Öğretim Görevlisi: Bu
derste yük dengeleyicilerin önemi hakkında konuşacağız.
Artık içerik anahtarı
olarak da bilinen yük dengeleyiciler,
gelen talepleri bir sunucu formu veya
bir bulut altyapısı içindeki
bir dizi sunucuya dağıtmak için kullanılmaktadır.
Büyük bir web sitesi veya hizmet işletiyorsanız,
bunların hepsini tek bir sunucuda yapamazsınız.
Örneğin, şu anda kurslarımı alan ve videolarımı
izleyen birkaç
yüz bin öğrencim var.
Tek bir sunucunun bu kadar yükü kaldırmasına imkan yok.
Bu yüzden bunu dünyanın dört bir
yanındaki pek çok farklı sunucuya dağıtmamız
gerekiyor.
Ancak bir öğrenci web sitemi ziyaret etmek istediğinde,
belirli bir sunucu seçmek zorunda değil.
Bunun yerine, sadece diontraining'e gidiyorlar. com'a yönlendirir ve yük
dengeleyicimiz ve içerik anahtarımız
bu isteği işleyebilmek için bir sonraki uygun sunucuya
yönlendirir.
Aslında, tüm bu farklı talepleri karşılamak
için dünyanın her yerinde
bulunan tonlarca farklı sunucumuz var.
Aynı şey Netflix, Hulu, Facebook
ya da Amazon'da da oluyor ama çok
daha büyük ölçekte.
Tüm bu büyük web siteleri bir yük dengeleyici kullanmak zorundadır,
aksi takdirde tek bir sunucu yük altında
çökecek ve web sitelerinin popülerliği nedeniyle kendi kendilerine
uygulanan bir Hizmet Reddi Saldırısına maruz
kalacaklardır.
Şimdi bir yük dengeleyici, sunucularınızın
önünde oturarak ve müşterinin
talebini herhangi bir zamanda bu talepleri
yerine getirmek için en uygun olan sunuculara yönlendirerek
esasen bir trafik polisi görevi görür.
Bu, kullanıcıya yanıt verme hızını en üst düzeye çıkarır ve
tüm kullanıcı talepleriniz için
sunucularınız için mevcut kapasitenizin tamamını daha
verimli bir şekilde kullanır.
Bir yük dengeleyicinin bu kadar önemli olmasının nedeni,
Hizmet Reddi Saldırısına veya Dağıtılmış Hizmet
Reddi Saldırısına karşı savunmaya yardımcı olmak için yapabileceğimiz
temel şeylerden biri olmasıdır.
Şimdi, Hizmet Reddi Saldırısı nedir?
Hizmet Reddi Saldırısı, kurban sistemlerin
sürekli olarak hizmet talepleriyle dolup taşmasını,
sistemin belleğinin tükenmesine
ve sonunda çökmesine neden olmasını
içerir.
Ancak artık çoğu modern sistem
tek bir makine tarafından çökertilemiyor.
Saldırganlar bunun yerine DDoS ya da Dağıtılmış Hizmet
Engelleme Saldırısı kullanırlar.
Dağıtılmış Hizmet Reddi Saldırısında,
bir sunucuyu hedef alan tek bir saldırgan yerine,
sunucuyu çevrimdışı olmaya zorlamak için
aynı anda bu saldırıyı başlatan yüzlerce hatta binlerce
makine vardır.
Örneğin Mart 2018'de GitHub bugüne kadarki
en büyük DDoS saldırısına maruz kalmıştır.
On binlerce benzersiz uç nokta koordineli
bir saldırı gerçekleştirerek
sunucuyu 1 katına varan bir trafik artışıyla
vurmuştur. Saniyede 35 terabit.
Bu durum siteyi beş dakikalığına çevrimdışı hale getirdi.
Ancak asıl soru şu: Bu saldırılardan
birinde nasıl hayatta kalabilir ve kuruluşumuzun
sunucularını çökertmesini nasıl önleyebiliriz?
En iyi uygulamalardan bazıları için
Amazon'a bakmamız yeterli.
Gördüğünüz gibi, 2020 yılının Şubat ayında Amazon,
GitHub'dan bile daha büyük, bugüne kadarki en büyük DDoS
tarafından vuruldu.
Ve bu sunucuya 2 katına çıkan
bir trafik artışıyla vurmak için koordineli
bir saldırı yapıldı. Saniyede 3 terabit, ancak sahip
oldukları iyi güvenlik mimarisi ve bu saldırıyı sürdürmek
için kaynakları ölçeklendirme yetenekleri sayesinde, GitHub'ı
çökertenden %70 daha büyük olmasına rağmen saldırı
sırasında hiçbir kesinti yaşamadılar.
Kullandıkları ilk teknik kara
delik ya da sinkholing olarak biliniyor.
Bu, saldıran IP adreslerini
tanımlayan ve tüm trafiğini boş bir arayüz
üzerinden var olmayan bir
sunucuya yönlendiren ve saldırıyı etkili bir şekilde
durduran bir tekniktir.
Ne yazık ki, saldırganlar her zaman yeni bir IP'ye geçebilir
ve saldırıyı yeniden başlatabilir.
Yani bir DDoS'u sonsuza kadar engellemeyecektir,
ancak diğer hafifletmeler üzerinde
çalışırken size biraz zaman kazandıracaktır.
IPS'ler veya İzinsiz Giriş Önleme Sistemleri, Hizmet
Reddi Saldırılarını belirlemek
ve bunlara yanıt vermek için de kullanılabilir.
Bu, ağınıza yönelik küçük ölçekli saldırılar
için işe yarayabilir,
ancak Amazon'un hedef alındığı gibi gerçekten büyük
ölçekli bir saldırıyla başa çıkmak için yeterli
işlem gücüne sahip olmayacaktır.
Şu anda en etkili yöntemlerden biri
elastik bulut altyapısı kullanmaktır, çünkü
gerektiğinde ölçeklendirmenize olanak tanır, böylece saldırıyı
atlatabilirsiniz.
Ancak bu stratejiyle ilgili sorun,
çoğu hizmet sağlayıcının sizi
kullandığınız kapasite ve kaynaklara göre
ücretlendirecek olmasıdır.
Dolayısıyla ölçek büyüttükçe, bu durum
bulut hizmet sağlayıcımızdan çok daha büyük bir
fatura almamıza neden olur ve bu,
herhangi bir yatırım getirisi
elde edemediğimiz bir şey olabilir, çünkü tüm
bu trafik kuruluşumuz için herhangi bir gelir yaratmıyordu,
hepsi sadece saldırının
bir parçasıydı.
Bununla birlikte, en azından ödeme yapan müşterilerinize hizmet
vermek için çevrimiçi kalıyorsunuz.
Dolayısıyla mesele, DDoS saldırısının
devam edebileceğinden daha uzun süre dayanmayı
göze alıp alamayacağınızla ilgilidir.