Rate Limiting Yeterli Değil: Kaba Kuvvet Saldırılarına Katmanlı Savunma

Kaba Kuvvet Saldırısı Savunma, bu yazıda ele aldığımız konunun tam merkezinde yer alıyor; aşağıdaki başlıklarda konuyu uygulanabilir adımlarla ele alıyoruz.

"IP başına dakikada 5 deneme" kuralı, tek bir bilgisayardan yapılan basit saldırıları durdurur ama binlerce farklı IP'den (botnet) yapılan dağıtık kaba kuvvet saldırılarında işe yaramaz — her IP zaten limit altında kalır.

IP bazlı hız sınırlama: gerekli ama yetersiz ilk katman

Yine de bu katmanı kaldırmayın; tek kaynaklı saldırıların büyük çoğunluğunu ucuza filtreler. Sadece "bu yeterli" varsayımına düşmeyin.

$attempts = $cache->get("login_attempts:{$ip}") ?? 0;
if ($attempts > 5) {
    return $response->setStatusCode(429);
}
$cache->save("login_attempts:{$ip}", $attempts + 1, 300);

Hesap bazlı kilitleme: hedeflenen kullanıcıyı korur

Saldırgan farklı IP'ler kullansa da hedef aldığı kullanıcı adı sabittir. Belirli bir hesaba kısa sürede çok sayıda başarısız deneme yapılırsa, IP'den bağımsız olarak o hesabı geçici süreyle kilitleyin ve kullanıcıyı bilgilendirin.

Davranışsal analiz: dağıtık saldırıları yakalama

Aynı anda farklı hesaplara farklı IP'lerden ama aynı user-agent, aynı zamanlama deseniyle yapılan girişler, "credential stuffing" (çalıntı şifre listesiyle deneme) saldırısının imzasıdır. Bu deseni yakalamak için giriş isteklerinin toplu istatistiklerini izlemek gerekir.

Konuyu daha derinlemesine incelemek isteyenler için: OWASP Top Ten.

İlgili Yazılar

• Açık Kaynak Bir Bağımlılığı Güvenle Değerlendirmenin Kontrol Listesi
• Kurum İçi Eğitim Programı Tasarlarken Yapılan En Büyük Hata
• İki Faktörlü Doğrulama: SMS, TOTP ve Passkey Farkı

Pratik Uygulama Kontrol Listesi

Bu yazıdaki önerileri kendi ekibinize uyarlarken aşağıdaki adımları sırasıyla uygulamanız, teoriden pratiğe geçişi kolaylaştırır:

1. Mevcut durumu ölçün. Değişiklik yapmadan önce bugünkü performansı/süreyi/hata oranını kaydedin; aksi halde iyileşmeyi kanıtlayamazsınız.
2. Küçük bir pilot seçin. Tüm sisteme veya tüm ekibe birden uygulamak yerine tek bir modülde veya tek bir sprintte deneyin.
3. Sonuçları ekiple paylaşın. Elde ettiğiniz veriyi (olumlu ya da olumsuz) kısa bir notla ekibe aktarın; kararın gerekçesi belgelenmemişse aynı tartışma birkaç ay sonra tekrar açılır.
4. Süreci tekrarlanabilir hale getirin. İşe yarayan pratiği bir kontrol listesine veya şablona dönüştürün ki yeni katılan ekip üyeleri de aynı standardı hızlıca öğrensin.

Sık Yapılan Yanlışlar

Bu konuda ekiplerin en çok düştüğü tuzak, çözümü tek bir kişiye ya da tek bir araca yüklemektir. Oysa kalıcı iyileşme, sürecin ekibin günlük rutinine (code review kontrol listesi, sprint planlama, onboarding dokümanı gibi) gömülmesiyle mümkün olur. İkinci yaygın hata ise "en iyi pratiği" olduğu gibi kopyalamaktır — başka bir ekipte işe yarayan bir yaklaşım, farklı bir ölçekte veya farklı bir teknoloji yığınında aynı sonucu vermeyebilir; önce kendi bağlamınızda küçük ölçekte test edin, sonra genişletin. Üçüncü tuzak ise ölçmeden karar vermektir: "daha iyi hissettiriyor" öznel bir gerekçedir, ekip içi tartışmalarda nesnel veriyle desteklenmeyen kararlar er ya da geç sorgulanır ve geri alınır. Son olarak, dokümantasyonu atlamak da sık görülen bir hatadır: bir kararın "neden" alındığı yazılı değilse, ekip altı ay sonra aynı tartışmayı sıfırdan yeniden yapmak zorunda kalır ve önceki deneyimden öğrenilenler kaybolur.

Sonuç

Rate Limiting Yeterli Değil: Kaba Kuvvet Saldırılarına Katmanlı Savunma konusunda burada değindiğimiz noktalar, konuyu ilk kez ele alan ekipler için de deneyimli geliştiriciler için de pratik bir kontrol listesi görevi görür. kaba kuvvet saldırısı savunma üzerine çalışırken en çok fayda sağlayan yaklaşım, tek seferde her şeyi mükemmelleştirmeye çalışmak yerine küçük, ölçülebilir adımlarla ilerlemektir. Ekibinizde bu konuyu bir sonraki sprint retrospektifinde veya teknik tartışma toplantısında gündeme getirmenizi, burada anlatılan pratiklerden hangilerinin sizin bağlamınıza uyduğunu birlikte değerlendirmenizi öneririz. Sonuç olarak, doğru araçları seçmek kadar bunları ekip kültürüne oturtmak da başarıyı belirleyen asıl etkendir.