Dos/DDOS Atakları
Dos Atağı
DoS atağı, bir sisteme veya servise çok fazla istek göndererek onu yavaşlatmak veya durdurmak için yapılan bir saldırıdır. Bu saldırı, sistemin normal kullanıcılar tarafından erişilebilir olmasını engeller. Saldırgan, sistemi zarar vermek, dikkat dağıtmak veya başka bir saldırı yapmak için hedef alabilir. Örneğin, saldırgan, sistemin ön tarafına DoS saldırısı yaparken, arka tarafına fidye yazılımı bulaştırabilir. DoS saldırısı, sistemin zayıf noktalarını veya sınırlarını kullanır. Sistem, belirli bir miktardan fazla trafik, veri veya bant genişliği işleyemez. Bu nedenle, saldırgan, sistemin kapasitesini aşan istekler gönderir. Bu da sistemin cevap verememesine veya çökmesine neden olur. Hedef, bu saldırıdan dolayı para, prestij veya güven kaybedebilir. DoS saldırısı, farklı yöntemlerle yapılabilir. En yaygın olanları, sistemin bant genişliğini tüketmek, belirli bir bilgisayar veya servisi hedef almak veya SYN paketleri göndermek şeklindedir. Bu saldırıları yapmak için, Kali Linux gibi özel işletim sistemleri ve araçlar kullanılabilir. Bu öğrenme biriminde, bu araçların nasıl kullanıldığı anlatılacaktır.
Bant Genişliğini ve Belirli Bir Hostu Düşürmek İçin Kullanılan Atak Araçları
Bant genişliğini ve belirli bir hostu düşürmek için kullanılan atak araçları, ağ kaynaklarını kötüye kullanarak hedefin normal işlevini bozmak için tasarlanmıştır. Bu araçlar, genellikle DoS (Denial of Service) veya DDoS (Distributed Denial of Service) olarak adlandırılır. Bu atakların amacı, hedefin bant genişliğini, işlemci gücünü, bellek kapasitesini veya diğer kaynaklarını tüketerek, hizmeti yavaşlatmak, kesintiye uğratmak veya tamamen durdurmak, böylece hedefe erişmek isteyen diğer kullanıcıları engellemektir.
DoS atakları, tek bir kaynaktan hedefe çok sayıda istek veya paket göndererek gerçekleştirilir. Bu istek veya paketler, hedefin kaynaklarını aşırı yükleyerek, hedefin diğer isteklere yanıt vermesini engeller. Örneğin, bir web sunucusuna DoS atak yapmak için, atak yapan kişi, sunucunun kapasitesini aşan çok sayıda HTTP isteği gönderebilir. Bu durumda, sunucu, istekleri işlemek için yeterli kaynağa sahip olmadığı için, normal kullanıcıların isteklerine yanıt veremez veya çok yavaş yanıt verir.
DDoS atakları, DoS ataklarının daha gelişmiş bir biçimidir. Bu ataklarda, atak yapan kişi, birden fazla kaynaktan hedefe eşzamanlı olarak çok sayıda istek veya paket gönderir. Bu kaynaklar, genellikle atak yapan kişi tarafından ele geçirilmiş veya kiralanmış bilgisayarlar, sunucular, akıllı telefonlar veya IoT cihazlarıdır. Bu kaynaklar, bir botnet adı verilen bir ağ oluşturur ve atak yapan kişinin komutlarına göre hareket eder. DDoS atakları, hedefin bant genişliğini daha hızlı ve etkili bir şekilde tüketir ve hedefin atak kaynaklarını tespit etmesini veya engellemesini zorlaştırır.
Bir ağda bilginin karşıya sorunsuz bir şekilde ulaştığını gösteren unsurlar, ağ güvenliğinin temel bileşenleridir. Bu unsurlar şunlardır:
- Gizlilik (Confidentiality): Bu unsur, bilginin sadece yetkili kişiler tarafından görüntülenebildiği anlamına gelir. Bilginin gizliliği, şifreleme, kimlik doğrulama, erişim kontrolü gibi yöntemlerle sağlanabilir. Örneğin, bir web sitesine giriş yaparken, kullanıcı adı ve şifrenin şifrelenerek gönderilmesi, bilginin gizliliğini korur.
- Bütünlük (Integrity): Bu unsur, bilginin değiştirilmediği veya bozulmadığı anlamına gelir. Bilginin bütünlüğü, imzalama, doğrulama, denetim günlüğü gibi yöntemlerle sağlanabilir. Örneğin, bir dosyayı indirirken, dosyanın imzasını kontrol etmek, dosyanın bütünlüğünü doğrular.
- Erişilebilirlik (Availability): Bu unsur, bilginin ihtiyaç duyulduğunda erişilebilir olduğu anlamına gelir. Bilginin erişilebilirliği, yedekleme, yük dengeleme, kurtarma planı gibi yöntemlerle sağlanabilir. Örneğin, bir web sitesinin yedek sunucuları olması, web sitesinin erişilebilirliğini artırır.
DoS ve DDoS atakları, bu unsurlardan erişilebilirlik kısmını devre dışı bırakarak bilginin bir uçtan diğer uca ulaşmasını engellemek için kullanılır. Bu ataklar, hedefin kaynaklarını tükettiği için, hedef, yetkili kullanıcılara hizmet veremez veya çok yavaş verir. Bu durum, hedefin işlevselliğini, güvenilirliğini ve itibarını olumsuz etkiler. Bu nedenle, DoS ve DDoS atakları, ağ güvenliğinin ciddi bir tehdididir ve önlemek için çeşitli yöntemler geliştirilmiştir.
Bant Genişliğini ve Belirli Bir Hostu Düşürmek İçin Kullanılan Atak Araçları
Bant genişliğini ve belirli bir hostu düşürmek için kullanılan atak araçları, ağdaki bir veya daha fazla kaynaktan hedefe yoğun bir şekilde veri göndererek hedefin ağ bağlantısını kesmeye veya yavaşlatmaya çalışan araçlardır. Bu araçlar, DoS (Denial of Service) veya DDoS (Distributed Denial of Service) atakları olarak adlandırılır. DoS atakları, tek bir kaynaktan gelirken, DDoS atakları, birden çok kaynaktan gelir ve daha güçlü ve zor tespit edilebilir olur.
Bir ağda bilginin karşıya sorunsuz bir şekilde ulaştığını gösteren unsurlar, ağ güvenliğinin temel bileşenleridir. Bu unsurlar şunlardır:
- Gizlilik (Confidentiality): Bilginin sadece yetkili kişiler tarafından görülebilmesi ve izinsiz erişimden korunmasıdır. Şifreleme, kimlik doğrulama ve erişim kontrolü gibi yöntemlerle sağlanabilir.
- Bütünlük (Integrity): Bilginin değiştirilmeden, bozulmadan veya kaybolmadan iletilmesi ve saklanmasıdır. İmzalama, doğrulama ve yedekleme gibi yöntemlerle sağlanabilir.
- Erişilebilirlik (Availability): Bilginin ihtiyaç duyulduğunda kolayca erişilebilir ve kullanılabilir olmasıdır. Yük dengeleme, yedeklilik ve kurtarma gibi yöntemlerle sağlanabilir.
DoS ve DDoS atakları, bu unsurlardan erişilebilirlik kısmını devre dışı bırakarak bilginin bir uçtan diğer uca ulaşmasını engellemek için kullanılır. Bu ataklar, hedefin ağ kaynaklarını tüketerek veya aşırı yükleyerek hedefin normal işlevini bozar. Bu da, hedefin hizmet vermeyi durdurmasına veya yavaşlamasına neden olur. Bu ataklar, ağ güvenliğini tehdit eden ciddi bir sorundur ve önlemek için çeşitli yöntemler geliştirilmiştir.
LOIC (Low Orbit Ion Cannon) Aracı
LOIC (Low Orbit Ion Cannon) Aracı, bir web sitesi veya sunucuyu hizmet dışı bırakmak için çok sayıda veri paketi gönderen bir programdır. Bu program, C# adlı bir programlama diliyle yazılmıştır ve hem Windows hem de Linux işletim sistemlerinde çalışabilir. LOIC, DoS (Hizmeti Engelleme) ve DDoS (Dağıtık Hizmeti Engelleme) saldırıları yapmak için en çok kullanılan araçlardan biridir. Bu saldırılar, bir web sitesinin veya sunucunun kaynaklarını tüketerek normal kullanıcıların erişimini engeller.
LOIC aracını Linux'ta kullanmak için, mono adlı bir yardımcı program yüklemeniz gerekir. Mono, farklı işletim sistemlerinde çalışabilen programlar oluşturmak için kullanılan bir araçtır. Mono, .Net Framework adlı bir programlama platformunun Linux'ta çalışmasını sağlar.
Mono programını kurmak için, aşağıdaki üç komutu sırayla terminalde çalıştırmanız gerekir:
sudo apt-get install mono-devel
sudo apt-get install mono-complete
sudo apt-get install libmono-system-windows-forms4.0-cil
Mono programını kurduktan sonra, LOIC aracını çalıştırmak için, aşağıdaki komutu terminalde çalıştırmanız gerekir:
mono LOIC.exe
LOIC aracının arayüzünde, beş ana bölüm vardır:
1. Bu bölümde, saldırı yapmak istediğiniz web sitesinin adresini veya IP numarasını yazmanız gerekir.
2. Bu bölümde, saldırıyı başlatmak veya durdurmak için butonlar vardır. "IMMA CHARGIN MAH LAZER" butonuna tıkladığınızda, saldırı başlar. "Stop Floading" butonuna tıkladığınızda, saldırı durur.
3. Bu bölümde, saldırı hedefiyle ilgili bilgiler gösterilir. Örneğin, hedefin IP numarası, port numarası, durumu, vb.
4. Bu bölümde, saldırı parametrelerini ayarlayabilirsiniz. Örneğin, saldırı tipini (TCP, UDP, HTTP), port numarasını, saldırı hızını, vb. değiştirebilirsiniz.
5. Bu bölümde, saldırı sırasında gerçekleşen olaylar hakkında detaylı bilgiler gösterilir. Örneğin, saldırıda kullanılan bağlantı sayısı, bağlantı durumu, istek durumu, indirme durumu, vb.
LOIC aracı, tek başına çok etkili bir saldırı aracı değildir. Çünkü bir web sitesi veya sunucu, tek bir bilgisayardan gelen saldırıyı kolayca savuşturabilir. Ancak, binlerce bilgisayarın aynı anda saldırıya katılması durumunda, saldırı çok daha güçlü olur. Bu yüzden, LOIC aracı, IRC (Internet Relay Chat) adlı bir sohbet protokolü üzerinden diğer bilgisayarlarla haberleşebilir. Böylece, bir saldırı lideri, diğer bilgisayarları yöneterek, ortak bir hedefe saldırabilir. Bu şekilde oluşturulan gönüllü botnet, DDoS (Dağıtık Hizmeti Engelleme) saldırısı yapabilir. Bu saldırılar, bir web sitesinin veya sunucunun tamamen çökmesine neden olabilir.
LOIC aracı, yasal olmayan bir araçtır ve bir web sitesine veya sunucuya izinsiz saldırı yapmak suçtur. Bu yüzden, LOIC aracını kullanmak, ciddi yaptırımlara neden olabilir. LOIC aracı, sadece sızma testi (penetration test) gibi yasal amaçlarla kullanılmalıdır. Sızma testi, bir web sitesinin veya sunucunun güvenliğini test etmek için yapılan bir işlemdir. Sızma testi, bir web sitesinin veya sunucunun DoS veya DDoS saldırılarına karşı ne kadar dayanıklı olduğunu ve nasıl tepki verdiğini ölçmek için kullanılabilir. Ancak, sızma testi yapmak için, web sitesi veya sunucu sahibinin izni olması gerekir.
OWASP SwitchBlade
OWASP SwitchBlade, bir web sitesinin hizmetini engellemek için kullanılan bir araçtır. Bu araç, aslında web sitelerinin bu tür saldırılara ne kadar dayanıklı olduğunu test etmek için geliştirilmiştir. Ancak, kötü niyetli kişiler bu aracı web sitelerine zarar vermek için de kullanabilirler. OWASP SwitchBlade, üç farklı atak yöntemi sunar:
- Slow Headers: Bu yöntemde, araç web sitesine çok yavaş bir şekilde HTTP başlıkları gönderir. Bu başlıklar, web sitesinin isteği işlemek için beklemesine neden olur. Araç, web sitesinin bağlantıyı kapatmasını önlemek için arada sırada yeni başlıklar gönderir. Böylece, web sitesinin kaynakları tükenir ve başka isteklere cevap veremez.
- Slow POST: Bu yöntemde, araç web sitesinin form alanlarına çok yavaş bir şekilde veri gönderir. Bu veriler, web sitesinin formu tamamlamak için beklemesine neden olur. Araç, web sitesinin daha fazla veri beklediğini düşünmesini sağlamak için veriyi küçük parçalar halinde gönderir. Böylece, web sitesinin kaynakları tükenir ve başka isteklere cevap veremez.
- SSL Renegotiation: Bu yöntemde, araç web sitesiyle sürekli yeni SSL anlaşmaları yapar. Bu anlaşmalar, web sitesinin güvenli bir bağlantı kurmak için çok fazla işlem gücü harcamasına neden olur. Araç, web sitesinin CPU'sunu tamamen meşgul eder ve başka işlemleri yapmasını engeller.
OWASP SwitchBlade, bu atak yöntemlerini uygulamak için bazı parametreler alır. Bu parametreler şunlardır:
- Bağlantılar: Araç, web sitesine kaç tane bağlantı açacağını belirler. Daha fazla bağlantı, web sitesinin daha fazla kaynak harcamasına neden olur.
- Bağlantı Hızı: Araç, web sitesine saniyede kaç tane bağlantı açacağını belirler. Daha hızlı bağlantı, web sitesinin daha fazla işlem yapmasına neden olur.
- Zaman Aşımı: Araç, web sitesine gönderdiği verilerin ne kadar süre bekleyeceğini belirler. Daha uzun zaman aşımı, web sitesinin daha fazla bekleme yapmasına neden olur.
OWASP SwitchBlade, bu parametreleri girdikten sonra, "Run attack" butonuyla atak başlatılabilir. "Quit" butonuyla da araç kapatılabilir.
HULK Aracı
HULK aracı, web sunucularına benzersiz ve gizlenmiş trafik hacimleri oluşturarak hizmet reddi saldırısı (DDoS) yapmak için araştırma amaçlı yazılmış bir araçtır. Bu aracın kullanım amacı, kötü niyetli istekler göndererek çevrimiçi hizmetleri istenen kullanıcılar için engellemektir. Bu araç Python dilinde geliştirilmiştir. DDoS saldırıları için başka benzer araçlar da mevcuttur. Bu araçlardan biri de GoldenEye DDoS aracıdır. HULK'ın oluşturduğu trafik, önbellekleme motorlarını da atlayarak sunucunun doğrudan kaynak havuzuna ulaşır.
Bu araç ayrıca güvenlik duvarı gibi ağ cihazlarını test etmek için de kullanılır. Kurulum için GitHub bağlantısını kullanarak Hulk aracını indirebilir ve ZIP olarak indirebilirsiniz. İndirme Bağlantısı: https://github.com/grafov/hulk/archive/master.zip Zip dosyasını çıkarmak için şu komutu kullanın: #unzip hulk-master.zip. Çıkarılan klasörde sağ tıklayın ve Terminal'de Aç'ı tıklayın. Saldırı Örnekleri için şu komutu kullanın: #sudo python hulk.py <url adresi>. Paketleri analiz etmek için Wireshark aracını kullanabilirsiniz.
HULK aracı, belirli bir hostu veya bir web sitesini hedef alabilir. Bir host, bir ağa bağlı olan herhangi bir cihazdır. Bir web sitesi, bir sunucuda barındırılan ve bir web tarayıcısı aracılığıyla erişilebilen bir dizi web sayfasıdır. HULK aracı, bir hostun veya bir web sitesinin stres testini ölçmek için kullanılabilir. Stres testi, bir sistemin yüksek talep altında nasıl performans gösterdiğini belirlemek için yapılan bir testtir. HULK aracı, sunucunun kaynaklarını tüketmek ve hizmeti aksatmak için çok sayıda sahte istek gönderir.
HULK aracı, Python dilinde yazıldığı için tüm işletim sistemlerinde çalışabilir.
HULK aracı, yönlendirici, anahtar, güvenlik duvarı gibi ağ cihazlarını test etmek için kullanılabildiği gibi sunucuların IP havuzlarına direkt atak yapabilir. Bu nedenle çok tehlikeli bir araçtır. Bir yönlendirici, bir ağdan diğerine veri paketlerini ileten bir cihazdır. Bir anahtar, bir ağ içindeki cihazları birbirine bağlayan bir cihazdır. Bir güvenlik duvarı, bir ağın güvenliğini sağlamak için gelen ve giden trafiği filtreleyen bir yazılım veya donanımdır. Bir IP havuzu, bir sunucunun kullanabileceği IP adreslerinin bir kümesidir.
HULK aracı, GitHub depoları klonlanarak indirilir. HULK aracı, Kali Linux işletim sisteminde git clone komutu kullanılarak Home dizinine indirilir. Kali Linux, güvenlik testi ve siber güvenlik için tasarlanmış bir Linux dağıtımıdır. Kali Linux, birçok güvenlik aracı içerir. Home dizini, kullanıcının kişisel dosyalarını ve ayarlarını sakladığı dizindir. Home dizinine gitmek için cd ~ komutu kullanılır.
1. UYGULAMA
HULK aracını kullanmak için aşağıdaki adımları izleyin.
1. Adım: HULK aracını indirmek için terminalde wget https://github.com/grafov/hulk/archive/master.zip komutunu çalıştırın. İndirilen dosya, home dizininize kaydedilecektir.
2. Adım: Home dizininde, indirilen dosyayı sağ tıklayın ve Extract Here seçeneğini seçin. Bu işlem, hulk-master adında bir klasör oluşturacaktır. Bu klasörü açın ve boş bir alanda sağ tıklayarak Open in Terminal seçeneğini seçin. Bu şekilde, terminalde hulk-master klasörüne girmiş olacaksınız.
3. Adım: HULK aracını çalıştırmak için terminalde python hulk.py hedef_ip_adresi komutunu yazın. Burada, hedef_ip_adresi, saldırı yapmak istediğiniz web sitesinin IP adresidir. IP adresini bulmak için, terminalde ping web_sitesi_adresi komutunu kullanabilirsiniz. Örneğin, ping http://www.site.com yazarsanız, size site.com'un IP adresini verecektir. Bu IP adresini, hulk.py komutunda kullanabilirsiniz. Komutu çalıştırdığınızda, HULK aracı saldırıya başlayacaktır ve terminalde saldırı durumunu gösterecektir.
HULK aracı çalıştığı sürece, bilgisayarınızın işlemci, RAM ve Wi-Fi kaynaklarını yoğun bir şekilde kullanacaktır. Bu, bilgisayarınızın yavaşlamasına veya ısınmasına neden olabilir. HULK aracını durdurmak için, terminalde Ctrl+C tuşlarına basabilirsiniz. Bu, saldırıyı sonlandıracak ve kaynak kullanımını düşürecektir.
HULK aracının performansını artırmak veya azaltmak için, iki parametre kullanabilirsiniz: HULKMAXPROCS ve GOMAXPROCS. Bu parametreler, hulk.py komutundan sonra eşittir işareti ile belirtilebilir. Örneğin, python hulk.py hedef_ip_adresi HULKMAXPROCS=2048 GOMAXPROCS=4 şeklinde yazabilirsiniz.
HULKMAXPROCS parametresi, saldırı için kullanılacak bağlantı sayısını belirler. Bağlantı sayısı ne kadar yüksek olursa, saldırı o kadar güçlü olur. Ancak, bağlantı sayısı arttıkça, bilgisayarınızın kaynak kullanımı da artar. Bu parametrenin varsayılan değeri 1024'tür. Bu değeri, bilgisayarınızın kapasitesine göre artırabilir veya azaltabilirsiniz.
GOMAXPROCS parametresi, saldırı için kullanılacak işlemci sayısını belirler. İşlemci sayısı ne kadar yüksek olursa, saldırı o kadar hızlı olur. Ancak, işlemci sayısı arttıkça, bilgisayarınızın ısınması da artar. Bu parametrenin varsayılan değeri, bilgisayarınızın işlemci sayısına eşittir. Bu değeri, bilgisayarınızın ısınmasını önlemek için azaltabilirsiniz.
SYN Atak Yöntemi Kullanan Araçlar
SYN Atak Yöntemi kullanan araçlar, genellikle SYN paketlerini rastgele IP adresleriyle oluşturarak sunucunun gerçek kaynakları tespit etmesini zorlaştırır. Bu araçlar, saldırganın hedef sunucunun IP adresini, portunu, paket sayısını ve paket boyutunu belirlemesine olanak sağlar. Bazı popüler SYN Atak Yöntemi kullanan araçlar şunlardır:
- Hping: Bir komut satırı aracıdır. TCP/IP paketleri oluşturmak, göndermek, analiz etmek ve manipüle etmek için kullanılabilir. SYN Atak Yöntemi yapmak için hping -S -p 80 --flood --rand-source <target_ip> komutu kullanılabilir.
- Nmap: Bir ağ keşif ve güvenlik tarama aracıdır. SYN Atak Yöntemi yapmak için nmap -S <source_ip> -p 80 --max-rate 10000 --data-length 1000 <target_ip> komutu kullanılabilir.
- Scapy: Bir Python kütüphanesidir. Ağ protokollerini oluşturmak, göndermek, yakalamak ve analiz etmek için kullanılabilir. SYN Atak Yöntemi yapmak için sr(IP(src=RandIP(),dst=<target_ip>)/TCP(sport=RandShort(),dport=80,flags="S"),inter=0.001) komutu kullanılabilir.
SYN Taşması (SYN Flood)
SYN Taşması (SYN Flood), bir sunucuyu hizmet veremez hale getirmek için kullanılan bir siber saldırı türüdür. Bu saldırıda, saldırgan sunucuya çok sayıda bağlantı kurma isteği (SYN) gönderir, ancak bağlantıyı tamamlamaz. Sunucu ise her bir isteği cevaplamak ve bağlantıyı beklemek zorunda kalır. Bu da sunucunun kaynaklarını tüketir ve meşru trafiğe yanıt vermesini engeller.
Bu saldırının nasıl çalıştığına bakmak için, önce TCP protokolünün nasıl bir bağlantı kurduğunu anlamak gerekir. TCP protokolü, bir istemci ve bir sunucu arasında güvenli bir iletişim sağlamak için Üç Yollu El Sıkışma (Three-Way Handshake) adı verilen bir yöntem kullanır. Bu yöntem şöyle işler:
- İstemci, sunucuya bir SYN paketi göndererek bağlantı kurmak istediğini bildirir. SYN, synchronize (eşitleme) anlamına gelir.
- Sunucu, isteği aldığını ve kabul ettiğini belirten bir SYN/ACK paketi göndererek istemciye cevap verir. SYN/ACK, synchronize/acknowledge (eşitleme/onaylama) anlamına gelir.
- İstemci, sunucudan gelen paketi aldığını ve bağlantıyı tamamlamak istediğini gösteren bir ACK paketi gönderir. ACK, acknowledge (onaylama) anlamına gelir.
Bu üç adım tamamlandığında, istemci ve sunucu arasında bir TCP bağlantısı kurulmuş olur ve veri alışverişi yapabilirler.
SYN Taşması saldırısında ise, saldırgan bu üç adımın sadece ilkini gerçekleştirir. Yani, sunucuya bir SYN paketi gönderir, ancak sunucudan gelen SYN/ACK paketine karşılık vermez. Bunun yerine, sürekli olarak yeni SYN paketleri göndermeye devam eder. Bu paketlerin kaynağı sahte IP adresleri olabilir, böylece saldırganın kimliği gizlenir.
Sunucu ise, her bir SYN paketine karşılık bir SYN/ACK paketi gönderir ve ACK paketini bekler. Bu bekleme süresi boyunca, sunucu bağlantıyı yarı açık (half-open) olarak tutar ve bir port numarası ayırır. Bu port numarası, bağlantının tamamlanması için kullanılacaktır. Ancak, saldırgan ACK paketini hiç göndermediği için, bağlantı asla tamamlanmaz. Sunucu, belirli bir zaman aşımı süresi (timeout) kadar portu açık tutar. Bu süre genellikle 120 saniyedir.
Saldırgan, sunucunun tüm portlarını doldurana kadar bu işlemi tekrarlar. Böylece, sunucu yeni bağlantı isteklerine cevap veremez hale gelir. Meşru istemciler, sunucuya bağlanmak istediklerinde, sunucu tarafından reddedilirler. Bu da, sunucunun hizmet vermesini engeller.
SYN Taşması saldırısını gerçekleştirmek için kullanılan farklı araçlar vardır. Bunlardan biri de “hping” komutudur. Bu komut, TCP/IP protokolü üzerinde paket oluşturmak ve göndermek için kullanılan bir araçtır. Bu araç ile saldırgan, sunucuya SYN paketleri göndermek için istediği parametreleri belirleyebilir. Örneğin, paketlerin kaynak IP adresini, hedef IP adresini, port numarasını, paket sayısını, paket aralığını ve diğer seçenekleri ayarlayabilir. Bu şekilde, saldırgan sunucuyu SYN paketleriyle doldurabilir ve hizmet dışı bırakabilir.
SYN Taşması saldırısını önlemek veya azaltmak için kullanılan bazı yöntemler şunlardır:
- Filtreleme: Sunucu, gelen SYN paketlerinin kaynak IP adreslerini kontrol ederek, sahte veya şüpheli olanları reddedebilir. Bu şekilde, saldırganın sunucuya ulaşmasını engelleyebilir.
- Artırma: Sunucu, yarı açık bağlantılar için ayırdığı port sayısını artırabilir. Bu şekilde, saldırganın tüm portları doldurmasını zorlaştırabilir.
- Azaltma: Sunucu, yarı açık bağlantılar için beklediği zaman aşımı süresini azaltabilir. Bu şekilde, saldırganın portları uzun süre meşgul etmesini önleyebilir.
- Geri dönüşüm: Sunucu, en eski yarı açık bağlantıları kapatıp, yeni bağlantı isteklerine yer açabilir. Bu şekilde, saldırganın portları sürekli olarak işgal etmesini engelleyebilir.
- TCP SYN Önbelleği: Sunucu, yarı açık bağlantıları bir önbellekte (cache) tutabilir. Bu şekilde, saldırganın sunucunun kaynaklarını tüketmesini zorlaştırabilir.
- SYN Kurabiyeleri: Sunucu, gelen SYN paketlerine cevap olarak özel olarak oluşturulmuş SYN/ACK paketleri gönderir. Bu paketler, bağlantıyı tamamlamak için gerekli bilgileri içerir. Bu şekilde, sunucu yarı açık bağlantılar için port ayırmaz ve kaynak tüketmez.
- Hibrit Yaklaşımlar: Sunucu, yukarıda sayılan yöntemlerin bir kombinasyonunu kullanabilir. Bu şekilde, saldırganın farklı taktiklere karşı savunmasız olmasını önleyebilir.
- Güvenlik Duvarları ve Vekiller: Sunucu, gelen trafiği kontrol etmek ve filtrelemek için güvenlik duvarları (firewalls) veya vekil sunucular (proxies) kullanabilir. Bu şekilde, saldırganın sunucuya ulaşmasını engelleyebilir.
Hping3 Komutu
Hping3 komutu, ağ testi ve güvenliği için kullanılan bir araçtır. Ping komutu gibi, ağdaki diğer cihazlara paket gönderip alabilir, ancak ping komutundan daha fazla seçenek sunar. Örneğin, hangi protokolü (TCP, UDP, ICMP, RAW-IP) kullanacağınızı, hangi bayrakları (SYN, ACK, FIN, RST, PSH, URG) ayarlayacağınızı, hangi portu hedefleyeceğinizi, hangi verileri göndereceğinizi ve daha fazlasını belirleyebilirsiniz. Bu sayede, ağın performansını, güvenliğini, güvenilirliğini ve zayıf noktalarını test edebilirsiniz. Hping3, hping komutunun geliştirilmiş bir sürümüdür ve Kali Linux gibi bazı Linux dağıtımlarında varsayılan olarak yüklü gelir.
Hping3 komutunun yüklü olup olmadığını kontrol etmek için, komut satırında hping3 -v yazabilirsiniz. Bu komut, hping3'ün versiyonunu ve lisansını gösterir. Eğer hping3 yüklü değilse, sudo apt-get install hping3 komutu ile yükleyebilirsiniz. Bu komut, hping3 paketini ve bağımlılıklarını indirir ve kurar.
Hping3 komutunun nasıl kullanılacağını öğrenmek için, komut satırında hping3 -h yazabilirsiniz. Bu komut, hping3'ün tüm parametrelerini ve seçeneklerini listeler. Her parametre, hping3'ün davranışını değiştirmek için kullanılabilir. Örneğin, -p parametresi ile hedef portu, -s parametresi ile kaynak portu, -S parametresi ile SYN bayrağını, -c parametresi ile gönderilecek paket sayısını belirleyebilirsiniz.
2. UYGULAMA
Hping3 Komutunun Kullanımı
hping3 komutunu kullanmak için aşağıdaki adımları izleyin.
1. Adım: Komut satırında, hping3 komutunu yazın. Komutun başına sudo ekleyin. Bu, komutu yönetici olarak çalıştırmanızı sağlar. Komutun sonuna -S ekleyin. Bu, gönderilecek paketlerin SYN bayrağı taşıyacağını belirtir. Komutun sonuna --flood ekleyin. Bu, paketlerin hızlı bir şekilde ve cevap beklemeden gönderilmesini sağlar. Komutun sonuna -p ekleyin ve ardından bir port numarası yazın. Bu, paketlerin hangi port üzerinden gönderileceğini belirtir. Port, bir bilgisayarda ağ iletişimi için kullanılan bir arayüzdür. Port numarası, portu tanımlayan bir sayıdır. Örneğin, web sitelerine erişmek için 80 numaralı port kullanılır. Komutun sonuna atak yapılacak bilgisayarın IP adresini yazın. IP adresi, bir bilgisayarın ağ üzerindeki kimliğidir. Örneğin, 192.168.1.1 gibi. Komutun tamamı şöyle olmalıdır:
sudo hping3 -S --flood -p 80 192.168.1.1
2. Adım: Komutu çalıştırın. Komut çalıştırıldığında, hping3 komutu, atak yapılacak bilgisayara sürekli olarak SYN paketleri göndermeye başlayacaktır. Bu paketler, hedef bilgisayarın portlarını dolduracak ve onun normal işlevlerini yapmasını engelleyecektir. Hedef bilgisayarın işlemci performansı, paketleri işlemek için çok fazla kaynak harcadığı için çok yükselecektir. Bu durum, hedef bilgisayarın ağ hizmetlerinin yavaşlamasına veya durmasına neden olacaktır.
Hedef bilgisayarda neler olup bittiğini görmek için Wireshark programını kullanabilirsiniz. Wireshark, ağ üzerindeki paketleri yakalayan ve analiz eden bir programdır. Wireshark programını açın ve ağ kartınızı seçin. Bu, programın ağ üzerindeki trafiği dinlemesini sağlar. Programda, kaynak IP adresi olarak atak yapan bilgisayarın, hedef IP adresi olarak da atak yapılan bilgisayarın IP adresini görebilirsiniz. Paketlerin içindeki bayraklara bakın. SYN bayrağının aktif olduğunu göreceksiniz. Bu, paketlerin bağlantı kurma isteği taşıdığını gösterir. Hedef bilgisayar, bu paketlere SYN-ACK bayrağı taşıyan paketlerle cevap vermeye çalışacaktır. Ancak, kaynak IP adresleri sahte olduğu için, bu cevaplar boşa gidecektir. Bu yüzden, hedef bilgisayar bağlantı kuramayacak ve kaynaklarını boşa harcayacaktır.
DDoS ATAĞI (DAĞITILMIŞ HİZMET REDDİ ATAĞI)
DDoS atağı, bir hedef sistemin normal işlevini engellemek için çok sayıda bilgisayarın aynı anda saldırmasıdır. Bu saldırı, hedef sisteme çok fazla istek göndererek veya onun kaynaklarını tüketerek yapılır. DDoS atağı, DoS atağından farklı olarak, saldıran bilgisayarların tek bir kaynaktan değil, dağıtılmış bir ağdan gelmesidir. Bu yüzden DDoS atağı, DoS atağından daha güçlü ve zor savunulabilirdir.
DDoS atağı yapmak için iki yaygın yöntem vardır. Birincisi, saldırganların birlikte hareket ederek, önceden belirlenmiş bir zamanda, hedef sisteme saldırı araçlarıyla saldırmasıdır. Bu yöntem, saldırganların birbirleriyle iletişim kurması ve koordine olması gerektiği için pek sık kullanılmaz. İkincisi, saldırganların öncelikle, internete bağlı olan ve güvenlik açığı bulunan bilgisayarlara zararlı yazılım bulaştırmasıdır. Bu zararlı yazılım, saldırganın bu bilgisayarları uzaktan kontrol etmesini sağlar. Bu bilgisayarlara zombi bilgisayar denir. Saldırgan, zombi bilgisayarları bir araya getirerek, bir botnet oluşturur. Botnet, saldırganın emirlerine göre hareket eden, zombi bilgisayarlardan oluşan bir ordudur. Saldırgan, botneti kullanarak, istediği zaman, istediği sisteme saldırabilir. Bu yöntem, saldırganın kimliğini gizlemesini ve saldırıyı arka planda yürütmesini sağlar. Bu yöntem, Mass-Intrusion (Kitlesel Saldırı) fazı olarak da bilinir. Mass-Intrusion fazı, DDoS ataklarının ilk adımıdır. Daha sonra, saldırgan, botneti kullanarak, hedef sistem üzerinde DDoS atağı gerçekleştirir.
DDoS Atak Araçları
DDoS atak araçları, bir sunucuyu veya bir ağ kaynağını hizmet dışı bırakmak için çok sayıda istek veya paket gönderen programlardır. Bu araçlar, saldırıyı gerçekleştiren bilgisayarlar arasında dağıtılmış bir ağ (botnet) kullanabilir veya tek bir makineden çalışabilir. DDoS atak araçları, saldırılan sunucunun işlemci, bellek, ağ bant genişliği veya bağlantı sınırını aşarak normal kullanıcıların erişimini engellemeyi amaçlar.
Slowloris Aracı
Slowloris aracı, bir web sunucusunu devre dışı bırakmak için tasarlanmış bir siber saldırı aracıdır. Adını, çok yavaş hareket eden ve tehdit altında kaldığında hareketsiz kalan bir hayvan olan yavaş loris'ten alır. Bu araç, Python programlama dilinde yazılmıştır ve herkesin erişebileceği bir platform olan “github”da ücretsiz olarak paylaşılmıştır. Slowloris aracı, web sunucusu ile saldırgan arasında çok sayıda HTTP bağlantısı kurarak çalışır. HTTP, web sayfalarını görüntülemek için kullanılan bir iletişim protokolüdür. Normalde, bir web sayfası istendiğinde, sunucu isteği alır ve yanıt olarak web sayfasını gönderir. Ancak Slowloris aracı, isteği tamamlamak yerine parça parça gönderir. Bu şekilde, sunucu isteğin bitmesini beklerken bağlantıyı açık tutar. Slowloris aracı, bu bağlantıları sürekli olarak sürdürür ve yeni bağlantılar açar. Böylece, sunucunun bağlantı kurabileceği port sayısını azaltır. Port, bir sunucunun ağ üzerinden iletişim kurduğu bir kanaldır. Sunucunun tüm portları dolu olduğunda, normal kullanıcılar web sayfasına erişemez. Bu, sunucunun hizmet dışı kalmasına neden olur. Slowloris aracı, düşük ve yavaş atak aracı olarak bilinen en tehlikeli tekniklerden biridir. Çünkü, çok az ağ kaynağı kullanır ve saldırıyı gizler. Saldırı tespit sistemleri (IDS), eksik paketler gönderen Slowloris aracını fark edemez. Ayrıca, Slowloris aracı, sunucunun saldırıyla ilgili günlük (log) kaydı oluşturmasını engelleyebilir. Bu da, siber güvenlik analistlerinin saldırıyı anlamasını ve önlemesini zorlaştırır. Slowloris aracını kullanmak için, öncelikle “github”dan indirmek gerekir. Bunun için, $git clone komutu kullanılır. Git, bir kod paylaşım ve yönetim aracıdır. Bu komut, Slowloris aracının kodlarını bilgisayara kopyalar. İndirilen araç, bir klasör içinde bulunur. Bu aracı çalıştırmak için, herhangi bir kurulum yapmaya gerek yoktur. Ancak, aracın davranışını değiştirmek için, bir konfigürasyon dosyası vardır. Bu dosya, aracın kullanacağı port sayısı, istek aralığı, kullanıcı kimliği gibi ayarları içerir. Slowloris aracını çalıştırmak için, klasörün içinde bir terminal açmak gerekir. Terminal, bir komut satırı arayüzüdür. Terminali açmak için, klasörü sağ tıklayıp Open in Terminal seçeneğini seçmek yeterlidir. Terminal açıldıktan sonra, python3 slowloris.py hedef_adres komutu ile aracı başlatmak mümkündür. Hedef_adres, saldırı yapmak istediğiniz web sunucusunun adresidir. Bu komut, aracı çalıştırır ve saldırıyı başlatır. Saldırı devam ederken, terminalde aracın durumu hakkında bilgiler görüntülenir.
3. UYGULAMA
Slowloris Aracının Kullanımı
Aşağıdaki işlem adımlarını izleyerek slowloris aracını kullanarak bir web sunucusuna saldırı yapın.
1. Adım: Apache web sunucusunu aktifleştirmek için, terminalde sudo service apache2 start komutunu çalıştırın. Bu komut, apache2 servisini başlatır ve web sunucusunu çalışır hale getirir. Web sunucusunun çalışıp çalışmadığını kontrol etmek için, tarayıcınızda http://localhost adresine gidin. Eğer web sunucusu çalışıyorsa, bir web sayfası göreceksiniz.
2. Adım: Slowloris aracının olduğu dizine gitmek için, terminalde cd komutunu kullanın. Örneğin, eğer slowloris aracı ~/Downloads/slowloris dizininde ise, terminalde cd ~/Downloads/slowloris komutunu yazın. Bu komut, sizi slowloris aracının bulunduğu dizine taşır.
3. Adım: Slowloris aracını çalıştırmak için, terminalde python3 slowloris.py komutunu kullanın. Bu komut, slowloris aracını python3 ile çalıştırır. Eğer slowloris aracını çalıştırmak için farenin sağ tuşuna tıklayarak Open in Terminal seçeneğini kullanmak isterseniz, bunu da yapabilirsiniz. Bu durumda, slowloris aracının olduğu dizinde bir terminal penceresi açılacak ve slowloris aracını çalıştırmak için python3 slowloris.py komutunu yazmanız gerekecek.
4. Adım: Slowloris aracı ile bir iç IP’ye saldırmak için, terminalde python3 slowloris.py 192.168.1.22 -s 500 komutunu kullanın. Bu komut, slowloris aracını 192.168.1.22 IP adresine saldırmak için çalıştırır ve 500 soket bağlantısı açar. Soket bağlantısı, web sunucusu ile aranızda kurulan bir iletişim kanalıdır. Slowloris aracı, bu soket bağlantılarını açık tutarak web sunucusunun diğer isteklere cevap vermesini engeller. -s parametresi, soket bağlantı sayısını belirlemek için kullanılır. Varsayılan olarak, slowloris aracı 150 soket bağlantısı açar. Eğer daha fazla veya daha az soket bağlantısı açmak isterseniz, -s parametresini değiştirebilirsiniz. Örneğin, -s 1000 parametresi ile 1000 soket bağlantısı açabilirsiniz.
5. Adım: Apache2 sunucu loglarını incelemek için, terminalde tail -f /var/log/apache2/access.log komutunu kullanın. Bu komut, apache2 sunucusunun aldığı istekleri gösterir. Eğer slowloris aracı ile saldırı başarılı olursa, apache2 sunucusunun çok sayıda istek aldığını ve bunlara cevap veremediğini göreceksiniz. Bu durumda, apache2 sunucusu yavaşlayacak veya çökecektir.
Formları Kullanarak DDoS Atağı
Formları kullanarak DDoS atağı, bir web sitesinin form alanlarına çok sayıda istek göndererek sunucunun kaynaklarını tüketmeyi ve hizmet dışı bırakmayı amaçlayan bir saldırı türüdür. Bu saldırıyı yapmak için kullanılan araçlar şunlardır:
- Form Flooder: Bu araç, bir web sitesinin form alanına otomatik olarak rastgele veriler gönderir. Bu şekilde, sunucunun işlem kapasitesini aşırı yükler ve normal kullanıcıların erişimini engeller.
- Form Hammer: Bu araç, bir web sitesinin form alanına belirli bir süre boyunca sürekli olarak aynı verileri gönderir. Bu şekilde, sunucunun veritabanını bozar ve hatalı sonuçlar üretmesine neden olur.
- Form Spammer: Bu araç, bir web sitesinin form alanına spam içerikli veriler gönderir. Bu şekilde, sunucunun güvenliğini tehlikeye atar ve kötü amaçlı yazılımların yayılmasına zemin hazırlar.
RUDY (RU-Dead-Yet) Aracı
RUDY aracı, web sunucularını yavaşlatmak veya durdurmak için tasarlanmış bir saldırı aracıdır. RUDY, web sunucularının form verilerini almasını ve işlemesini kötüye kullanır. Form verileri, web sayfalarında kullanıcıların bilgi girmesini sağlayan alanlardır. Örneğin, bir e-posta adresi, bir şifre, bir yorum veya bir dosya yükleme.
RUDY aracı, şu şekilde çalışır:
- Hedef web sayfasını tarar ve form alanlarını bulur.
- Form alanlarına rastgele veriler girer ve web sunucusuna gönderir.
- Web sunucusuna, gönderdiği verilerin çok uzun olduğunu söyler. Bu, HTTP başlığı adı verilen bir bilgi parçası ile yapılır.
- Verileri çok küçük parçalara böler ve her bir parçasını 10 saniyelik rastgele aralıklarla gönderir.
- Bu işlemi sürekli tekrarlar ve web sunucusunu meşgul eder.
Web sunucusu, RUDY aracının yavaş bir internet bağlantısına sahip normal bir kullanıcı olduğunu düşünür. Bu yüzden, verileri tamamen alana kadar bağlantıyı açık tutar. Ancak, RUDY aracı verileri bitirmeyecek şekilde tasarlanmıştır. Bu da web sunucusunun diğer kullanıcılara hizmet vermesini engeller.
RUDY aracı, birçok farklı programlama dilinde yazılmıştır. Bu kodlar, saldırı aracını geliştirmek veya özelleştirmek için kullanılabilir. $sudo nmp install -g rudyjs komutu, RUDY aracının JavaScript versiyonunu indirmek ve kurmak için kullanılır. sudo komutu, yönetici yetkileri gerektiren işlemleri yapmak için kullanılır. nmp komutu, Node.js paket yöneticisidir. Node.js, JavaScript kodunu çalıştırmak için kullanılan bir platformdur. install komutu, bir paketi indirmek ve kurmak için kullanılır. -g seçeneği, paketi global olarak kurmak için kullanılır. Bu, paketi her yerden kullanılabilir hale getirir. rudyjs ise, RUDY aracının paket adıdır.
4. UYGULAMA
RUDY Aracının Kullanımı
RUDY aracını kullanmak için aşağıdaki adımları izleyin:
1. Adım: Bir yerel web sunucusu kurun ve çalıştırın. Bu örnekte, Apache2 web sunucusu kullanılmıştır. Apache2 web sunucusunu kurmak için, terminalde sudo apt-get install apache2 komutunu çalıştırın. Web sunucusunu çalıştırmak için, terminalde sudo service apache2 start komutunu çalıştırın.
2. Adım: Yerel web sunucusuna form sayfaları içeren bir web sitesi ekleyin. Bu örnekte, web sitesi /var/www/html dizininde bulunmaktadır. Bu dizine form sayfalarını içeren HTML dosyalarını kopyalayın veya oluşturun.
3. Adım: Terminali kullanarak RUDY aracını çalıştırın. Bu örnekte, RUDY aracı rudy komutu ile çağrılmaktadır. Komutun parametreleri şöyledir:
- -t: Hedef IP adresi veya web sitesi. Bu parametre zorunludur. Bu örnekte, hedef web sitesi http://192.168.1.22/kisibilgileri.html olarak verilmiştir.
- -d: Gecikme. Bu parametre, gönderilen her bayt arasındaki bekleme süresini belirtir. Bu örnekte, gecikme 5 saniye olarak verilmiştir.
- -n: En fazla bağlantı sayısı. Bu parametre, RUDY aracının açabileceği maksimum bağlantı sayısını belirtir. Bu örnekte, bağlantı sayısı 500 olarak verilmiştir.
Komutun tamamı şu şekildedir:
rudy -t "http://192.168.1.22/kisibilgileri.html" -d 5 -n 500
Bu komutu çalıştırdığınızda, RUDY aracı hedef web sitesine form verilerini göndermeye başlayacak ve web sunucusunu yavaşlatacaktır. Saldırıyı durdurmak için, terminalde Ctrl+C tuşlarına basın.
DoS ve DDoS Ataklarını Önlemek İçin Alınacak Tedbirler
DoS ve DDoS atakları, bir sunucunun veya ağın hizmet vermesini engellemek için yapılan siber saldırılardır. Bu saldırılarda, saldırganlar sunucuya veya ağa çok sayıda sahte veya bozuk veri paketi göndererek kaynaklarını tüketir veya iletişim kurallarını bozarlar. Bu şekilde, sunucu veya ağ normal kullanıcıların isteklerine cevap veremez veya çok yavaşlar. Bu saldırılar, sunucunun veya ağın kullandığı protokollerin zayıflıklarından yararlanır. Örneğin, TCP protokolünde, bir bağlantı kurmak için üçlü el sıkışma (three-way handshake) adı verilen bir süreç vardır. Bu süreçte, sunucu ve istemci arasında bir dizi paket alışverişi yapılır. Saldırganlar, bu paketlerden birini eksik veya yanlış göndererek bağlantıyı tamamlamadan sunucunun kaynaklarını meşgul ederler. Bu saldırıya SYN flood denir.
DoS ve DDoS atakları arasındaki fark, saldırganların kullandığı kaynak sayısıdır. DoS saldırısında, saldırgan tek bir kaynaktan saldırır. DDoS saldırısında ise, saldırgan birden çok kaynaktan saldırır. Bu kaynaklar, saldırganın kontrol ettiği zombi bilgisayarlar veya botnetler olabilir. Bu şekilde, saldırgan daha fazla veri gönderebilir ve saldırının tespit edilmesini zorlaştırabilir.
DoS ve DDoS ataklarını önlemek için kesin bir çözüm yoktur, ancak bazı tedbirler alınabilir. Bu tedbirler şunlardır:
- Saldırı önleme sistemleri (IPS): Bu sistemler, ağ trafiğini analiz ederek anormal veya zararlı paketleri tespit eder ve engeller. Örneğin, aynı IP adresinden çok sayıda istek gelen paketleri reddedebilir veya zaman aşımına uğrayan paketleri düşürebilir. Bu sistemler, normal kullanıcıların da etkilenmesine neden olabilir, ancak saldırıyı azaltabilir.
- İnternet servis sağlayıcıları (ISP): Bu servis sağlayıcılar, saldırıyı ağa ulaşmadan önce tespit edip durdurabilir. Örneğin, saldırı kaynaklarını izole edebilir veya saldırıya maruz kalan sunucu veya ağa giden trafiği sınırlayabilir. Bu servis sağlayıcılar, saldırıyı önlemek için gerekli teknoloji ve kaynaklara sahiptir.
- Yönlendirici (Router) konfigürasyonu: Yönlendiriciler, ağ trafiğini yöneten cihazlardır. Yönlendiricilerin konfigürasyonunda, erişim listeleri (Access List) adı verilen kurallar tanımlanabilir. Bu kurallar, hangi IP adreslerinin veya portların ağa girebileceğini veya çıkabileceğini belirler. Bu şekilde, saldırı kaynaklarına erişim engellenebilir veya saldırıya maruz kalan sunucu veya ağa giden trafiği sınırlandırabilir.
- Kara delik (black hole) yönlendirme: Bu yöntemde, ağda anormal bir trafik sezildiğinde, ağ trafiği boş bir IP adresine yönlendirilir. Bu IP adresi, hiçbir sunucu veya ağa bağlı değildir ve gelen paketleri cevapsız bırakır. Bu şekilde, ağ trafiği rahatlatılır, ancak gerçek kullanıcılar da etkilenir.
- DoS savunma sistemleri (DDS): Bu sistemler, IPS'lerin DoS atakları için özelleştirilmiş versiyonlarıdır. Bu sistemler, SYN flood gibi düşük ve yavaş atak sınıfındaki saldırılar için etkili olabilir. Bu sistemler, sunucu ile istemci arasındaki bağlantıyı doğrulayarak sahte paketleri ayırt eder ve engeller.
- Atak araçlarının varsayılan parametrelerine göre güvenlik tedbiri almak: Bu yöntemde, saldırganların kullandığı atak araçlarının varsayılan parametreleri bilinir ve bunlara göre güvenlik kuralları yazılır. Örneğin, saldırganların kullandığı paketlerin boyutu, içeriği, zaman damgası gibi özellikler tespit edilir ve bunlara göre filtreleme yapılır. Bu yöntem, aracın karmaşık kullanımını bilmeyen düşük seviyeli saldırganlardan korunmak için faydalı olabilir.
- Bir IP'den gelen bağlantı isteği sayısını sınırlandırmak ve bağlantı süresini ağın karakteristiğine göre ayarlamak: Bu yöntemde, bir IP adresinden gelen bağlantı isteklerinin sayısı belirli bir limit ile sınırlandırılır. Bu limit, ağın normal çalışma durumuna göre belirlenir. Ayrıca, bağlantı süresi de ağın performansına göre ayarlanır. Bu şekilde, saldırganların bağlantıyı uzun süre meşgul etmesi veya çok sayıda bağlantı kurması engellenir.
- Saldırı tespit sistemleri (IDS): Bu sistemler, ağ trafiğindeki dalgalanmaları tespit eder ve saldırıyı raporlar. Bu sistemler, saldırıyı engellemez, ancak saldırının farkında olmayı ve gerekli önlemleri almayı sağlar.
Dos Atağı
DoS atağı, bir sisteme veya servise çok fazla istek göndererek onu yavaşlatmak veya durdurmak için yapılan bir saldırıdır. Bu saldırı, sistemin normal kullanıcılar tarafından erişilebilir olmasını engeller. Saldırgan, sistemi zarar vermek, dikkat dağıtmak veya başka bir saldırı yapmak için hedef alabilir. Örneğin, saldırgan, sistemin ön tarafına DoS saldırısı yaparken, arka tarafına fidye yazılımı bulaştırabilir. DoS saldırısı, sistemin zayıf noktalarını veya sınırlarını kullanır. Sistem, belirli bir miktardan fazla trafik, veri veya bant genişliği işleyemez. Bu nedenle, saldırgan, sistemin kapasitesini aşan istekler gönderir. Bu da sistemin cevap verememesine veya çökmesine neden olur. Hedef, bu saldırıdan dolayı para, prestij veya güven kaybedebilir. DoS saldırısı, farklı yöntemlerle yapılabilir. En yaygın olanları, sistemin bant genişliğini tüketmek, belirli bir bilgisayar veya servisi hedef almak veya SYN paketleri göndermek şeklindedir. Bu saldırıları yapmak için, Kali Linux gibi özel işletim sistemleri ve araçlar kullanılabilir. Bu öğrenme biriminde, bu araçların nasıl kullanıldığı anlatılacaktır.
Bant Genişliğini ve Belirli Bir Hostu Düşürmek İçin Kullanılan Atak Araçları
Bant genişliğini ve belirli bir hostu düşürmek için kullanılan atak araçları, ağ kaynaklarını kötüye kullanarak hedefin normal işlevini bozmak için tasarlanmıştır. Bu araçlar, genellikle DoS (Denial of Service) veya DDoS (Distributed Denial of Service) olarak adlandırılır. Bu atakların amacı, hedefin bant genişliğini, işlemci gücünü, bellek kapasitesini veya diğer kaynaklarını tüketerek, hizmeti yavaşlatmak, kesintiye uğratmak veya tamamen durdurmak, böylece hedefe erişmek isteyen diğer kullanıcıları engellemektir.
DoS atakları, tek bir kaynaktan hedefe çok sayıda istek veya paket göndererek gerçekleştirilir. Bu istek veya paketler, hedefin kaynaklarını aşırı yükleyerek, hedefin diğer isteklere yanıt vermesini engeller. Örneğin, bir web sunucusuna DoS atak yapmak için, atak yapan kişi, sunucunun kapasitesini aşan çok sayıda HTTP isteği gönderebilir. Bu durumda, sunucu, istekleri işlemek için yeterli kaynağa sahip olmadığı için, normal kullanıcıların isteklerine yanıt veremez veya çok yavaş yanıt verir.
DDoS atakları, DoS ataklarının daha gelişmiş bir biçimidir. Bu ataklarda, atak yapan kişi, birden fazla kaynaktan hedefe eşzamanlı olarak çok sayıda istek veya paket gönderir. Bu kaynaklar, genellikle atak yapan kişi tarafından ele geçirilmiş veya kiralanmış bilgisayarlar, sunucular, akıllı telefonlar veya IoT cihazlarıdır. Bu kaynaklar, bir botnet adı verilen bir ağ oluşturur ve atak yapan kişinin komutlarına göre hareket eder. DDoS atakları, hedefin bant genişliğini daha hızlı ve etkili bir şekilde tüketir ve hedefin atak kaynaklarını tespit etmesini veya engellemesini zorlaştırır.
Bir ağda bilginin karşıya sorunsuz bir şekilde ulaştığını gösteren unsurlar, ağ güvenliğinin temel bileşenleridir. Bu unsurlar şunlardır:
- Gizlilik (Confidentiality): Bu unsur, bilginin sadece yetkili kişiler tarafından görüntülenebildiği anlamına gelir. Bilginin gizliliği, şifreleme, kimlik doğrulama, erişim kontrolü gibi yöntemlerle sağlanabilir. Örneğin, bir web sitesine giriş yaparken, kullanıcı adı ve şifrenin şifrelenerek gönderilmesi, bilginin gizliliğini korur.
- Bütünlük (Integrity): Bu unsur, bilginin değiştirilmediği veya bozulmadığı anlamına gelir. Bilginin bütünlüğü, imzalama, doğrulama, denetim günlüğü gibi yöntemlerle sağlanabilir. Örneğin, bir dosyayı indirirken, dosyanın imzasını kontrol etmek, dosyanın bütünlüğünü doğrular.
- Erişilebilirlik (Availability): Bu unsur, bilginin ihtiyaç duyulduğunda erişilebilir olduğu anlamına gelir. Bilginin erişilebilirliği, yedekleme, yük dengeleme, kurtarma planı gibi yöntemlerle sağlanabilir. Örneğin, bir web sitesinin yedek sunucuları olması, web sitesinin erişilebilirliğini artırır.
DoS ve DDoS atakları, bu unsurlardan erişilebilirlik kısmını devre dışı bırakarak bilginin bir uçtan diğer uca ulaşmasını engellemek için kullanılır. Bu ataklar, hedefin kaynaklarını tükettiği için, hedef, yetkili kullanıcılara hizmet veremez veya çok yavaş verir. Bu durum, hedefin işlevselliğini, güvenilirliğini ve itibarını olumsuz etkiler. Bu nedenle, DoS ve DDoS atakları, ağ güvenliğinin ciddi bir tehdididir ve önlemek için çeşitli yöntemler geliştirilmiştir.
Bant Genişliğini ve Belirli Bir Hostu Düşürmek İçin Kullanılan Atak Araçları
Bant genişliğini ve belirli bir hostu düşürmek için kullanılan atak araçları, ağdaki bir veya daha fazla kaynaktan hedefe yoğun bir şekilde veri göndererek hedefin ağ bağlantısını kesmeye veya yavaşlatmaya çalışan araçlardır. Bu araçlar, DoS (Denial of Service) veya DDoS (Distributed Denial of Service) atakları olarak adlandırılır. DoS atakları, tek bir kaynaktan gelirken, DDoS atakları, birden çok kaynaktan gelir ve daha güçlü ve zor tespit edilebilir olur.
Bir ağda bilginin karşıya sorunsuz bir şekilde ulaştığını gösteren unsurlar, ağ güvenliğinin temel bileşenleridir. Bu unsurlar şunlardır:
- Gizlilik (Confidentiality): Bilginin sadece yetkili kişiler tarafından görülebilmesi ve izinsiz erişimden korunmasıdır. Şifreleme, kimlik doğrulama ve erişim kontrolü gibi yöntemlerle sağlanabilir.
- Bütünlük (Integrity): Bilginin değiştirilmeden, bozulmadan veya kaybolmadan iletilmesi ve saklanmasıdır. İmzalama, doğrulama ve yedekleme gibi yöntemlerle sağlanabilir.
- Erişilebilirlik (Availability): Bilginin ihtiyaç duyulduğunda kolayca erişilebilir ve kullanılabilir olmasıdır. Yük dengeleme, yedeklilik ve kurtarma gibi yöntemlerle sağlanabilir.
DoS ve DDoS atakları, bu unsurlardan erişilebilirlik kısmını devre dışı bırakarak bilginin bir uçtan diğer uca ulaşmasını engellemek için kullanılır. Bu ataklar, hedefin ağ kaynaklarını tüketerek veya aşırı yükleyerek hedefin normal işlevini bozar. Bu da, hedefin hizmet vermeyi durdurmasına veya yavaşlamasına neden olur. Bu ataklar, ağ güvenliğini tehdit eden ciddi bir sorundur ve önlemek için çeşitli yöntemler geliştirilmiştir.
LOIC (Low Orbit Ion Cannon) Aracı
LOIC (Low Orbit Ion Cannon) Aracı, bir web sitesi veya sunucuyu hizmet dışı bırakmak için çok sayıda veri paketi gönderen bir programdır. Bu program, C# adlı bir programlama diliyle yazılmıştır ve hem Windows hem de Linux işletim sistemlerinde çalışabilir. LOIC, DoS (Hizmeti Engelleme) ve DDoS (Dağıtık Hizmeti Engelleme) saldırıları yapmak için en çok kullanılan araçlardan biridir. Bu saldırılar, bir web sitesinin veya sunucunun kaynaklarını tüketerek normal kullanıcıların erişimini engeller.
LOIC aracını Linux'ta kullanmak için, mono adlı bir yardımcı program yüklemeniz gerekir. Mono, farklı işletim sistemlerinde çalışabilen programlar oluşturmak için kullanılan bir araçtır. Mono, .Net Framework adlı bir programlama platformunun Linux'ta çalışmasını sağlar.
Mono programını kurmak için, aşağıdaki üç komutu sırayla terminalde çalıştırmanız gerekir:
sudo apt-get install mono-devel
sudo apt-get install mono-complete
sudo apt-get install libmono-system-windows-forms4.0-cil
Mono programını kurduktan sonra, LOIC aracını çalıştırmak için, aşağıdaki komutu terminalde çalıştırmanız gerekir:
mono LOIC.exe
LOIC aracının arayüzünde, beş ana bölüm vardır:
1. Bu bölümde, saldırı yapmak istediğiniz web sitesinin adresini veya IP numarasını yazmanız gerekir.
2. Bu bölümde, saldırıyı başlatmak veya durdurmak için butonlar vardır. "IMMA CHARGIN MAH LAZER" butonuna tıkladığınızda, saldırı başlar. "Stop Floading" butonuna tıkladığınızda, saldırı durur.
3. Bu bölümde, saldırı hedefiyle ilgili bilgiler gösterilir. Örneğin, hedefin IP numarası, port numarası, durumu, vb.
4. Bu bölümde, saldırı parametrelerini ayarlayabilirsiniz. Örneğin, saldırı tipini (TCP, UDP, HTTP), port numarasını, saldırı hızını, vb. değiştirebilirsiniz.
5. Bu bölümde, saldırı sırasında gerçekleşen olaylar hakkında detaylı bilgiler gösterilir. Örneğin, saldırıda kullanılan bağlantı sayısı, bağlantı durumu, istek durumu, indirme durumu, vb.
LOIC aracı, tek başına çok etkili bir saldırı aracı değildir. Çünkü bir web sitesi veya sunucu, tek bir bilgisayardan gelen saldırıyı kolayca savuşturabilir. Ancak, binlerce bilgisayarın aynı anda saldırıya katılması durumunda, saldırı çok daha güçlü olur. Bu yüzden, LOIC aracı, IRC (Internet Relay Chat) adlı bir sohbet protokolü üzerinden diğer bilgisayarlarla haberleşebilir. Böylece, bir saldırı lideri, diğer bilgisayarları yöneterek, ortak bir hedefe saldırabilir. Bu şekilde oluşturulan gönüllü botnet, DDoS (Dağıtık Hizmeti Engelleme) saldırısı yapabilir. Bu saldırılar, bir web sitesinin veya sunucunun tamamen çökmesine neden olabilir.
LOIC aracı, yasal olmayan bir araçtır ve bir web sitesine veya sunucuya izinsiz saldırı yapmak suçtur. Bu yüzden, LOIC aracını kullanmak, ciddi yaptırımlara neden olabilir. LOIC aracı, sadece sızma testi (penetration test) gibi yasal amaçlarla kullanılmalıdır. Sızma testi, bir web sitesinin veya sunucunun güvenliğini test etmek için yapılan bir işlemdir. Sızma testi, bir web sitesinin veya sunucunun DoS veya DDoS saldırılarına karşı ne kadar dayanıklı olduğunu ve nasıl tepki verdiğini ölçmek için kullanılabilir. Ancak, sızma testi yapmak için, web sitesi veya sunucu sahibinin izni olması gerekir.
OWASP SwitchBlade
OWASP SwitchBlade, bir web sitesinin hizmetini engellemek için kullanılan bir araçtır. Bu araç, aslında web sitelerinin bu tür saldırılara ne kadar dayanıklı olduğunu test etmek için geliştirilmiştir. Ancak, kötü niyetli kişiler bu aracı web sitelerine zarar vermek için de kullanabilirler. OWASP SwitchBlade, üç farklı atak yöntemi sunar:
- Slow Headers: Bu yöntemde, araç web sitesine çok yavaş bir şekilde HTTP başlıkları gönderir. Bu başlıklar, web sitesinin isteği işlemek için beklemesine neden olur. Araç, web sitesinin bağlantıyı kapatmasını önlemek için arada sırada yeni başlıklar gönderir. Böylece, web sitesinin kaynakları tükenir ve başka isteklere cevap veremez.
- Slow POST: Bu yöntemde, araç web sitesinin form alanlarına çok yavaş bir şekilde veri gönderir. Bu veriler, web sitesinin formu tamamlamak için beklemesine neden olur. Araç, web sitesinin daha fazla veri beklediğini düşünmesini sağlamak için veriyi küçük parçalar halinde gönderir. Böylece, web sitesinin kaynakları tükenir ve başka isteklere cevap veremez.
- SSL Renegotiation: Bu yöntemde, araç web sitesiyle sürekli yeni SSL anlaşmaları yapar. Bu anlaşmalar, web sitesinin güvenli bir bağlantı kurmak için çok fazla işlem gücü harcamasına neden olur. Araç, web sitesinin CPU'sunu tamamen meşgul eder ve başka işlemleri yapmasını engeller.
OWASP SwitchBlade, bu atak yöntemlerini uygulamak için bazı parametreler alır. Bu parametreler şunlardır:
- Bağlantılar: Araç, web sitesine kaç tane bağlantı açacağını belirler. Daha fazla bağlantı, web sitesinin daha fazla kaynak harcamasına neden olur.
- Bağlantı Hızı: Araç, web sitesine saniyede kaç tane bağlantı açacağını belirler. Daha hızlı bağlantı, web sitesinin daha fazla işlem yapmasına neden olur.
- Zaman Aşımı: Araç, web sitesine gönderdiği verilerin ne kadar süre bekleyeceğini belirler. Daha uzun zaman aşımı, web sitesinin daha fazla bekleme yapmasına neden olur.
OWASP SwitchBlade, bu parametreleri girdikten sonra, "Run attack" butonuyla atak başlatılabilir. "Quit" butonuyla da araç kapatılabilir.
HULK Aracı
HULK aracı, web sunucularına benzersiz ve gizlenmiş trafik hacimleri oluşturarak hizmet reddi saldırısı (DDoS) yapmak için araştırma amaçlı yazılmış bir araçtır. Bu aracın kullanım amacı, kötü niyetli istekler göndererek çevrimiçi hizmetleri istenen kullanıcılar için engellemektir. Bu araç Python dilinde geliştirilmiştir. DDoS saldırıları için başka benzer araçlar da mevcuttur. Bu araçlardan biri de GoldenEye DDoS aracıdır. HULK'ın oluşturduğu trafik, önbellekleme motorlarını da atlayarak sunucunun doğrudan kaynak havuzuna ulaşır.
Bu araç ayrıca güvenlik duvarı gibi ağ cihazlarını test etmek için de kullanılır. Kurulum için GitHub bağlantısını kullanarak Hulk aracını indirebilir ve ZIP olarak indirebilirsiniz. İndirme Bağlantısı: https://github.com/grafov/hulk/archive/master.zip Zip dosyasını çıkarmak için şu komutu kullanın: #unzip hulk-master.zip. Çıkarılan klasörde sağ tıklayın ve Terminal'de Aç'ı tıklayın. Saldırı Örnekleri için şu komutu kullanın: #sudo python hulk.py <url adresi>. Paketleri analiz etmek için Wireshark aracını kullanabilirsiniz.
HULK aracı, belirli bir hostu veya bir web sitesini hedef alabilir. Bir host, bir ağa bağlı olan herhangi bir cihazdır. Bir web sitesi, bir sunucuda barındırılan ve bir web tarayıcısı aracılığıyla erişilebilen bir dizi web sayfasıdır. HULK aracı, bir hostun veya bir web sitesinin stres testini ölçmek için kullanılabilir. Stres testi, bir sistemin yüksek talep altında nasıl performans gösterdiğini belirlemek için yapılan bir testtir. HULK aracı, sunucunun kaynaklarını tüketmek ve hizmeti aksatmak için çok sayıda sahte istek gönderir.
HULK aracı, Python dilinde yazıldığı için tüm işletim sistemlerinde çalışabilir.
HULK aracı, yönlendirici, anahtar, güvenlik duvarı gibi ağ cihazlarını test etmek için kullanılabildiği gibi sunucuların IP havuzlarına direkt atak yapabilir. Bu nedenle çok tehlikeli bir araçtır. Bir yönlendirici, bir ağdan diğerine veri paketlerini ileten bir cihazdır. Bir anahtar, bir ağ içindeki cihazları birbirine bağlayan bir cihazdır. Bir güvenlik duvarı, bir ağın güvenliğini sağlamak için gelen ve giden trafiği filtreleyen bir yazılım veya donanımdır. Bir IP havuzu, bir sunucunun kullanabileceği IP adreslerinin bir kümesidir.
HULK aracı, GitHub depoları klonlanarak indirilir. HULK aracı, Kali Linux işletim sisteminde git clone komutu kullanılarak Home dizinine indirilir. Kali Linux, güvenlik testi ve siber güvenlik için tasarlanmış bir Linux dağıtımıdır. Kali Linux, birçok güvenlik aracı içerir. Home dizini, kullanıcının kişisel dosyalarını ve ayarlarını sakladığı dizindir. Home dizinine gitmek için cd ~ komutu kullanılır.
1. UYGULAMA
HULK aracını kullanmak için aşağıdaki adımları izleyin.
1. Adım: HULK aracını indirmek için terminalde wget https://github.com/grafov/hulk/archive/master.zip komutunu çalıştırın. İndirilen dosya, home dizininize kaydedilecektir.
2. Adım: Home dizininde, indirilen dosyayı sağ tıklayın ve Extract Here seçeneğini seçin. Bu işlem, hulk-master adında bir klasör oluşturacaktır. Bu klasörü açın ve boş bir alanda sağ tıklayarak Open in Terminal seçeneğini seçin. Bu şekilde, terminalde hulk-master klasörüne girmiş olacaksınız.
3. Adım: HULK aracını çalıştırmak için terminalde python hulk.py hedef_ip_adresi komutunu yazın. Burada, hedef_ip_adresi, saldırı yapmak istediğiniz web sitesinin IP adresidir. IP adresini bulmak için, terminalde ping web_sitesi_adresi komutunu kullanabilirsiniz. Örneğin, ping http://www.site.com yazarsanız, size site.com'un IP adresini verecektir. Bu IP adresini, hulk.py komutunda kullanabilirsiniz. Komutu çalıştırdığınızda, HULK aracı saldırıya başlayacaktır ve terminalde saldırı durumunu gösterecektir.
HULK aracı çalıştığı sürece, bilgisayarınızın işlemci, RAM ve Wi-Fi kaynaklarını yoğun bir şekilde kullanacaktır. Bu, bilgisayarınızın yavaşlamasına veya ısınmasına neden olabilir. HULK aracını durdurmak için, terminalde Ctrl+C tuşlarına basabilirsiniz. Bu, saldırıyı sonlandıracak ve kaynak kullanımını düşürecektir.
HULK aracının performansını artırmak veya azaltmak için, iki parametre kullanabilirsiniz: HULKMAXPROCS ve GOMAXPROCS. Bu parametreler, hulk.py komutundan sonra eşittir işareti ile belirtilebilir. Örneğin, python hulk.py hedef_ip_adresi HULKMAXPROCS=2048 GOMAXPROCS=4 şeklinde yazabilirsiniz.
HULKMAXPROCS parametresi, saldırı için kullanılacak bağlantı sayısını belirler. Bağlantı sayısı ne kadar yüksek olursa, saldırı o kadar güçlü olur. Ancak, bağlantı sayısı arttıkça, bilgisayarınızın kaynak kullanımı da artar. Bu parametrenin varsayılan değeri 1024'tür. Bu değeri, bilgisayarınızın kapasitesine göre artırabilir veya azaltabilirsiniz.
GOMAXPROCS parametresi, saldırı için kullanılacak işlemci sayısını belirler. İşlemci sayısı ne kadar yüksek olursa, saldırı o kadar hızlı olur. Ancak, işlemci sayısı arttıkça, bilgisayarınızın ısınması da artar. Bu parametrenin varsayılan değeri, bilgisayarınızın işlemci sayısına eşittir. Bu değeri, bilgisayarınızın ısınmasını önlemek için azaltabilirsiniz.
SYN Atak Yöntemi Kullanan Araçlar
SYN Atak Yöntemi kullanan araçlar, genellikle SYN paketlerini rastgele IP adresleriyle oluşturarak sunucunun gerçek kaynakları tespit etmesini zorlaştırır. Bu araçlar, saldırganın hedef sunucunun IP adresini, portunu, paket sayısını ve paket boyutunu belirlemesine olanak sağlar. Bazı popüler SYN Atak Yöntemi kullanan araçlar şunlardır:
- Hping: Bir komut satırı aracıdır. TCP/IP paketleri oluşturmak, göndermek, analiz etmek ve manipüle etmek için kullanılabilir. SYN Atak Yöntemi yapmak için hping -S -p 80 --flood --rand-source <target_ip> komutu kullanılabilir.
- Nmap: Bir ağ keşif ve güvenlik tarama aracıdır. SYN Atak Yöntemi yapmak için nmap -S <source_ip> -p 80 --max-rate 10000 --data-length 1000 <target_ip> komutu kullanılabilir.
- Scapy: Bir Python kütüphanesidir. Ağ protokollerini oluşturmak, göndermek, yakalamak ve analiz etmek için kullanılabilir. SYN Atak Yöntemi yapmak için sr(IP(src=RandIP(),dst=<target_ip>)/TCP(sport=RandShort(),dport=80,flags="S"),inter=0.001) komutu kullanılabilir.
SYN Taşması (SYN Flood)
SYN Taşması (SYN Flood), bir sunucuyu hizmet veremez hale getirmek için kullanılan bir siber saldırı türüdür. Bu saldırıda, saldırgan sunucuya çok sayıda bağlantı kurma isteği (SYN) gönderir, ancak bağlantıyı tamamlamaz. Sunucu ise her bir isteği cevaplamak ve bağlantıyı beklemek zorunda kalır. Bu da sunucunun kaynaklarını tüketir ve meşru trafiğe yanıt vermesini engeller.
Bu saldırının nasıl çalıştığına bakmak için, önce TCP protokolünün nasıl bir bağlantı kurduğunu anlamak gerekir. TCP protokolü, bir istemci ve bir sunucu arasında güvenli bir iletişim sağlamak için Üç Yollu El Sıkışma (Three-Way Handshake) adı verilen bir yöntem kullanır. Bu yöntem şöyle işler:
- İstemci, sunucuya bir SYN paketi göndererek bağlantı kurmak istediğini bildirir. SYN, synchronize (eşitleme) anlamına gelir.
- Sunucu, isteği aldığını ve kabul ettiğini belirten bir SYN/ACK paketi göndererek istemciye cevap verir. SYN/ACK, synchronize/acknowledge (eşitleme/onaylama) anlamına gelir.
- İstemci, sunucudan gelen paketi aldığını ve bağlantıyı tamamlamak istediğini gösteren bir ACK paketi gönderir. ACK, acknowledge (onaylama) anlamına gelir.
Bu üç adım tamamlandığında, istemci ve sunucu arasında bir TCP bağlantısı kurulmuş olur ve veri alışverişi yapabilirler.
SYN Taşması saldırısında ise, saldırgan bu üç adımın sadece ilkini gerçekleştirir. Yani, sunucuya bir SYN paketi gönderir, ancak sunucudan gelen SYN/ACK paketine karşılık vermez. Bunun yerine, sürekli olarak yeni SYN paketleri göndermeye devam eder. Bu paketlerin kaynağı sahte IP adresleri olabilir, böylece saldırganın kimliği gizlenir.
Sunucu ise, her bir SYN paketine karşılık bir SYN/ACK paketi gönderir ve ACK paketini bekler. Bu bekleme süresi boyunca, sunucu bağlantıyı yarı açık (half-open) olarak tutar ve bir port numarası ayırır. Bu port numarası, bağlantının tamamlanması için kullanılacaktır. Ancak, saldırgan ACK paketini hiç göndermediği için, bağlantı asla tamamlanmaz. Sunucu, belirli bir zaman aşımı süresi (timeout) kadar portu açık tutar. Bu süre genellikle 120 saniyedir.
Saldırgan, sunucunun tüm portlarını doldurana kadar bu işlemi tekrarlar. Böylece, sunucu yeni bağlantı isteklerine cevap veremez hale gelir. Meşru istemciler, sunucuya bağlanmak istediklerinde, sunucu tarafından reddedilirler. Bu da, sunucunun hizmet vermesini engeller.
SYN Taşması saldırısını gerçekleştirmek için kullanılan farklı araçlar vardır. Bunlardan biri de “hping” komutudur. Bu komut, TCP/IP protokolü üzerinde paket oluşturmak ve göndermek için kullanılan bir araçtır. Bu araç ile saldırgan, sunucuya SYN paketleri göndermek için istediği parametreleri belirleyebilir. Örneğin, paketlerin kaynak IP adresini, hedef IP adresini, port numarasını, paket sayısını, paket aralığını ve diğer seçenekleri ayarlayabilir. Bu şekilde, saldırgan sunucuyu SYN paketleriyle doldurabilir ve hizmet dışı bırakabilir.
SYN Taşması saldırısını önlemek veya azaltmak için kullanılan bazı yöntemler şunlardır:
- Filtreleme: Sunucu, gelen SYN paketlerinin kaynak IP adreslerini kontrol ederek, sahte veya şüpheli olanları reddedebilir. Bu şekilde, saldırganın sunucuya ulaşmasını engelleyebilir.
- Artırma: Sunucu, yarı açık bağlantılar için ayırdığı port sayısını artırabilir. Bu şekilde, saldırganın tüm portları doldurmasını zorlaştırabilir.
- Azaltma: Sunucu, yarı açık bağlantılar için beklediği zaman aşımı süresini azaltabilir. Bu şekilde, saldırganın portları uzun süre meşgul etmesini önleyebilir.
- Geri dönüşüm: Sunucu, en eski yarı açık bağlantıları kapatıp, yeni bağlantı isteklerine yer açabilir. Bu şekilde, saldırganın portları sürekli olarak işgal etmesini engelleyebilir.
- TCP SYN Önbelleği: Sunucu, yarı açık bağlantıları bir önbellekte (cache) tutabilir. Bu şekilde, saldırganın sunucunun kaynaklarını tüketmesini zorlaştırabilir.
- SYN Kurabiyeleri: Sunucu, gelen SYN paketlerine cevap olarak özel olarak oluşturulmuş SYN/ACK paketleri gönderir. Bu paketler, bağlantıyı tamamlamak için gerekli bilgileri içerir. Bu şekilde, sunucu yarı açık bağlantılar için port ayırmaz ve kaynak tüketmez.
- Hibrit Yaklaşımlar: Sunucu, yukarıda sayılan yöntemlerin bir kombinasyonunu kullanabilir. Bu şekilde, saldırganın farklı taktiklere karşı savunmasız olmasını önleyebilir.
- Güvenlik Duvarları ve Vekiller: Sunucu, gelen trafiği kontrol etmek ve filtrelemek için güvenlik duvarları (firewalls) veya vekil sunucular (proxies) kullanabilir. Bu şekilde, saldırganın sunucuya ulaşmasını engelleyebilir.
Hping3 Komutu
Hping3 komutu, ağ testi ve güvenliği için kullanılan bir araçtır. Ping komutu gibi, ağdaki diğer cihazlara paket gönderip alabilir, ancak ping komutundan daha fazla seçenek sunar. Örneğin, hangi protokolü (TCP, UDP, ICMP, RAW-IP) kullanacağınızı, hangi bayrakları (SYN, ACK, FIN, RST, PSH, URG) ayarlayacağınızı, hangi portu hedefleyeceğinizi, hangi verileri göndereceğinizi ve daha fazlasını belirleyebilirsiniz. Bu sayede, ağın performansını, güvenliğini, güvenilirliğini ve zayıf noktalarını test edebilirsiniz. Hping3, hping komutunun geliştirilmiş bir sürümüdür ve Kali Linux gibi bazı Linux dağıtımlarında varsayılan olarak yüklü gelir.
Hping3 komutunun yüklü olup olmadığını kontrol etmek için, komut satırında hping3 -v yazabilirsiniz. Bu komut, hping3'ün versiyonunu ve lisansını gösterir. Eğer hping3 yüklü değilse, sudo apt-get install hping3 komutu ile yükleyebilirsiniz. Bu komut, hping3 paketini ve bağımlılıklarını indirir ve kurar.
Hping3 komutunun nasıl kullanılacağını öğrenmek için, komut satırında hping3 -h yazabilirsiniz. Bu komut, hping3'ün tüm parametrelerini ve seçeneklerini listeler. Her parametre, hping3'ün davranışını değiştirmek için kullanılabilir. Örneğin, -p parametresi ile hedef portu, -s parametresi ile kaynak portu, -S parametresi ile SYN bayrağını, -c parametresi ile gönderilecek paket sayısını belirleyebilirsiniz.
2. UYGULAMA
Hping3 Komutunun Kullanımı
hping3 komutunu kullanmak için aşağıdaki adımları izleyin.
1. Adım: Komut satırında, hping3 komutunu yazın. Komutun başına sudo ekleyin. Bu, komutu yönetici olarak çalıştırmanızı sağlar. Komutun sonuna -S ekleyin. Bu, gönderilecek paketlerin SYN bayrağı taşıyacağını belirtir. Komutun sonuna --flood ekleyin. Bu, paketlerin hızlı bir şekilde ve cevap beklemeden gönderilmesini sağlar. Komutun sonuna -p ekleyin ve ardından bir port numarası yazın. Bu, paketlerin hangi port üzerinden gönderileceğini belirtir. Port, bir bilgisayarda ağ iletişimi için kullanılan bir arayüzdür. Port numarası, portu tanımlayan bir sayıdır. Örneğin, web sitelerine erişmek için 80 numaralı port kullanılır. Komutun sonuna atak yapılacak bilgisayarın IP adresini yazın. IP adresi, bir bilgisayarın ağ üzerindeki kimliğidir. Örneğin, 192.168.1.1 gibi. Komutun tamamı şöyle olmalıdır:
sudo hping3 -S --flood -p 80 192.168.1.1
2. Adım: Komutu çalıştırın. Komut çalıştırıldığında, hping3 komutu, atak yapılacak bilgisayara sürekli olarak SYN paketleri göndermeye başlayacaktır. Bu paketler, hedef bilgisayarın portlarını dolduracak ve onun normal işlevlerini yapmasını engelleyecektir. Hedef bilgisayarın işlemci performansı, paketleri işlemek için çok fazla kaynak harcadığı için çok yükselecektir. Bu durum, hedef bilgisayarın ağ hizmetlerinin yavaşlamasına veya durmasına neden olacaktır.
Hedef bilgisayarda neler olup bittiğini görmek için Wireshark programını kullanabilirsiniz. Wireshark, ağ üzerindeki paketleri yakalayan ve analiz eden bir programdır. Wireshark programını açın ve ağ kartınızı seçin. Bu, programın ağ üzerindeki trafiği dinlemesini sağlar. Programda, kaynak IP adresi olarak atak yapan bilgisayarın, hedef IP adresi olarak da atak yapılan bilgisayarın IP adresini görebilirsiniz. Paketlerin içindeki bayraklara bakın. SYN bayrağının aktif olduğunu göreceksiniz. Bu, paketlerin bağlantı kurma isteği taşıdığını gösterir. Hedef bilgisayar, bu paketlere SYN-ACK bayrağı taşıyan paketlerle cevap vermeye çalışacaktır. Ancak, kaynak IP adresleri sahte olduğu için, bu cevaplar boşa gidecektir. Bu yüzden, hedef bilgisayar bağlantı kuramayacak ve kaynaklarını boşa harcayacaktır.
DDoS ATAĞI (DAĞITILMIŞ HİZMET REDDİ ATAĞI)
DDoS atağı, bir hedef sistemin normal işlevini engellemek için çok sayıda bilgisayarın aynı anda saldırmasıdır. Bu saldırı, hedef sisteme çok fazla istek göndererek veya onun kaynaklarını tüketerek yapılır. DDoS atağı, DoS atağından farklı olarak, saldıran bilgisayarların tek bir kaynaktan değil, dağıtılmış bir ağdan gelmesidir. Bu yüzden DDoS atağı, DoS atağından daha güçlü ve zor savunulabilirdir.
DDoS atağı yapmak için iki yaygın yöntem vardır. Birincisi, saldırganların birlikte hareket ederek, önceden belirlenmiş bir zamanda, hedef sisteme saldırı araçlarıyla saldırmasıdır. Bu yöntem, saldırganların birbirleriyle iletişim kurması ve koordine olması gerektiği için pek sık kullanılmaz. İkincisi, saldırganların öncelikle, internete bağlı olan ve güvenlik açığı bulunan bilgisayarlara zararlı yazılım bulaştırmasıdır. Bu zararlı yazılım, saldırganın bu bilgisayarları uzaktan kontrol etmesini sağlar. Bu bilgisayarlara zombi bilgisayar denir. Saldırgan, zombi bilgisayarları bir araya getirerek, bir botnet oluşturur. Botnet, saldırganın emirlerine göre hareket eden, zombi bilgisayarlardan oluşan bir ordudur. Saldırgan, botneti kullanarak, istediği zaman, istediği sisteme saldırabilir. Bu yöntem, saldırganın kimliğini gizlemesini ve saldırıyı arka planda yürütmesini sağlar. Bu yöntem, Mass-Intrusion (Kitlesel Saldırı) fazı olarak da bilinir. Mass-Intrusion fazı, DDoS ataklarının ilk adımıdır. Daha sonra, saldırgan, botneti kullanarak, hedef sistem üzerinde DDoS atağı gerçekleştirir.
DDoS Atak Araçları
DDoS atak araçları, bir sunucuyu veya bir ağ kaynağını hizmet dışı bırakmak için çok sayıda istek veya paket gönderen programlardır. Bu araçlar, saldırıyı gerçekleştiren bilgisayarlar arasında dağıtılmış bir ağ (botnet) kullanabilir veya tek bir makineden çalışabilir. DDoS atak araçları, saldırılan sunucunun işlemci, bellek, ağ bant genişliği veya bağlantı sınırını aşarak normal kullanıcıların erişimini engellemeyi amaçlar.
Slowloris Aracı
Slowloris aracı, bir web sunucusunu devre dışı bırakmak için tasarlanmış bir siber saldırı aracıdır. Adını, çok yavaş hareket eden ve tehdit altında kaldığında hareketsiz kalan bir hayvan olan yavaş loris'ten alır. Bu araç, Python programlama dilinde yazılmıştır ve herkesin erişebileceği bir platform olan “github”da ücretsiz olarak paylaşılmıştır. Slowloris aracı, web sunucusu ile saldırgan arasında çok sayıda HTTP bağlantısı kurarak çalışır. HTTP, web sayfalarını görüntülemek için kullanılan bir iletişim protokolüdür. Normalde, bir web sayfası istendiğinde, sunucu isteği alır ve yanıt olarak web sayfasını gönderir. Ancak Slowloris aracı, isteği tamamlamak yerine parça parça gönderir. Bu şekilde, sunucu isteğin bitmesini beklerken bağlantıyı açık tutar. Slowloris aracı, bu bağlantıları sürekli olarak sürdürür ve yeni bağlantılar açar. Böylece, sunucunun bağlantı kurabileceği port sayısını azaltır. Port, bir sunucunun ağ üzerinden iletişim kurduğu bir kanaldır. Sunucunun tüm portları dolu olduğunda, normal kullanıcılar web sayfasına erişemez. Bu, sunucunun hizmet dışı kalmasına neden olur. Slowloris aracı, düşük ve yavaş atak aracı olarak bilinen en tehlikeli tekniklerden biridir. Çünkü, çok az ağ kaynağı kullanır ve saldırıyı gizler. Saldırı tespit sistemleri (IDS), eksik paketler gönderen Slowloris aracını fark edemez. Ayrıca, Slowloris aracı, sunucunun saldırıyla ilgili günlük (log) kaydı oluşturmasını engelleyebilir. Bu da, siber güvenlik analistlerinin saldırıyı anlamasını ve önlemesini zorlaştırır. Slowloris aracını kullanmak için, öncelikle “github”dan indirmek gerekir. Bunun için, $git clone komutu kullanılır. Git, bir kod paylaşım ve yönetim aracıdır. Bu komut, Slowloris aracının kodlarını bilgisayara kopyalar. İndirilen araç, bir klasör içinde bulunur. Bu aracı çalıştırmak için, herhangi bir kurulum yapmaya gerek yoktur. Ancak, aracın davranışını değiştirmek için, bir konfigürasyon dosyası vardır. Bu dosya, aracın kullanacağı port sayısı, istek aralığı, kullanıcı kimliği gibi ayarları içerir. Slowloris aracını çalıştırmak için, klasörün içinde bir terminal açmak gerekir. Terminal, bir komut satırı arayüzüdür. Terminali açmak için, klasörü sağ tıklayıp Open in Terminal seçeneğini seçmek yeterlidir. Terminal açıldıktan sonra, python3 slowloris.py hedef_adres komutu ile aracı başlatmak mümkündür. Hedef_adres, saldırı yapmak istediğiniz web sunucusunun adresidir. Bu komut, aracı çalıştırır ve saldırıyı başlatır. Saldırı devam ederken, terminalde aracın durumu hakkında bilgiler görüntülenir.
3. UYGULAMA
Slowloris Aracının Kullanımı
Aşağıdaki işlem adımlarını izleyerek slowloris aracını kullanarak bir web sunucusuna saldırı yapın.
1. Adım: Apache web sunucusunu aktifleştirmek için, terminalde sudo service apache2 start komutunu çalıştırın. Bu komut, apache2 servisini başlatır ve web sunucusunu çalışır hale getirir. Web sunucusunun çalışıp çalışmadığını kontrol etmek için, tarayıcınızda http://localhost adresine gidin. Eğer web sunucusu çalışıyorsa, bir web sayfası göreceksiniz.
2. Adım: Slowloris aracının olduğu dizine gitmek için, terminalde cd komutunu kullanın. Örneğin, eğer slowloris aracı ~/Downloads/slowloris dizininde ise, terminalde cd ~/Downloads/slowloris komutunu yazın. Bu komut, sizi slowloris aracının bulunduğu dizine taşır.
3. Adım: Slowloris aracını çalıştırmak için, terminalde python3 slowloris.py komutunu kullanın. Bu komut, slowloris aracını python3 ile çalıştırır. Eğer slowloris aracını çalıştırmak için farenin sağ tuşuna tıklayarak Open in Terminal seçeneğini kullanmak isterseniz, bunu da yapabilirsiniz. Bu durumda, slowloris aracının olduğu dizinde bir terminal penceresi açılacak ve slowloris aracını çalıştırmak için python3 slowloris.py komutunu yazmanız gerekecek.
4. Adım: Slowloris aracı ile bir iç IP’ye saldırmak için, terminalde python3 slowloris.py 192.168.1.22 -s 500 komutunu kullanın. Bu komut, slowloris aracını 192.168.1.22 IP adresine saldırmak için çalıştırır ve 500 soket bağlantısı açar. Soket bağlantısı, web sunucusu ile aranızda kurulan bir iletişim kanalıdır. Slowloris aracı, bu soket bağlantılarını açık tutarak web sunucusunun diğer isteklere cevap vermesini engeller. -s parametresi, soket bağlantı sayısını belirlemek için kullanılır. Varsayılan olarak, slowloris aracı 150 soket bağlantısı açar. Eğer daha fazla veya daha az soket bağlantısı açmak isterseniz, -s parametresini değiştirebilirsiniz. Örneğin, -s 1000 parametresi ile 1000 soket bağlantısı açabilirsiniz.
5. Adım: Apache2 sunucu loglarını incelemek için, terminalde tail -f /var/log/apache2/access.log komutunu kullanın. Bu komut, apache2 sunucusunun aldığı istekleri gösterir. Eğer slowloris aracı ile saldırı başarılı olursa, apache2 sunucusunun çok sayıda istek aldığını ve bunlara cevap veremediğini göreceksiniz. Bu durumda, apache2 sunucusu yavaşlayacak veya çökecektir.
Formları Kullanarak DDoS Atağı
Formları kullanarak DDoS atağı, bir web sitesinin form alanlarına çok sayıda istek göndererek sunucunun kaynaklarını tüketmeyi ve hizmet dışı bırakmayı amaçlayan bir saldırı türüdür. Bu saldırıyı yapmak için kullanılan araçlar şunlardır:
- Form Flooder: Bu araç, bir web sitesinin form alanına otomatik olarak rastgele veriler gönderir. Bu şekilde, sunucunun işlem kapasitesini aşırı yükler ve normal kullanıcıların erişimini engeller.
- Form Hammer: Bu araç, bir web sitesinin form alanına belirli bir süre boyunca sürekli olarak aynı verileri gönderir. Bu şekilde, sunucunun veritabanını bozar ve hatalı sonuçlar üretmesine neden olur.
- Form Spammer: Bu araç, bir web sitesinin form alanına spam içerikli veriler gönderir. Bu şekilde, sunucunun güvenliğini tehlikeye atar ve kötü amaçlı yazılımların yayılmasına zemin hazırlar.
RUDY (RU-Dead-Yet) Aracı
RUDY aracı, web sunucularını yavaşlatmak veya durdurmak için tasarlanmış bir saldırı aracıdır. RUDY, web sunucularının form verilerini almasını ve işlemesini kötüye kullanır. Form verileri, web sayfalarında kullanıcıların bilgi girmesini sağlayan alanlardır. Örneğin, bir e-posta adresi, bir şifre, bir yorum veya bir dosya yükleme.
RUDY aracı, şu şekilde çalışır:
- Hedef web sayfasını tarar ve form alanlarını bulur.
- Form alanlarına rastgele veriler girer ve web sunucusuna gönderir.
- Web sunucusuna, gönderdiği verilerin çok uzun olduğunu söyler. Bu, HTTP başlığı adı verilen bir bilgi parçası ile yapılır.
- Verileri çok küçük parçalara böler ve her bir parçasını 10 saniyelik rastgele aralıklarla gönderir.
- Bu işlemi sürekli tekrarlar ve web sunucusunu meşgul eder.
Web sunucusu, RUDY aracının yavaş bir internet bağlantısına sahip normal bir kullanıcı olduğunu düşünür. Bu yüzden, verileri tamamen alana kadar bağlantıyı açık tutar. Ancak, RUDY aracı verileri bitirmeyecek şekilde tasarlanmıştır. Bu da web sunucusunun diğer kullanıcılara hizmet vermesini engeller.
RUDY aracı, birçok farklı programlama dilinde yazılmıştır. Bu kodlar, saldırı aracını geliştirmek veya özelleştirmek için kullanılabilir. $sudo nmp install -g rudyjs komutu, RUDY aracının JavaScript versiyonunu indirmek ve kurmak için kullanılır. sudo komutu, yönetici yetkileri gerektiren işlemleri yapmak için kullanılır. nmp komutu, Node.js paket yöneticisidir. Node.js, JavaScript kodunu çalıştırmak için kullanılan bir platformdur. install komutu, bir paketi indirmek ve kurmak için kullanılır. -g seçeneği, paketi global olarak kurmak için kullanılır. Bu, paketi her yerden kullanılabilir hale getirir. rudyjs ise, RUDY aracının paket adıdır.
4. UYGULAMA
RUDY Aracının Kullanımı
RUDY aracını kullanmak için aşağıdaki adımları izleyin:
1. Adım: Bir yerel web sunucusu kurun ve çalıştırın. Bu örnekte, Apache2 web sunucusu kullanılmıştır. Apache2 web sunucusunu kurmak için, terminalde sudo apt-get install apache2 komutunu çalıştırın. Web sunucusunu çalıştırmak için, terminalde sudo service apache2 start komutunu çalıştırın.
2. Adım: Yerel web sunucusuna form sayfaları içeren bir web sitesi ekleyin. Bu örnekte, web sitesi /var/www/html dizininde bulunmaktadır. Bu dizine form sayfalarını içeren HTML dosyalarını kopyalayın veya oluşturun.
3. Adım: Terminali kullanarak RUDY aracını çalıştırın. Bu örnekte, RUDY aracı rudy komutu ile çağrılmaktadır. Komutun parametreleri şöyledir:
- -t: Hedef IP adresi veya web sitesi. Bu parametre zorunludur. Bu örnekte, hedef web sitesi http://192.168.1.22/kisibilgileri.html olarak verilmiştir.
- -d: Gecikme. Bu parametre, gönderilen her bayt arasındaki bekleme süresini belirtir. Bu örnekte, gecikme 5 saniye olarak verilmiştir.
- -n: En fazla bağlantı sayısı. Bu parametre, RUDY aracının açabileceği maksimum bağlantı sayısını belirtir. Bu örnekte, bağlantı sayısı 500 olarak verilmiştir.
Komutun tamamı şu şekildedir:
rudy -t "http://192.168.1.22/kisibilgileri.html" -d 5 -n 500
Bu komutu çalıştırdığınızda, RUDY aracı hedef web sitesine form verilerini göndermeye başlayacak ve web sunucusunu yavaşlatacaktır. Saldırıyı durdurmak için, terminalde Ctrl+C tuşlarına basın.
DoS ve DDoS Ataklarını Önlemek İçin Alınacak Tedbirler
DoS ve DDoS atakları, bir sunucunun veya ağın hizmet vermesini engellemek için yapılan siber saldırılardır. Bu saldırılarda, saldırganlar sunucuya veya ağa çok sayıda sahte veya bozuk veri paketi göndererek kaynaklarını tüketir veya iletişim kurallarını bozarlar. Bu şekilde, sunucu veya ağ normal kullanıcıların isteklerine cevap veremez veya çok yavaşlar. Bu saldırılar, sunucunun veya ağın kullandığı protokollerin zayıflıklarından yararlanır. Örneğin, TCP protokolünde, bir bağlantı kurmak için üçlü el sıkışma (three-way handshake) adı verilen bir süreç vardır. Bu süreçte, sunucu ve istemci arasında bir dizi paket alışverişi yapılır. Saldırganlar, bu paketlerden birini eksik veya yanlış göndererek bağlantıyı tamamlamadan sunucunun kaynaklarını meşgul ederler. Bu saldırıya SYN flood denir.
DoS ve DDoS atakları arasındaki fark, saldırganların kullandığı kaynak sayısıdır. DoS saldırısında, saldırgan tek bir kaynaktan saldırır. DDoS saldırısında ise, saldırgan birden çok kaynaktan saldırır. Bu kaynaklar, saldırganın kontrol ettiği zombi bilgisayarlar veya botnetler olabilir. Bu şekilde, saldırgan daha fazla veri gönderebilir ve saldırının tespit edilmesini zorlaştırabilir.
DoS ve DDoS ataklarını önlemek için kesin bir çözüm yoktur, ancak bazı tedbirler alınabilir. Bu tedbirler şunlardır:
- Saldırı önleme sistemleri (IPS): Bu sistemler, ağ trafiğini analiz ederek anormal veya zararlı paketleri tespit eder ve engeller. Örneğin, aynı IP adresinden çok sayıda istek gelen paketleri reddedebilir veya zaman aşımına uğrayan paketleri düşürebilir. Bu sistemler, normal kullanıcıların da etkilenmesine neden olabilir, ancak saldırıyı azaltabilir.
- İnternet servis sağlayıcıları (ISP): Bu servis sağlayıcılar, saldırıyı ağa ulaşmadan önce tespit edip durdurabilir. Örneğin, saldırı kaynaklarını izole edebilir veya saldırıya maruz kalan sunucu veya ağa giden trafiği sınırlayabilir. Bu servis sağlayıcılar, saldırıyı önlemek için gerekli teknoloji ve kaynaklara sahiptir.
- Yönlendirici (Router) konfigürasyonu: Yönlendiriciler, ağ trafiğini yöneten cihazlardır. Yönlendiricilerin konfigürasyonunda, erişim listeleri (Access List) adı verilen kurallar tanımlanabilir. Bu kurallar, hangi IP adreslerinin veya portların ağa girebileceğini veya çıkabileceğini belirler. Bu şekilde, saldırı kaynaklarına erişim engellenebilir veya saldırıya maruz kalan sunucu veya ağa giden trafiği sınırlandırabilir.
- Kara delik (black hole) yönlendirme: Bu yöntemde, ağda anormal bir trafik sezildiğinde, ağ trafiği boş bir IP adresine yönlendirilir. Bu IP adresi, hiçbir sunucu veya ağa bağlı değildir ve gelen paketleri cevapsız bırakır. Bu şekilde, ağ trafiği rahatlatılır, ancak gerçek kullanıcılar da etkilenir.
- DoS savunma sistemleri (DDS): Bu sistemler, IPS'lerin DoS atakları için özelleştirilmiş versiyonlarıdır. Bu sistemler, SYN flood gibi düşük ve yavaş atak sınıfındaki saldırılar için etkili olabilir. Bu sistemler, sunucu ile istemci arasındaki bağlantıyı doğrulayarak sahte paketleri ayırt eder ve engeller.
- Atak araçlarının varsayılan parametrelerine göre güvenlik tedbiri almak: Bu yöntemde, saldırganların kullandığı atak araçlarının varsayılan parametreleri bilinir ve bunlara göre güvenlik kuralları yazılır. Örneğin, saldırganların kullandığı paketlerin boyutu, içeriği, zaman damgası gibi özellikler tespit edilir ve bunlara göre filtreleme yapılır. Bu yöntem, aracın karmaşık kullanımını bilmeyen düşük seviyeli saldırganlardan korunmak için faydalı olabilir.
- Bir IP'den gelen bağlantı isteği sayısını sınırlandırmak ve bağlantı süresini ağın karakteristiğine göre ayarlamak: Bu yöntemde, bir IP adresinden gelen bağlantı isteklerinin sayısı belirli bir limit ile sınırlandırılır. Bu limit, ağın normal çalışma durumuna göre belirlenir. Ayrıca, bağlantı süresi de ağın performansına göre ayarlanır. Bu şekilde, saldırganların bağlantıyı uzun süre meşgul etmesi veya çok sayıda bağlantı kurması engellenir.
- Saldırı tespit sistemleri (IDS): Bu sistemler, ağ trafiğindeki dalgalanmaları tespit eder ve saldırıyı raporlar. Bu sistemler, saldırıyı engellemez, ancak saldırının farkında olmayı ve gerekli önlemleri almayı sağlar.
