
→
Cihaz Geneli Ekranlar
Bot/DDoS Protected vService List
Korumalı vService'lerin tek listede toplandığı görünüm; toplu etkinleştirme ve kaldırma.
→
Global Event Log
Tüm korumalı vService'lerin olay kayıtlarının tek tabloda tarandığı görünüm.
→
Tipik Devreye Alma Akışı
1
Adım 1 Korumayı etkinleştir
HTTP ya da L7 TCP tipindeki vService'te koruma açılır. L7 DDoS koruması Monitor, IP Reputation koruması Active moduyla açılır; Bot Protection HTTP'de Monitor, L7 TCP'de Off gelir. Bu nedenle koruma açıldığı anda trafiğin bir bölümü engellenmeye başlayabilir (bkz. How to Enable Bot/DDoS Protection?).
2
Adım 2 İlk gün itibar kararını gözden geçir
Event Logs ekranında engelleme ve karantina satırları okunur. Beklenmeyen engelleme varsa IP Reputation Protection geçici olarak Monitor moduna alınır ve kategori kuralları gözden geçirilir.
3
Adım 3 İzleme modunda olağan yükü öğren
Uygulamanın olağan kullanım döngüsünü kapsayacak kadar trafik biriktirilir. İzleme modundaki korumalar bu sürede hiçbir isteği durdurmaz; kararlar Would… damgasıyla kaydedilir ve gerçek yük Live Stats ile Dashboard üzerinden okunur.
4
Adım 4 Limitleri ve kural listelerini ayarla
Ölçülen yüke göre hacim limitleri daraltılır ya da genişletilir; bot kural listesi ve itibar kategorileri gözden geçirilir. Learning şeridindeki öneriler bu adımda incelenir.
5
Adım 5 Muafiyetleri tanımla
Denetim dışında kalması gereken kaynaklar korumaların muafiyet listelerine yazılır. Doğrulanmış arama motoru robotlarının bot kurallarından muaf tutulması varsayılan olarak açıktır. Hacim limitlerinden muafiyet ise ayrı bir anahtardır ve varsayılan olarak kapalıdır: yoğun bir tarama da erişilebilirliği tehdit edebildiği için robotlar kaynak bazlı limitlere varsayılan olarak tabidir.
6
Adım 6 Yaptırıma geç
Olay kaydındaki Would… satırları beklenen trafiği gösterir hâle geldiğinde korumalar Active moduna alınır. Yaptırım seçimi bu adımda anlam kazanır: engelleme yerine Captcha ya da Quarantine tercih edilebilir.
7
Adım 7 Ortak katmanı ve haber almayı kur
Captcha sayfası ve süresi, Quarantine süresi ve gerekiyorsa Waiting Room yapılandırılır; Notifications kartından tehdit durumu ve kapsam tetikleri ile bildirim kanalları tanımlanır.
