L4 DDoS Protection

L4 DDoS Protection, TR7'nin paket ve bağlantı katmanında çalışan DDoS koruma modülüdür. Bir route tablosuna giren trafiği, henüz bir istek hâline gelmeden değerlendirir: bir kaynak saniyede kaç paket gönderiyor, aynı anda kaç bağlantı tutuyor ve gönderdiği paket protokolün kendi dilbilgisine uyuyor mu.

Modül bir eşikler listesi değildir. Yirmi dokuz kuralın yirmi beşi beş koruma bandına ayrılır, kalan dördü bütün kurallara birden hizmet eden ortak katmanı oluşturur (karantina kayıtlarının log hedeflerine iletimi bir kural değil, Quarantine kutusunun bir ayarıdır ve bu sayıya girmez); her bant bir saldırı ailesini karşılar ve her kural kendi modunu taşır. Kararlar tek tek paketler üzerinde verilir; ısrarcı bir kaynak ise kuralın kendi karantina listesine alınabilir ve o kaynağın route tablosuna giren bütün trafiği durur.

Koruma vService başına açılan bir özellik değildir: her route tablosunda hazır bulunur. Kural kataloğu tabloyla birlikte doğar ve katalog varsayılanları route tablosu oluşturulurken ve cihaz açılışında yapılandırmaya yazıldığından, hiç dokunulmamış bir route tablosunda da kuralların bir bölümü yaptırımda, bir bölümü izlemede çalışır.

Denetim, uygulama katmanındaki korumalardan farklı bir yerde durur. Burada bir oturum açılmasını, bir başlığın okunmasını ya da bir gövdenin ayrıştırılmasını beklemek gerekmez: karar paketin kendisine bakılarak verilir. Bu yüzden koruma yalnız cihazın kendi servislerini değil, cihaz üzerinden geçirilen trafiği de kapsar.

Yük dengeleme zincirinden önceki halka

L4 DDoS koruması bir vService'e bağlı değildir, route tablosuna bağlıdır. Trafik bir vService tarafından karşılanmadan, TLS sonlandırılmadan ve hedef seçilmeden önce bu denetimden geçer. Bu nedenle koruma vService tipinden bağımsızdır: HTTP, L7 TCP ve Network tipindeki bütün servislerin trafiği aynı route tablosunun kurallarına tabidir.

Uygulama katmanındaki Bot/DDoS ve WAF korumaları bu katmanın yerine geçmez; onlar isteğin içeriğine ve kaynağının davranışına bakar, bu katman ise paketin kendisine.

TR7 Ürün Yapısındaki Yeri

L4 DDoS Protection, TR7'nin ürün yapısında bir eklentidir (add-on). Her ADC lisansı, standart sayıda route tablosu için L4 DDoS korumasıyla gelir; eklenti, korumayı daha fazla route tablosuna genişletir. Lisanslama ayrıntıları tr7.com üzerinde yer alır.

5

Koruma Bandı

TCP, UDP, ICMP & Reflection, Packet Integrity ve TR7 Management Access

29

Kural

Katalog sabittir; kural eklenmez, her kuralın modu ve limiti ayarlanır. Karantina log iletimi kural değil, Quarantine kutusunun ayarıdır

4

Yaptırım Basamağı

Disabled · Monitor · Block · Quarantine: kural başına ayrı seçilir

Route Tablosu

Koruma Kapsamı

Her tablo kendi modlarını, limitlerini ve muafiyet listesini taşır

24

Ölçüm Üreten Kural

Panoda ve canlı görünümde kendi serisini taşır; üçü yalnız ana cihazın DEFAULT tablosunda bulunur

İlk Günden

Varsayılanlar

Katalog varsayılanları tabloyla birlikte yazılır; açılacak bir koruma yoktur

Geçen Trafik Dahil

Denetim Alanı

Cihaza yönelen ve geçirilen trafik birlikte ölçülür; eşzamanlılık kuralları yalnız cihaza yönelene bakar

Kesintisiz

Ayar Değişikliği

Değişiklik anında yürürlüğe girer; ayrı bir dağıtım adımı yoktur

Ayrı bir cihaz ya da servis gerekmez

Koruma, cihazın ağ katmanının içinde çalışır. Kurulacak ayrı bir bileşen, açılacak ayrı bir servis ya da yönlendirilecek ayrı bir cihaz yoktur; kural kataloğu route tablosuyla birlikte hazır gelir.

Route tablosu sayısında modüle özgü sınır yoktur

Koruma kaç route tablosunda çalışabileceğine dair ayrı bir kota taşımaz; tanımlı her tablo kendi kural setiyle gelir. Sınırlar modülün kendi içindedir ve tablo başınadır: karantina listesinin en fazla 2.500 satırla listelenmesi ya da muafiyet listesine en fazla beş ülke yazılabilmesi gibi.

Ayrı bir dağıtım adımı yoktur

Bir kuralın modunun ya da limitinin değiştirilmesi anında uygulanır: güvenlik duvarı kuralları yeniden yazılır, ayrıca bir yayınlama ya da yeniden başlatma adımı çalıştırılmaz.

L4 DDoS Protection Nedir?

Bir servisi erişilemez kılmak için içeriğine dokunmak gerekmez. Saldırganın elindeki en ucuz yöntem, protokolün kendi mekanizmalarını maliyet üretecek biçimde kullanmaktır: tamamlanmayan el sıkışmalar, kapanmayan bağlantılar, karşılığı olmayan yanıtlar ya da hiç ulaşmayacağı bilinen sahte kaynaklardan gelen paketler.

Bu trafiğin ortak özelliği, uygulama katmanına hiç ulaşmamasıdır. Yarım kalmış bir el sıkışma bir HTTP isteği doğurmaz; bir güvenlik duvarı kuralı için de olağan görünür, çünkü adres ve port doğrudur. Yine de her biri bellek, bağlantı tablosu ve işlemci tüketir.

L4 DDoS koruması tam olarak bu boşluğu kapatır: kararını bir istek oluşmadan, paketin kendisine bakarak verir.

Dört Ayrı Soru, Beş Bant

Bağlantı kurulurken ne oluyor? TCP

TCP'de her bağlantı üç adımlı bir el sıkışmayla açılır ve kapanana kadar iki uçta da kaynak tutar. Bant bu iki gerçeği ayrı ayrı ölçer: el sıkışma hızını, açık bağlantı sayısını ve paketin taşıdığı bayrak desenini.

Ne hızda geliyor? UDP

UDP'nin el sıkışması yoktur: ölçülebilecek tek şey gönderim hızının kendisidir. Bant kaynak başına saniyelik paket sayısını sınırlar, DNS isteklerine ayrı bir tavan koyar ve bilinen iki saldırı biçimini imzasından tanır.

Kim yollattı? ICMP & Reflection

Yansımalı saldırıda saldırgan hedefe hiç paket göndermez; kurbanın adresini takınarak üçüncü sistemlere sorar, cevaplar hedefe yağar. Bant bu cevapların ulaştığı noktada durur ve ICMP trafiğine hiç izin verilip verilmeyeceğini de buradan belirler.

Bu paket inandırıcı mı? Packet Integrity

Hıza hiç bakmayan bant budur. Paketin açık bir oturumu var mı, taşıdığı kaynak adresi o adresten gelmiş olabilir mi, izleyeceği yolu kendisi mi dayatıyor. Cevabı hayır olan paket için meşru bir açıklama yoktur; ilk paket zaten kuralı ihlal etmektedir.

Beşinci bant diğer dördünden ayrı bir işi üstlenir: TR7 Management Access, cihazın kendi yönetim portlarına açılan eşzamanlı bağlantıları sınırlar. Taşınan trafiği değil, cihazın kendi yönetim yüzeyini korur ve yalnız ana cihazın DEFAULT route tablosunda görüntülenir.

Ölçüm Yöntemleri

Kurallar tek bir yöntem kullanmaz. Hangi yöntemle çalıştıkları, bir kuralın nasıl ayarlanacağını ve neyi yakalayabileceğini doğrudan belirler.

Yöntem	Ne ölçer	Örnek
Hız	Kaynak başına saniyelik paket sayısı. Kendi limitini taşır ve eşiği aşan trafiğe uygulanır.	El sıkışma seli, UDP seli, ICMP yankı sorgusu hızı
Eşzamanlılık	Bir kaynağın aynı anda açık tuttuğu bağlantı sayısı. Bir hız değildir: sayı anlıktır.	Kaynak başına açık bağlantı tavanı, yönetim portu tavanları
İmza	Paketin kendi biçimi. Çoğu eşik taşımaz; desen tuttuğunda ilk paketten itibaren geçerlidir. UDP imzalarında ise kaynak başına sabit ya da ayarlanabilir bir tavan bulunur.	Bozuk bayrak birleşimleri, tarama desenleri, oturumsuz paketler
Duruş	Bir güvenlik duvarı kuralı değil, sistemin çalışma biçimi. Çoğu ölçüm üretmez.	SYN çerezleri, kaynak yönlendirme reddi, ölü bağlantı temizliği (yalnız bu sonuncusu bağlantı durumlarını ölçer)

Eşik taşımayan kural, eşik taşıyandan daha kesindir

Hız ölçen bir kuralın doğru değeri servisten servise değişir ve yanlış seçildiğinde meşru trafiği kesebilir. İmza kurallarının çoğu bu riski taşımaz: bozuk bayrak birleşimleri ve tarama desenleri meşru bir protokol yığınından çıkmaz. Dördü ise ayrı durur; oturumsuz paketler, el sıkışma açmayan yeni paketler, şüpheli MSS değerleri ve özel adres aralıkları sağlıklı bir ağda da görülebilir.

Öğrenme motoru da bu ayrımı tanır. Sayısal eşiği olmayan kurallar için geriye dönük deneme ve güven eşiği koşulları işletilmez; motor izlemedeki böyle bir kuralı doğrudan yaptırıma geçirmeyi önerebilir.

Bot/DDoS ve WAF ile Farkı

Üç modül de saldırıyı durdurur, ancak farklı yerlerde ve farklı sorularla çalışır. Aynı cihazda birlikte açıldıklarında birbirinin yerine geçmez, sırayla devreye girer.

	L4 DDoS Protection	Bot/DDoS Protection	WAF
Çalıştığı katman	Paket ve bağlantı katmanı	Uygulama katmanı	Uygulama katmanı
Bağlandığı nesne	Route tablosu	vService	vService
Sorduğu soru	Bu paket ne hızda, ne sayıda ve hangi biçimde geliyor?	İstek ne kadar, nereden ve kimden geliyor?	İsteğin içeriği zararlı mı?
Baktığı bilgi	Paket başlıkları, hız sayaçları, bağlantı tablosu	Sayaçlar, kaynak itibarı, istemci davranışı	Path, sorgu, başlık ve gövdenin içeriği
Tipik yakaladığı	El sıkışma seli, bağlantı tüketimi, yansımalı büyütme, tarama	İstek seli, scraper, kimlik doldurma, botnet	SQL enjeksiyonu, XSS, dosya yolu saldırısı
Karar zamanı	İstek oluşmadan önce	İçerik açılmadan önce	İçerik ayrıştırıldıktan sonra
Kapsadığı trafik	Cihaza yönelen ve cihaz üzerinden geçen trafik; eşzamanlı bağlantı tavanları ile yönetim kuralları yalnız cihaza yönelen trafiğe uygulanır	vService'e gelen HTTP ve L7 TCP istekleri	vService'e gelen HTTP istekleri

Üç katman birbirinin yerine geçmez

Yarım kalmış bir el sıkışma hiçbir zaman bir HTTP isteği doğurmaz: WAF onu hiç görmez, Bot/DDoS için de bir istek sayacı oluşmaz. Buna karşılık temiz bir tarayıcıdan gelen, biçimi kusursuz ancak içeriği zararlı bir istek L4 katmanının hiçbir kuralına takılmaz.

Network tipindeki vService'ler uygulama katmanı denetimine hiç giremez; o trafiğin tek koruma katmanı budur.

TR7'de L4 DDoS

TR7'de bu koruma tek bir modül altında toplanır ve route tablosunun kendi ekranından yönetilir. Modülün dört tasarım kararı vardır:

• Kural eklenmez, ayarlanır. Katalog sabittir ve her route tablosunda aynı kurallarla görüntülenir. Operatörün işi yeni kural yazmak değil, hazır kuralların modunu ve limitini kendi trafiğine göre ayarlamaktır.
• Her kural kendi modunu taşır. Bütün korumayı çeviren bir ana anahtar bulunmaz. Bir kural yaptırım uygularken diğeri yalnızca izleyebilir, üçüncüsü kapalı olabilir.
• Yaptırım katmanı ortaktır. Karantina kural başına ayrı bir listede tutulur, ancak süre bütün kurallarla ortaktır ve canlı görünümde listeler tek tabloda birleştirilir; her satırda kaynağı hangi kuralın gönderdiği yazar. Muafiyet listesi de tek bir tanımdır ve kara liste dışındaki bütün kuralların önünde uygulanır.
• Kararlar okunabilir cümlelerle gösterilir. Yönetim ekranı bir form listesi değildir: her kural kendi satırında, alan adları yerine tam bir cümleyle okunur.

Neden İhtiyaç Duyulur?

• Erişilebilirlik. Tamamlanmayan el sıkışmalardan oluşan bir sel, hiçbir zafiyet kullanmadan servisi devre dışı bırakabilir. Hız ve eşzamanlılık limitleri arka uca geçen yükü öngörülebilir bir bantta tutar.
• Kaynak tüketimi. Açık bırakılan ve kapanmayan bağlantılar bellek ile bağlantı tablosunu doldurur; ölü bağlantıların ne kadar sonra toplanacağı buradan ayarlanır.
• Yansımalı saldırılar. Büyütme hizmetlerinden gelen istenmemiş yanıtlar, hedefin bant genişliğini saldırganın gönderdiğinin katlarıyla doldurur.
• Keşif ve tarama. Servis haritası çıkarmaya çalışan tarama trafiği, saldırının kendisinden önce gelir ve imza kurallarıyla ilk paketten yakalanır.
• Sahte kaynaklı trafik. Kendi adresini takınan ya da özel adres aralıklarından geldiğini iddia eden paketler, geldikleri anda reddedilir.
• Yönetim erişiminin korunması. Cihazın kendi yönetim yüzeyi, taşınan trafikten bağımsız bir yüzeydir ve kendi tavanlarını ister.

Nasıl Çalışır?

01 · MuafiyetMuaf kaynaklar denetimin dışına alınırMuafiyet listesindeki adresler, ağ blokları ve ülkeler, IP itibar kara listesi dışındaki bütün kuralların önünde değerlendirilir. Muaf bir kaynak hiçbir eşiğe takılmaz ve ölçümlere de yazılmaz.

02 · İtibarKara listedeki kaynaklar ayrılırCihaz genelinde tutulan IP itibar kara listesi, bu route tablosunda seçilen modla uygulanır. Karar tek bir liste okumasıdır ve kurulu bağlantıları da keser.

03 · KurallarBeş bandın kuralları paketi değerlendirirHız ölçen kurallar kaynak başına sayaçlarını okur, eşzamanlılık ölçenler bağlantı tablosuna bakar, imza kuralları paketin biçimini sınar. Her kural kendi modunda karar verir.

04 · SonuçPaket geçer, düşürülür ya da kaynak karantinaya alınırİzleme modundaki kurallar yalnız ölçer. Yaptırım modundakiler paketi düşürür; karantina modundakiler ayrıca kaynağı süreli bir listeye yazar ve o kaynağın bütün yeni trafiği durur.

Karantina, kuralın kendi kapsamından daha geniş keser

Bir kaynak herhangi bir kuralla karantinaya alındığında, o kaynağın trafiği yalnız tetikleyen kural için değil route tablosunun tamamında durur: port ve protokol ayrımı yapılmaz.

Kesinti cihaza yönelen trafikte yalnız yeni bağlantılara uygulanır, kurulu oturumlar süreleri boyunca devam eder. Cihaz üzerinden geçirilen trafikte ise kurulu oturumlar da kesilir.

İzleme modu bir prova modudur

Monitor modundaki bir kural ölçümünü yapar ve panolara yazar, ancak hiçbir paketi düşürmez. Yaptırıma geçmeden önce bu ölçümler okunduğunda, limitin yürürlüğe girmesi hâlinde hangi trafiğin duracağı önceden görülür.

İzleme modunun bir sınırı vardır: düşürme sayaçları yalnız yaptırım modlarında beslenir. Panodaki sıfır bir düşürme değeri "saldırı yok" demek değil, "kural henüz yaptırımda değil" anlamına da gelebilir.

Beş Koruma Bandı

TCP

Bağlantı kurma ve açık tutma mekanizmalarını hedef alan saldırıları karşılar. On kural taşır ve üç kutuya ayrılır: el sıkışmanın kendisi, açık bağlantıların sayısı ve paketin bayrak deseni.

El sıkışma tarafında kaynak başına yeni paket hızı sınırlanır, el sıkışma kuralına uymayan ve şüpheli değer taşıyan paketler ayrıca yakalanır; bunların yanında çekirdeğin yarı açık bağlantı yığılmasına karşı duruşu da buradan açılıp kapatılır. Bağlantı tarafında kaynak başına eşzamanlı bağlantı tavanı ile kapanmayan bağlantıların toplanma süreleri bulunur. Bayrak tarafındaki dört kural ise eşik taşımaz: on iki ayrı bozuk bayrak birleşimi ile boş ve tam işaretli tarama paketleri ilk paketten itibaren düşürülür. Port taraması kuralı bunlardan ayrılır: tuzak porta dokunan kaynağın bütün trafiği bir süre boyunca düşürülür, çünkü amaç tek bir paketi engellemek değil taramayı yarıda kesmektir.

UDP

Oturum kurmadan taşınan trafiği sınırlar. Dört kural taşır ve iki kutuya ayrılır.

Sel tarafında kaynak başına saniyelik UDP paketi sayısı sınırlanır; DNS istekleri ayrıca kendi tavanını taşır, çünkü küçük bir istekle büyük bir cevap üretebilen bu hizmet hem doğrudan hedef hem de başkalarına saldırmak için bir araç olabilir. İmza tarafında ise yükü tamamen boş paketler ile dosya paylaşım portlarına yönelen saldırı adıyla tanınır; bu ikincisi hem UDP hem TCP tarafını kapsar.

ICMP & Reflection

Cihaza başka sistemler eliyle yollatılan trafiği karşılar. Dört kural taşır ve üç kutuya ayrılır.

İlk kutu bandın tek izin ayarıdır: ICMP trafiğine hiç geçit verilip verilmeyeceğini belirler. İkinci kutu kaynak başına yankı sorgusu hızını ve cihaza gelen bağlantı sıfırlama paketlerinin hızını sınırlar. Yankı sorgusu kuralı yaptırıma alındığında ayrıca üç keşif türünü hız gözetmeden düşürür: adres maskesi isteği, zaman damgası isteği ve yönlendirici isteği. Üçüncü kutu ise büyütmede kullanıldığı bilinen sekiz hizmet portundan gelen istenmemiş yanıtları sayar.

Kutu adları kapsamı olduğundan dar gösterir

Klasik yansıma saldırılarının ayırt edici işareti paketin bir yayın adresine gönderilmesidir; bandın hiçbir kuralı böyle bir ölçüt kullanmaz. Kurallar hedefe değil kaynağa ve hıza bakar.

Yansıma kutusu da cihazın kurban olduğu durumu karşılar: gelen istenmemiş yanıtları sınırlar, cihazın başkalarına saldırmak için yansıtıcı olarak kullanılmasını engellemez.

Packet Integrity

Paketin kendi tutarlılığını denetler ve hıza hiç bakmaz. Dört kural taşır: açık bir oturumla ilişkilendirilemeyen paketler, cihazın kendi adresini kaynak gösteren paketler, özel ve ayrılmış adres aralıklarından geldiğini iddia eden paketler ve yolunu kendi içinde taşıyan paketler.

Bandın kuralları en kesin kurallardandır; bu nedenle ikisi katalogda doğrudan yaptırım varsayılanıyla, kaynak yönlendirme reddi ise açık bir duruş olarak gelir. Özel adres aralıklarını hedefleyen kural ise izlemede doğar; iç ağa bakan bir hatta bu aralıklar meşru olabilir.

TR7 Management Access

Cihazın kendi yönetim portlarına açılan eşzamanlı bağlantıları sınırlar. Üç kural taşır: komut satırı erişimi ile yönetim arayüzünün şifresiz ve şifreli erişimi.

Üçü de hız değil eşzamanlılık ölçer: bir kaynağın belirli bir anda kaç bağlantı açık tuttuğuna bakılır. Bant yalnız ana cihazın DEFAULT route tablosunda görüntülenir.

Çalışma Modları

Kuralların çoğu aynı dört basamağı kullanır ve basamaklar kural başına ayrı ayrı seçilir.

Disabled

Kural tamamen kapalı

Ne güvenlik duvarı kuralı yazılır ne de ölçüm üretilir. Kuralın limiti kayıtlı kalır, ancak hiçbir yerde uygulanmaz.

Monitor

Ölçer, uygulamaz

Kural yürürlüktedir ve ölçümünü panolara yazar; yalnız sonucu yoktur. Yaptırıma geçmeden önceki prova modudur.

Block

Eşiği aşan paket düşürülür

Karar paket başınadır: yalnız kurala takılan paket düşer, kaynağın diğer trafiği etkilenmez.

Quarantine

Kaynak bir süre dışarıda tutulur

Eşiği aşan kaynağın adresi süreli bir listeye yazılır; o süre boyunca kaynağın route tablosuna giren bütün yeni trafiği durur.

Bütün kurallar bu dört basamağı kullanmaz. Bazıları bir aç/kapa ayarıdır (Enabled · Disabled), ICMP kuralı bir izin ayarıdır (Allow · Deny) ve iki kuralda karantina basamağı hiç sunulmaz.

Route tablosunun L4 DDoS Management ekranındaki durum şeridi bu modlardan türeyen bir okuma gösterir ve yalnız yaptırım uygulayabilen kuralları okur: en az biri yaptırım uyguluyorsa Active, hiçbiri uygulamıyor ancak en az biri izliyorsa Monitoring, hepsi kapalıysa Not Active. Aç/kapa ayarları ile ICMP izin ayarı bu okumaya girmez. Şeritteki bu yazı bir ayar değildir; modlar yalnızca kuralların kendi satırlarından değiştirilir.

Ortak Katman

Kuralların üstünde, hepsine birden hizmet eden üç kutu bulunur.

Kutu	İşi
Blacklist	Cihaz genelinde tutulan IP itibar kara listesinin bu route tablosunda nasıl uygulanacağını belirler. Liste ortaktır, mod tablo başınadır ve üç değer alır: karantina basamağı sunulmaz. Diğer birçok yaptırımın aksine kurulu bağlantıları da keser.
Quarantine	Karantina süresini belirler; süre route tablosundaki bütün kurallarla ortaktır ve varsayılanı on dakikadır. Karantinaya alınan kaynaklar canlı görünümde listelenir ve elle serbest bırakılabilir. Kutunun ikinci satırı karantina log iletimini taşır: hedef seçiliyken Quarantine entries are forwarded to <hedefler>, seçili değilken gri Quarantine entries are not forwarded to a log destination yazar. İletim kendi kalem ikonuyla düzenlenir ve en fazla 5 Log Forwarding profili seçilir.
Whitelist & Known Peers	Bütün ölçümlerin dışında kalacak kaynakları tanımlar: tek adresler, ağ blokları ve ülkeler. Buna ek olarak cihazın kendi altyapısından türetilen sunucular tek anahtarla muaf tutulabilir.

Muafiyet listesi ölçümü de kapatır

Muaf bir kaynağın trafiği yalnız yaptırımın dışında kalmaz, sayaçlara da yazılmaz. Bu, muafiyeti hem bir güvenlik hem de bir ölçüm kararı yapar: muaf bir kaynağın ürettiği yük panolarda görünmez. Tek istisna IP itibar sayacıdır: muaf da olsa kara listede görülen bir adres kayda geçmeyi sürdürür.

Dokunulmamış bir route tablosu, özel ve ayrılmış adres aralıklarını kapsayan bir yerel ağ girdisiyle gelir. Bu girdi listede durduğu sürece, o aralıkları hedefleyen kuralın kapsamı da daralır.

AI Learning

Bir hız limitinin doğru değeri hattan hatta değişir: aynı sayı bir route tablosu için gevşek, diğeri için hizmeti kesecek kadar dardır. Modül bu değeri operatörün tahmin etmesini beklemez. Öğrenme motoru route tablosunun geçmiş ölçümlerini okur, her kural için uygun aralığı hesaplar ve sonucunu bir öneri olarak sunar.

Motor Neyi Üretir?

Motor iki tür öneri üretir: bir kuralın limitini değiştirmek ve bir kuralı izlemeden yaptırıma geçirmek. İkisi ayrı kapılardan geçer.

Öneri	Koşulu
Limit önerisi	Kuralın ayarlanabilir bir limiti bulunmalıdır. Önerilen değer kural başına tanımlı bir tabanın altına inmez; bu taban yalnız motorun önerilerini sınırlar, elle girilen değerleri sınırlamaz.
Mod terfisi	Kuralın sınıfına göre değişir. Yanlış pozitif üretmeyen imza kurallarında motor doğrudan terfi önerebilir; eşik ölçen kurallarda ve sağlıklı bir ağda da görülebilen imza kurallarında ayrıca Mode Promotion izni aranır. Bu izin varsayılan olarak kapalıdır.

Üç Çalışma Modu

Mod	Davranış
Learning Off	Periyodik değerlendirme yapılmaz. Ekran açıldığında anlık bir değerlendirme yine yürütülür, bu nedenle sayaçlar dolu görünebilir.
Smart Advisor	Varsayılan mod. Motor öğrenir, gerekçesini yazar ve önerir; kendiliğinden hiçbir şey uygulamaz. Değerlendirme saat başı çalışır.
Automatic	Motor öğrendiklerini tanımlı periyotta kendisi uygular. Periyot yalnız bu modda seçilebilir.

Öğrenme penceresi Learning Lookback ayarından gelir. Girilen değer motorun çalıştığı hazır pencerelere yuvarlanır; kartta girilen değer yazsa da hesap yuvarlanmış pencereyle yapılır.

Uygulamanın Sınırları

Öneriler Learning şeridindeki inceleme penceresinde tek tek onaylanır ya da atlanır; onaylananlar tek bir paket olarak gönderilir ve tek bir yazma işleminde uygulanır.

Telemetrisi olan bir kural motorun kapsamı dışına da alınabilir: kuralın Learning Lock anahtarı açıldığında motor o kuralın limitine ve moduna dokunamaz.

Öğrenme kapalıyken de şerit görünür

Off modunda duran yalnız periyodik koşudur. Şerit ekranda kalmayı sürdürür ve ekran her açıldığında anlık bir değerlendirme yapılır; bu nedenle karttaki sayaçlar dolu görünebilir.

İzleme ve Görünürlük

Pano Dashboard

Route tablosunun taşıdığı trafik ile korumanın ürettiği telemetri aynı zaman aralığında yan yana okunur. Ağ sayaçları iki saniyede, koruma ölçümleri beş saniyede bir toplanır; veriler kademeli saklandığından son beş dakikaya da geçen yıla da aynı ekrandan bakılır.

Anlık durum L4 DDoS Live View

Hangi kuralın baskı altında olduğu, o anda kimin karantinada bulunduğu ve açık bağlantıların nasıl dağıldığı on saniyede bir tazelenen bir görünümde okunur. Karantinadan elle çıkarma gibi trafiğe anında dokunan işlemler yalnız bu ekrandan yapılır.

Tehdit durumu Threat State

Ölçümler beş bantlı tek bir okumaya indirgenir. Üç baskı ekseni ortalanır, korumanın verdiği tepki ise sonucu belirli bir tabana kadar yukarı çeker; böylece "şu anda saldırı altında mıyım" sorusu tek bakışta yanıtlanır.

Haber alma Notifications

Öğrenme önerileri arayüz üzerinden bildirilir. Karantina kayıtları ayrıca log hedeflerine iletilebilir ve Quarantine History ekranında listelenir. Tehdit durumu ise bir bildirim tetiği taşımaz; panodan ve canlı görünümden okunur.

Yönetim ve Operasyon

• Koruma route tablosu başınadır. Ayrı bir etkinleştirme adımı yoktur; tablo tanımlandığı anda kural kataloğu da gelir.
• Değişiklikler kesintisizdir. Bir modun ya da limitin değiştirilmesi anında yürürlüğe girer; ayrıca bir yayınlama adımı çalıştırılmaz.
• Yetki Network alanından gelir. Ekranların görüntülenmesi izleme, bütün düzenlemeler ise değiştirme yetkisi ister. Ağ yapılandırması eşitleme sırasında kilitliyken düzenleme yetkiden bağımsız olarak kapalıdır.
• Cluster'da yapılandırma eşitlenir, ölçümler eşitlenmez. Modlar ve limitler iki cihaza da yazılır; sayaçlar, karantina listeleri ve bağlantı tabloları cihaz başına ayrıdır. Bir cihazda karantinaya alınan kaynak diğerinde kendiliğinden karantinaya girmez.
• Öğrenme motoru cluster'da tek cihazda çalışır. Periyodik değerlendirmeyi yalnız birinci cihaz yürütür; ürettiği öneriler yapılandırmayla birlikte eş cihaza taşınır.
• Ayarlar tek seferde varsayılana döndürülebilir. Öğrenme şeridindeki sıfırlama işlemi bütün kuralları katalog değerlerine geri alır; aynı işlem muafiyet listesini de varsayılan hâline döndürür. Karantina log iletimi seçimi ise sıfırlamada korunur.

Kullanım Senaryoları

El sıkışma seli

Binlerce kaynak bağlantı açmaya başlar ama hiçbiri el sıkışmayı tamamlamaz. Kaynak başına yeni paket hızı sınırlanır, çekirdeğin yarı açık bağlantı duruşu açık tutulur; ısrar eden kaynaklar karantinaya alınarak bağlantı tablosu boşaltılır.

Yansımalı büyütme

Hattı, istenmediği hâlde gelen isim çözümleme ve saat eşitleme yanıtları doldurur. Yansıma kuralı bu yanıtları kaynak portlarından tanır ve kaynak başına sınırlar; cihazın kendi sorgularının karşılıkları etkilenmez.

Keşif taraması

Saldırıdan önce servis haritası çıkarılmaya çalışılır. Bayrak ve tarama kuralları bu paketleri ilk denemeden yakalar; eşik beklemedikleri için tarama tamamlanmadan durur.

Yönetim erişimine yüklenme

Yönetim arayüzüne ya da komut satırına çok sayıda eşzamanlı bağlantı açılır. Yönetim bandının tavanları kaynak başına uygulanır; kendi adreslerinin muafiyet listesinde bulunması, yaptırıma geçmeden önceki tek koşuldur.

Farklı hatlara farklı duruş

Aynı cihazda internete bakan tablo ile iç ağa bakan tablo aynı sıkılıkta olmak zorunda değildir. Koruma route tablosu başına tanımlandığından her hat kendi limitlerini ve muafiyetlerini taşır.

Uygulama katmanının altını kapatmak

WAF ve Bot/DDoS yalnız vService'e ulaşan istekleri görür. Network tipindeki servislerin trafiği ile cihaz üzerinden yönlendirilen trafik için tek koruma katmanı budur.

Terminoloji

Terim	Açıklama
Route tablosu	Korumanın bağlandığı nesne. Her tablo kendi kural modlarını, limitlerini, muafiyet listesini ve karantina süresini taşır.
Bant	Bir saldırı ailesini karşılayan kural grubu. Beş bant vardır; bantların kendi ayarı yoktur, düzenleme kural satırındadır.
Kutu	Bir bandın içindeki alt grup. Kutunun da kendi ayarı bulunmaz.
Disabled · Monitor · Block · Quarantine	Yaptırım basamaklarını kullanan kuralların dört modu. Kural başına ayrı seçilir.
Allow · Deny	ICMP izin ayarının iki değeri. Bir koruma değil, bir geçit kararıdır.
Enabled · Disabled	Aç/kapa yapısındaki ayarların iki değeri. Bunlar çoğunlukla bir güvenlik duvarı kuralı değil, sistemin çalışma biçimini yazar.
Karantina	Eşiği aşan kaynağın süreli olarak dışarıda tutulması. Liste kural başına ayrıdır, süre bütün kurallarla ortaktır ve canlı görünümde listeler tek tabloda birleştirilir.
Muafiyet listesi	Bütün ölçümlerin dışında tutulan kaynaklar. Muaf trafik ne yaptırıma uğrar ne de sayaçlara yazılır.
Known Peers	Cihazın kendi altyapısından türetilen sunucular. Tek anahtarla muafiyet kapsamına alınır.
Mode Promotion	Öğrenme motorunun, yanlış pozitif üretebilen bir kuralı izlemeden yaptırıma geçirmesine izin veren ayar. Varsayılan olarak kapalıdır.
Learning Lock	Bir kuralı öğrenme motoruna kapatan anahtar. Açıkken kural yalnız elle değiştirilir.
Threat State	Ölçümlerden türeyen beş bantlı tehdit okuması: No Attack, Low Activity, Possible Attack, Attack Detected, Active Attack.
Idle	Canlı görünümde baskı görülmeyen kural. Limiti olan kurallarda ölçü, ölçümün limite oranıdır; limiti olmayanlarda paket hızının kendisidir. Kapalı bir kural her durumda burada görünür.

Bölümler

Modül beş bölümden oluşur ve hepsi tek bir route tablosunun bağlamındadır. Diğer koruma modüllerindeki iki grubun burada karşılığı yoktur: koruma hazır geldiği için bir etkinleştirme sayfası, her zaman tek bir tablo bağlamında çalışıldığı için de cihaz geneli bir liste ya da birleşik kayıt ekranı bulunmaz.

Route Tables & L4 DDoS

Bir route tablosunun yönetim ekranı: dört sekme, erişim yolları ve sekmelerin işbölümü.

→

Dashboard

Trafik ve tehdit panosu: sekiz görünüm sekmesi, önizleme paneli, zaman aralığı ve panel kontrolleri.

→

L4 DDoS Management

Bütün yapılandırma: koruma modu şeridi, öğrenme şeridi ve beş koruma bandı.

→

L4 DDoS Live View

Canlı görünüm: tehdit şeridi, aile kartları, karantina tablosu ve bağlantı ayrıntısı paneli.

→

Quarantine History

Karantina geçmişi: karantinaya giren kaynakların tarih aralığına göre listelendiği log ekranı.

→

Tipik Devreye Alma Akışı

1

Adım 1 Hattın doğduğu duruşu oku

Koruma hazır geldiğinden ilk adım bir şey açmak değil, ne açık olduğunu görmektir. L4 DDoS Management ekranında durum şeridi ve bantların dağılım rozetleri okunur: hangi kural yaptırımda, hangisi izlemede doğmuş.

2

Adım 2 Muafiyet listesini kur

Kendi altyapısına ait adresler ve ağ blokları Whitelist & Known Peers penceresine yazılır. Bu adım yaptırımdan önce yapılır: öğrenme motoru da muafiyet listesi boşken yönetim kurallarını yaptırıma geçirmeyi reddeder.

3

Adım 3 Olağan yükü izleme modunda öğren

Hattın olağan kullanım döngüsünü kapsayacak kadar ölçüm biriktirilir. İzleme modundaki kurallar bu sürede hiçbir paketi düşürmez; gerçek yük Dashboard panolarından ve L4 DDoS Live View ekranından okunur.

4

Adım 4 Limitleri ölçülen yüke göre ayarla

Hız ve eşzamanlılık limitleri, ölçülen tepe değerlerin üstünde güvenli bir paya bırakılarak ayarlanır. Learning şeridindeki öneriler bu adımda incelenir; motorun gerekçesi ve hesabı öneri penceresinde okunur.

5

Adım 5 İmza kurallarını yaptırıma al

Bozuk bayrak birleşimleri ile tarama desenleri yanlış pozitif riski taşımadığından önce bunlar yaptırıma geçirilir. Bu adım hız limitlerine dokunmadan gözle görülür bir kazanç sağlar. Oturumsuz ve tutarsız paketleri yakalayan kurallar ise asimetrik yönlendirmede meşru trafikte de tetiklenebildiğinden bir süre izlemede tutulur.

6

Adım 6 Hız ve eşzamanlılık kurallarını yaptırıma geçir

Ölçümler oturduğunda eşik ölçen kurallar Block ya da Quarantine moduna alınır. Karantina, ısrar eden kaynaklar için tercih edilir; tek seferlik aşımlarda paket düşürme yeterlidir.

7

Adım 7 Yönetim erişimini ve karantina süresini gözden geçir

Management Ports tavanları kendi çalışma biçimine göre ayarlanır ve Quarantine süresi belirlenir. Karantinaya düşen kaynaklar canlı görünümden izlenir; yanlışlıkla düşen bir kaynak aynı ekrandan serbest bırakılır.