Oyun Sunucularında DDoS Koruması Gerçekte Nasıl Çalışır?

Her hosting firması "DDoS korumalı" yazar. Bu cümle tek başına neredeyse hiçbir şey ifade etmiyor, çünkü DDoS tek tip bir saldırı değil ve korumaların hepsi aynı katmanda çalışmıyor.

Saldırı türleri

Hacimsel (L3/L4) — en yaygın

Amaç hattı doldurmak. UDP flood, SYN flood, amplifikasyon (DNS/NTP üzerinden trafiği çoğaltma). Oyun sunucuları UDP kullandığı için birincil hedef bunlar.

Ölçü birimi Gbps. Bugün kiralık "booter" servisleriyle 10-50 Gbps saldırı çok ucuz. Bu ölçek, korumasız bir sunucunun hattını saniyeler içinde tıkar.

Uygulama katmanı (L7)

Hattı doldurmaz; sunucunun işini doldurur. Oyunlarda tipik örneği sahte bağlantı seli: binlerce yarım bağlantı isteği açıp sunucunun slot ve CPU'sunu tüketmek. Hat boş görünür ama gerçek oyuncu giremez.

Bu tür daha sinsidir çünkü grafiklerde "saldırı yok" görünür. Bunun için oyun protokolünü anlayan filtreler gerekir; genel amaçlı bir DDoS kalkanı bunu göremez.

Koruma nasıl çalışır?

Mantık şu: trafiği sana ulaşmadan önce temizleme merkezinden geçirmek. Bu merkezler saldırı trafiğini eleyip yalnızca temiz trafiği sunucuya iletir.

• Kapasite (Tbps). Sağlayıcının toplam emme kapasitesi. Saldırı kapasiteyi aşarsa koruma da düşer.
• Tepki süresi. Saldırı algılandıktan sonra filtrenin devreye girmesi. Otomatik sistemlerde saniyeler; manuel devrede dakikalar sürer ve o dakikalar sunucunun kapalı olduğu dakikalardır.
• Yanlış pozitif. Agresif filtre, gerçek oyuncuları da eler. "Saldırı bitti ama kimse giremiyor" durumunun sebebi budur.

Sorman gereken sorular

Bir sağlayıcı "DDoS korumalı" diyorsa şunları sor — cevaplar ayırt edicidir:

• Koruma hangi katmanda? Yalnız L3/L4 mü, L7 de var mı?
• Kapasite ne kadar?
• Filtre her zaman açık mı yoksa saldırı algılanınca mı devreye giriyor? (İkincisinde ilk dakikalar kayıptır.)
• Oyun protokolüne özel filtre var mı? "Genel DDoS koruması" oyun trafiğini anlamaz.

Kendi tarafında yapabileceklerin

Koruma hattın işi ama saldırıya davetiye çıkarmamak senin elinde:

• Sunucunun gerçek IP'sini gizle. Discord'da, forumda, ekran görüntüsünde IP paylaşma. Saldırıların çoğu, kişisel husumet yüzünden IP'yi bilen biri tarafından başlatılır.
• RCON portunu herkese açma. Yalnız kendi IP'ne izin ver.
• Yönetici hesaplarını koru. Sunucuyu içeriden bozmak, dışarıdan saldırmaktan kolaydır.
• Yedeğin olsun. DDoS veri kaybettirmez ama saldırıyla birlikte gelen diğer sorunlar kaybettirir. Bizde günlük otomatik yedek var; panelden tek tıkla geri yüklenir.

Dürüst bir uyarı

"%100 koruma" diye bir şey yok. Yeterince büyük bir saldırı her savunmayı aşar; mesele saldırganın ne kadar para harcamaya razı olduğudur. Ciddi bir sağlayıcı bunu söyler; "asla düşmezsiniz" diyen abartıyordur.

Gerçekçi hedef şudur: internetteki saldırıların büyük çoğunluğunu oluşturan ucuz booter saldırılarını fark ettirmeden emmek. Bu, pratikte sunucunun kesintisiz kalması demektir.