Oyun sunucusuna DDOS saldırısı geldiğinde ne olur ve koruma nasıl çalışır?

Sunucu bir anda yanıt vermez. Oyuncular listede sunucuyu göremez, girmeyi deneyenler birkaç saniye sonra bağlantı zaman aşımıyla düşer, konsolda ise hata satırı yerine sessizlik vardır. Dağıtık hizmet reddi, kısaca DDOS saldırısının sunucu sahibine görünen ilk yüzü budur. Saldırı, çok sayıda farklı kaynaktan aynı hedefe eşzamanlı trafik gönderip sunucunun hattını, bağlantı tablosunu veya işlem gücünü meşru oyunculara yer kalmayacak kadar doldurma girişimidir. Tek bir kaynaktan gelen hizmet reddi denemesini engellemek görece kolaydır, saldırının dağıtık olması ise trafiğin binlerce farklı adresten gelmesi ve tek tek engellemenin işe yaramaması demektir.

Sık karıştırılan bir nokta var: bu bir veri hırsızlığı değildir. Saldırgan sunucuya girmez, dünya dosyalarını okumaz, oyuncu bilgisini almaz. Hedeflenen şey erişilebilirliktir. Bu ayrım müdahalenin yönünü de belirler, çünkü çözüm parola değiştirmekte değil trafiğin sunucuya ulaşmadan önce süzülmesinde aranır.

Saldırı sırasında sunucuda ne bozulur

Sunucu süreci çoğu durumda çalışmaya devam eder. Bozulan şey, oyuncunun paketlerinin sunucuya ulaşma ihtimalidir. Hat dolduğunda meşru paketler sıraya giremez ve toplu zaman aşımı görülür. Yönetim paneline erişim genellikle ayrı bir yol üzerinden gittiği için panel açılmayı sürdürebilir, hatta kaynak grafiği işlemciyi ve belleği normal gösterebilir. Bu görüntü yanıltıcıdır, çünkü darboğaz sunucunun içinde değil ağ tarafındadır.

Asıl zarar teknik tarafta değil topluluk tarafında birikir. Birkaç saat erişilemeyen bir sunucudan oyuncular ayrılır ve geri dönmek için ikinci bir sebep ararlar. Bu yüzden saldırıya hazırlık, sunucunun ayakta kalma süresinden çok oyuncunun geri gelme ihtimaliyle ölçülür.

Saldırı trafiği hangi biçimlerde geliyor

Bütün saldırılar aynı kaynağı tüketmez. Ayrım pratik bir işe yarar, çünkü hangi kaynağın dolduğunu bilmek korumanın hangi katmanda devreye girmesi gerektiğini belirler.

İlk iki aile ağırdır fakat kabadır. Yüksek hacim üretirler ve trafik deseni meşru oyun trafiğine benzemediği için ayrıştırılmaları görece nettir. Uygulama katmanı saldırısı ise düşük hacimlidir ve meşru istek gibi görünür. Sahte oyuncu sorguları, ardı ardına açılan bağlantılar veya sürekli tekrarlanan giriş denemeleri sunucunun işlem gücünü yer. Bu türü yalnızca bant genişliğine bakarak yakalamak mümkün değildir, oyun protokolünün nasıl davrandığını bilen bir filtre gerekir.

Koruma katmanları sırayla nasıl çalışıyor

Koruma tek bir düğme değil, birbirini tamamlayan bir zincirdir. Trafik önce sunucudan önceki temizleme katmanına girer. Burada bilinen saldırı imzaları, anormal paket boyutları ve tek kaynaktan gelen aşırı istek oranları elenir. Ardından protokol düzeyinde tutarsız paketler düşürülür. Son aşamada oyun protokolünü tanıyan filtre devreye girer ve gerçek bir istemcinin üretmeyeceği davranışları ayıklar. Her katman, bir öncekinin göremediği trafiği devralır.

Saganetwork bu süzme işini sunucuya ulaşmadan önceki katmana taşır. Oyun sunucularında Stormwall DDOS koruması ve Layer 7 saldırı koruması ücretsiz olarak verilir, bu nedenle ddos korumalı minecraft sunucu paketlerinde gelen trafik oyun sürecine inmeden önce bu filtreden geçer. Sunucular Vodafone Veri Merkezi’nin kurumsal altyapısında barındırılmaktadır, ağ tarafında ise 1 Gbps port değeri paylaşılıyor.

Burada dürüst bir sınır çizmek gerekir. Hiçbir koruma katmanı saldırı ihtimalini ortadan kaldırmaz, yaptığı iş zararlı trafiği ayıklayıp meşru trafiğe yol açmaktır. Filtrenin eşikleri de bedelsiz değildir. Çok gevşek ayarlanan bir filtre saldırı trafiğinin bir kısmını geçirir, çok sıkı ayarlanan filtre ise mod indirirken kısa sürede çok sayıda istek üreten gerçek bir oyuncuyu saldırgan sanabilir. İyi yapılandırılmış koruma, bu iki hatanın arasında oyunun kendi trafik desenine göre ayarlanmış olandır.

Korumanın çözemediği kısım sunucu sahibinde kalır

Sağlayıcı tarafındaki filtre, sunucunun adresine gelen trafiği yönetir. Ancak o adresin nereye kadar yayıldığını yöneten kişi sunucu sahibidir. IP adresi eski tanıtım gönderilerinde, sunucu listelerinde, topluluk sohbetlerinde paylaşılan ekran görüntülerinde ve yardım isterken atılan konsol çıktılarında sızar. Yönetim paneli üzerinden özel IP adresi tanımlanabilir, fakat adres değişse bile aynı paylaşım alışkanlığı sürdüğünde durum kısa sürede başa döner.

İkinci alan oyunun kendi içidir. Toplu bot girişleri, sahte hesaplarla açılan bağlantılar ve kısa aralıklarla tekrarlanan giriş denemeleri düşük ağ hacmi ürettiği için dıştaki filtreye saldırı gibi görünmeyebilir. Giriş listesi kullanmak, bağlantı sıklığını sınırlamak ve panel ile FTP erişimini yalnızca gereken kişilerde tutmak bu yüzeyi daraltır.

Üçüncüsü sık atlanır. Oyun sunucularına yönelik saldırıların önemli bir bölümü teknik bir açıktan değil sosyal bir olaydan sonra başlar. Yasaklanan bir oyuncu, dağılan bir ekip veya topluluklar arası bir tartışma çoğu zaman olayın başlangıç noktasıdır. Bu yüzden yönetim ekibinin uyarı ve yasaklama süreçlerini nasıl işlettiği, pratikte güvenlik yapılandırmasının bir parçasıdır.

Saldırı mı yoksa sıradan bir performans sorunu mu

Her kopma saldırı değildir ve yanlış teşhis saatler kaybettirir. Ayırt etmeye yarayan birkaç somut işaret vardır.

• Saldırıda düşüş toplu ve anidir, sunucu içi kaynaklı yavaşlama ise genelde kademeli gelir ve belirli olaylarda tekrarlar
• Saldırıda farklı ağlardaki ve farklı bölgelerdeki oyuncular aynı anda etkilenir, yalnızca tek bir bölgedeki oyuncular etkileniyorsa sorun büyük olasılıkla ağ yolundadır
• Saldırıda panel kaynak kullanımını normal gösterirken oyuncular bağlanamaz, sunucu içi sorunda ise kaynak kullanımı önce yükselir
• Sunucu içi kaynaklı yavaşlama oyuncu sayısı düştüğünde hafifler, saldırı trafiği oyuncu sayısından bağımsız devam eder

Saldırı sürerken izlenecek sıra

1. Sunucuyu arka arkaya kapatıp açma, her yeniden başlatma oyuncu kaybını artırır ve belirtiyi gizler
2. Panelden kaynak kullanımına bak ve darboğazın süreçte mi yoksa ağda mı olduğunu belirle
3. Sağlayıcının desteğine saldırı şüphesini bildir, etkilenen zaman aralığını ve gözlediğin belirtiyi yaz. Saganetwork tarafında destek yedi gün yirmi dört saat açıktır ve taleplere normal şartlarda beş dakika içinde dönülür
4. Girişleri geçici olarak liste ile sınırla, böylece uygulama katmanına binen yükü azaltmış olursun
5. Sunucu adresinin hangi kanallarda görünür olduğunu kontrol et ve gerekiyorsa adresleme düzenini panel üzerinden değiştir
6. Saldırı bittikten sonra olayın hangi tartışmanın ardından başladığını topluluk yönetimi tarafında değerlendir

Sunucu kiralarken sorulacak sorular

Koruma vaadi tek başına bilgi taşımaz, çünkü hemen her sağlayıcı bir biçimde koruma sunduğunu söyler. Ayırt edici olan uygulama biçimidir.

• Filtreleme sunucuya ulaşmadan önce mi devrede, yoksa sunucunun kendi güvenlik duvarına mı bırakılıyor
• Oyun protokolünü tanıyan uygulama katmanı koruması var mı, yoksa yalnızca genel ağ filtresi mi çalışıyor
• Saldırı sürerken hizmet askıya alınıyor mu, alınıyorsa hangi koşulda
• Destek saldırı anında ulaşılabilir mi ve müdahale için hangi bilgiyi istiyor
• Koruma pakete dahil mi, yoksa ayrı bir yapılandırma mı gerektiriyor

Bu katmanların hangisine ne kadar ihtiyaç duyulacağı sunucunun büyüklüğüne, oyuncu profiline ve topluluğun ne kadar görünür olduğuna göre değişir. Kapalı bir arkadaş grubunun sunucusuyla yüzlerce kişinin girip çıktığı bir topluluk sunucusunun risk yüzeyi aynı değildir, dolayısıyla herkese uyan tek bir doğru kurulum yoktur. Değişmeyen tek şey yaklaşımdır: korumayı saldırıdan sonra eklenecek bir onarım kalemi olarak değil, sunucu kiralanırken karar verilen bir yapı parçası olarak düşünmek gerekir.