Dünya Tarihinin En Büyük Siber Saldırısına Uğrayan Türkiye, Nasıl Bir Önlem Aldı?

14 Aralık tarihinden itibaren başlayan ve arkasında Rusyave Anonymous’un yer aldığı siber saldırılar, Türkiye’deki400 bine yakın .tr uzantılı siteyi etkiledi. Dün itibariyle saldırılar artık durma noktasına geldi ve uzmanlar (ODTÜ ve ilgili kurumlar) hasar tespit çalışmalarına başladı. Türkiye’nin bir hafta boyunca yaşadığı durum için “Tarihin gördüğü en büyük siber saldırılardan bir tanesiydi” diyen ODTÜ Bilgisayar Mühendisliği Öğretim Üyesi Dr. Attila Özgit, sözlerine şu şekilde devam etti:

“14 Aralık’ta başlayan ve azalarak süren saldırıları Dağıtık Servis Kesintisi Saldırısı (DDoS) olarak adlandırıyoruz. 14 Aralık 2015 Pazartesi günü, yurtiçi ve dışında 5 ayrı noktada konuşlanmış bulunan 6 adet ‘.tr’ alan adı sunucusuna doğru gelen DDoS saldırısına bağlı olarak çok ciddi ölçüde internet bant genişliği yoğunlukları yaşandı. Saldırı temel olarak, ‘DNS yükseltme saldırısı’ olarak başladı. Bu saldırı, ‘.tr’ Alan Adları’ndan ilgili IP adreslerine ulaşılmasını engellemek amacıyla, sahte ağ trafiği üretmek de dahil olmak üzere, DNS sunucularımıza doğru yoğun ağ trafiği yollanması şeklinde ülke dışındaki kaynaklar tarafından organize bir şekilde gerçekleştirildi.

İlerleyen saatlerde saldırı, sunucuların bulunduğu ağları işleten Telekom operatörlerinin yurtdışı bağlantılarını dolduracak (ve taşacak) seviyelere ulaştı. Telekom operatörlerimiz bir üst ağ sağlayıcıları tarafında, filtre ve saldırı önleme tedbirleri alınma yoluna başvurmuşlardır. Bu durum bu tür saldırılarda uygulanan rutin bir yöntemdir. Üst (upstream) Telekom operatörlerinde konuşlanmış birden fazla 40 Gbps kapasiteli iletişim hattında taşmalara yol açan, bazılarında zaman zaman 200+ Gbps yoğunluklarına erişen bant genişliği saldırıları gözlenmiştir. Bu toplu saldırının, bugüne değin dünya üzerinde yaşanmış en yoğun saldırılardan biri olduğu bilinmektedir.

Yurtdışında DNS sunucusunun bulunduğu Avrupa’nın internet örgütlerinden biri olan RIPE, ilgili trafiğin yoğunluğu nedeniyle DNS sunucumuzu kapatmak zorunda kaldığını ifade etmiştir. Bu zaman diliminde Nic.TR diğer 5 sunucusu ile saldırı karşısında çalışır durumdaki konumunu korumuştur. Bu durum, ‘.tr’ DNS sunucularına öncelikle geliş yönünde gecikmelere neden olmuştur. ‘.tr’ DNS sunucularına erişildiği durumlarda ise DNS sunucularının verdiği yanıtların isteği yapan noktalara gidişi yönünde de gecikmelere neden olmuştur. Diğer bir deyişle, saldırganlar tarafından ana iletişim arterlerinde oluşturulmuş yapay ve yoğun trafik, ülke ağının önemli arterlerinde bazı tıkanmalara ve yavaşlamalara neden olmuştur.

Saldırının başladığı ilk anlardan itibaren gözlenen ve algılanan saldırgan stratejisi; ‘Yapılabilirse DNS sunucuları durdur ve ülkeyi karanlığa sürükle’ ‘Olmazsa, ağın daha derinliklerinde problem yarat ve başka hedef ara’ şeklindedir. Bu bağlamda, saldırganlar ilk maddede sözü edilen hedeflerine ilk 36 saat içinde ulaşamamış ve ilerleyen günlerde ikinci madde ve diğer şekillerde saldırmaya devam etmişlerdir. Ana arterlerdeki trafik yoğunluğu sırasında DNS sunucuların yanıt üretme performansında bir yavaşlık gözlenmemiştir. Bu saldırı şartları altında dahi, DNS sunucuların yükünün çok düşük seviyelerde seyrettiği, herhangi bir donanım ya da yazılım bazında yetersizlik içerisinde olunmadığı görülmektedir.

Trafik yoğunluğu, ülke içinde verilen çeşitli internet servislerinde (e-posta alışverişinde bir miktar yavaşlık, web sitesinin bir miktar gecikme ile açılması, vb.) hız düşüklüğü şeklinde ortaya çıkan bazı olumsuzluklara sebep olsa da, ekibimizin ve koordinasyon içinde çalıştığımız Telekom operatörlerinin yoğun çabalarıyla ülke çapında çok önemli boyutlarda bir servis yavaşlığı gözlenmemiştir. Yaşanan yavaşlığın Türkiye internetine etkisi homojen olmamıştır. Bazı arterlerde bir miktar yavaşlık yaşanırken, bazı diğer ağ parçalarında olağan hızın devam ettiği gözlenmiştir. Örnek olarak, Twitter, Facebook gibi sosyal ortamlar ve internet bankacılığı ortamları incelendiğinde yoğun bir şikayetin olmadığı, tersine bu ortamların problemsiz bir şekilde kullanıldığı görülmektedir.

Bu saldırının kaç kişi ve/veya kurumu etkilediği şeklinde bir soruya kolayca bir yanıt verilemez. Tek söylenebilecek olan, göreli bir yavaşlığın olduğu, ancak bunun günlük internet yaşamını ve herkesi etkilemediğidir. Eldeki verilerle saldırının kamu ve/veya özel sektör odaklı olup olmadığını ayıracak bir veri bulunmamaktadır. Ana arterlerden gelen trafik yoğunluğu nedeniyle her kesimin bir miktar yavaşlık şeklinde etkilenmiş olduğu söylenebilir.

Saldırı, sahte ağ trafiği üreterek ülke dışındaki kaynaklar tarafından gerçekleştirildiği için, bu tip saldırıların tek çözümü saldırı oluştuğunda ülkenin İnternet girişinin ana kapıları ve arterlerinde korunma sağlamaktır. Bu sözü edilen korunma biçimi ve önlemleri şu anda sürmektedir ve saldırının ileride tekrarlanması halinde de bu önlemlerin Telekom operatörlerimizce alınacağı açıktır. Bu aşamada 3’ü yurt dışına olmak üzere toplam 11 alan adı sunucusu ile hizmet verilmektedir. Yurt dışındaki sunucularda uygulanan ANYCAST adlı teknik nedeniyle 11 sunucu pratikte 20’den fazla sunucu olarak hizmet sağlamaktadır.

”

Sonuç olarak yapılan bu saldırılar ülke içerisindeki trafikten çok, yurtdışından Türkiye’deki sitelere ulaşmaya çalışan kişileri olumsuz olarak etkiledi. Buna sebep olarak saldırıya uğrayan sunucuların korunabilmesi için yurtdışı trafiğinin büyük bir kısmının kesilmesi gösteriliyor.

Uzmanlar ise yurtdışı trafiğinin kesilmesini doğru bulmuyor. Saldırılara karşı önlem almak yerine ‘fişin çekilmesi’nin yalnızca ülkenin itibarını değil, maddi yönünü de ciddi şekilde etkilediğini belirtiyorlar.