FortiDDoS, Fortinet'in DDoS (dağıtık hizmet engelleme) saldırılarını tespit edip durdurmak için tasarladığı özel amaçlı cihaz ve sanal makine ailesidir. Fortinet ürün sayfasında FortiDDoS, kaynakları tüketerek servisleri meşru kullanıcılara erişilemez hale getiren saldırılara karşı satır içi (inline), amaca özel bir çözüm olarak tanımlanır.
Bu yazıda FortiDDoS'un nasıl öğrenip eşik belirlediğini, hangi modlarda çalıştığını, model seçeneklerini ve kimler için uygun olduğunu anlatıyoruz. DDoS saldırılarının genel türleri ve sunucu tarafında alınabilecek önlemler için önce DDoS koruma rehberi yazısına bakabilirsiniz.
FortiDDoS nedir, firewall'dan farkı ne?
Bir firewall veya NGFW, bağlantı durumlarını (session) takip ederek kural uygular. Büyük hacimli bir DDoS saldırısında bu oturum tablosu dolabilir ve firewall'un kendisi darboğaz olabilir. FortiDDoS ise oturum tutmak yerine trafik oranlarını izleyen ve normalin dışına çıkan trafiği düşüren bir cihazdır. FortiDDoS-F el kitabına göre cihaz veri yolunda IP veya MAC adresi olmadan çalışır ve bir ya da daha fazla internet bağlantısının önüne, ağ kenarına yerleştirilir.
Fortinet ürün sayfası, FortiDDoS'un trafiği örneklemek yerine her paketi denetlediğini, aynı anda 230.000 parametreyi izlediğini ve 10.000'den fazla olası UDP yansıtma (reflection) portunu takip ettiğini belirtir. 4. katman ve 7. katman saldırıları arasında TCP bayrak, DNS, NTP, DTLS ve QUIC doğrudan ve yansıtmalı saldırıları sayılır.
Nasıl tespit eder? Öğrenme ve uyarlanabilir eşikler
FortiDDoS imza tabanlı değil, davranış tabanlı çalışır: önce ağınızın normal trafiğini öğrenir, sonra bu normale göre eşikler belirler. El kitabındaki akış şöyledir:
- Öğrenme modu: Cihaz "eşiksiz Detection Mode" ile başlar; trafiği gözlemler, hiçbir paketi düşürmez. Öğrenme kurulumdan sonra da hiç durmaz.
- Sistem önerisi: Öğrenilen trafikten, sizin belirlediğiniz bir yüzde payıyla önerilen eşikler üretilir. Belge bunu önerilen yöntem olarak gösterir.
- Uyarlanabilir eşikler: 38 temel parametrenin eşiği, son altı haftalık trafiğe göre makine öğrenmesiyle otomatik ayarlanır.
- Prevention Mode: Eşikler oturduktan sonra cihaz anormal paketleri aktif olarak düşürmeye başlar.
Eşik türleri
| Kavram | Anlamı (FortiDDoS-F el kitabına göre) |
|---|---|
| Configured minimum threshold | Normal sayım veya oranların temel değeri; uygulanan limit değildir. |
| Estimated threshold | Ortalama, eğilim ve mevsimselliğe göre hesaplanan asıl oran limiti. |
| Adaptive limit | Tahmini eşiğin üst sınırını belirleyen yüzde; varsayılan değer %150. %100 yapılırsa eşik sabit kalır. |
| Percent Adjust | Beklenen meşru trafik artışlarından önce tüm eşikleri belirli bir yüzde yükseltir. |
| Emergency Setup | Saldırı altındayken temel değer oluşturmaya vakit olmadığında kullanılır. |
Kurulum ve çalışma modları
| Konu | Belgelenen davranış |
|---|---|
| Yerleşim | Satır içi (inline), internet bağlantılarının önünde, veri yolunda IP/MAC adresi olmadan. |
| Detection Mode | Düşürülecek trafiği yalnızca loglar, engellemez. |
| Prevention Mode | Anormal paketleri düşürür, taşkınları (flood) engeller. |
| Asimetrik trafik | Gelen bağlantının cihazdan geçip giden bağlantının cihazı atladığı çok bağlantılı yapıları destekler. |
| Koruma politikaları (SPP) | Modele göre 4 ile 16 arası Service Protection Policy; her biri kendi eşiklerini bağımsız öğrenir. |
| Yüksek erişilebilirlik | Tüm modeller HA destekler; cihazlarda 1000BT ve/veya optik bypass seçenekleri bulunur. |
| Raporlama | Cihaz üstünde 5 dakikadan 1 yıla kadar grafikler; harici raporlama için syslog ve SNMP trap. |
Modeller
Fortinet ürün sayfasında listelenen donanım ve sanal modeller şunlardır. Değerler üreticinin belirttiği en yüksek denetlenen throughput'tur.
| Model | Denetlenen throughput | Paket hızı | Form faktörü |
|---|---|---|---|
| FortiDDoS 200F | 8 Gbps | 9 Mpps | 1U |
| FortiDDoS 1500F | 30 Gbps | 28 Mpps | 2U |
| FortiDDoS 2000F | 76 Gbps | 60 Mpps | 2U |
| FortiDDoS 2000E | 90 Gbps | 77 Mpps | 2U |
| FortiDDoS-VM (VM04 / VM08 / VM16) | 3 / 5 / 10 Gbps | 4 / 6 / 10 Mpps | Sanal makine |
Ürün sayfası, VM performansının altındaki donanıma bağlı olduğunu not eder. Fortinet herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; cihaz modeline, abonelik paketine ve süresine göre değişir.
FortiDDoS kimler için uygun?
FortiDDoS, kendi internet bağlantılarını ve IP bloklarını yöneten kurumlar için anlamlıdır: veri merkezleri, internet servis sağlayıcıları, barındırma firmaları ve kendi ağ kenarında saldırıyı karşılamak isteyen büyük kurumlar. Ürün sayfası kullanım senaryoları olarak altyapı koruması ve iş sürekliliği, botnet savunması ve saldırı sırasında NOC müdahalesi gerektirmeyen otonom koruma sayar.
Önemli bir sınır var: satır içi bir cihaz, ancak kendisine ulaşan bağlantının kapasitesi kadar trafiği temizleyebilir. Saldırı hacmi internet hattınızı doldurursa cihaz önünde durursa bile hat tıkanır. Bu nedenle çok büyük hacimli saldırılarda üst akış (upstream) temizleme veya bulut tabanlı servislerle birlikte kullanım planlanır. Tek bir VPS veya küçük web sitesi için Cloudflare WAF gibi bulut servisleri ya da sağlayıcının DDoS koruması daha pratik olabilir.
Alternatifler
Benzer kategoride Radware DefensePro, NETSCOUT Arbor ve Corero SmartWall bulunur. Oyun sunucuları için oyun sunucusu DDoS koruması yazısına, uygulama katmanı koruması için FortiWeb WAF yazısına bakabilirsiniz.
Sık Sorulan Sorular
FortiDDoS imza kullanır mı?
El kitabı ve ürün sayfası FortiDDoS'u davranış tabanlı olarak anlatır: normal trafiği öğrenir, oran eşikleri belirler ve bu eşikleri aşan trafiği düşürür. Eşikler son altı haftalık trafiğe göre sürekli güncellenir.
FortiGate DDoS saldırılarını engellemez mi?
FortiGate'te DoS politikaları bulunur, ancak FortiDDoS büyük hacimli saldırılar için ayrıca tasarlanmış, oturum tutmadan oran tabanlı çalışan bir cihazdır. Hangisinin yeterli olduğu saldırı hacmine ve bağlantı kapasitenize bağlıdır.
Kurulumdan hemen sonra trafiği engeller mi?
Önerilen akışta hayır. Cihaz önce Detection Mode'da öğrenir, ardından önerilen eşikler üretilir ve sonra Prevention Mode'a geçilir. Acil durumlar için Emergency Setup seçeneği vardır.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Firewall nedir · DDoS koruma rehberi · Radware DefensePro · NETSCOUT Arbor · Corero SmartWall · IDS/IPS nedir · 1 Gbps port nedir