WordPress'te DDoS Saldırısını Durdurma ve Önleme Yolları

WordPress, güçlü özellikler ve güvenli bir kod tabanı sunduğu için dünyanın en popüler web sitesi oluşturucularından biridir. Ancak bu popülerlik, onu DDoS saldırıları için bir hedef haline getirir.

Hackerlar, web sitelerini yavaşlatmak ve kullanıcıların erişimine kapatmak için DDoS saldırılarını kullanırlar. Bu saldırılar hem küçük hem de büyük web sitelerini hedef alabilir. Bir DDoS saldırısının sonuçları, gelir kaybı, itibar zedelenmesi ve sinirlenmiş ziyaretçilerle sonuçlanarak ciddi olabilir.

WPBeginner, bu saldırıların hedefi oldu ve riski en aza indirmek ve web sitemizi güvende tutmak için adımlar atmayı öğrendik. Sınırlı kaynaklara sahip küçük bir işletme web sitesinin WordPress kullanarak bu tür DDoS saldırılarını nasıl önleyebileceğini merak ediyor olabilirsiniz.

Bu kılavuz, WordPress'te DDoS saldırılarını nasıl önleyeceğinizi ve durduracağınızı gösterecek, böylece web sitenizin güvenliğini bir profesyonel gibi saldırılara karşı güvenle yönetebileceksiniz.

DDoS Saldırısı Nedir?

DDoS (Dağıtılmış Hizmet Engelleme), ele geçirilmiş bilgisayarlar ve cihazları kullanarak bir WordPress barındırma sunucusuna veri göndermek veya veri istemek için kullanılan bir siber saldırı türüdür. Bu isteklerin amacı, hedeflenen sunucuyu yavaşlatmak ve nihayetinde çöktürmektir.

DDoS saldırıları, DoS (Hizmet Reddi) saldırılarından evrimleşmiştir. Bir DoS saldırısının aksine, farklı bölgelere yayılmış birçok ele geçirilmiş makine veya sunucudan yararlanırlar.

Bu ele geçirilmiş makineler, bazen botnet olarak adlandırılan bir ağ oluşturur. Etkilenen her makine bir bot gibi davranır ve hedeflenen sisteme veya sunucuya saldırılar başlatır. Bu, engellenmeden önce bir süre fark edilmemelerini ve maksimum hasara neden olmalarını sağlar.

En büyük internet şirketleri bile DDoS saldırılarına karşı savunmasızdır.

2018'de popüler bir kod barındırma platformu olan GitHub, sunucularına saniyede 1,3 terabayt trafik gönderen büyük bir DDoS saldırısına tanık oldu.

Ayrıca, bir DNS hizmet sağlayıcısı olan DYN'ye yapılan kötü şöhretli 2016 saldırısını da hatırlayabilirsiniz. Bu saldırı, Amazon, Netflix, PayPal, Visa, Airbnb, The New York Times, Reddit ve binlerce diğer popüler web sitesini etkilediği için dünya çapında haberlerde yer aldı.

DDoS SSS

DDoS saldırıları hakkında sıkça sorulan soruların bazı cevapları aşağıdadır.

DDoS Saldırıları Neden Olur?

DDoS saldırılarının arkasında çeşitli motivasyonlar vardır. İşte yaygın olanlardan bazıları:

• Sadece canı sıkılan teknik bilgili insanlar bunu maceralı buluyor
• Siyasi bir mesaj veren kişi ve gruplar
• Belirli bir ülkenin veya bölgenin web sitelerini ve hizmetlerini hedef alan gruplar
• Parasal zarar vermek amacıyla belirli bir işletmeye veya hizmet sağlayıcıya yönelik saldırılar
• Fidye toplamak amacıyla şantaj yapmak

Kaba Kuvvet Saldırısı ile DDoS Saldırısı Arasındaki Fark Nedir?

Kaba kuvvet saldırıları, şifreleri tahmin ederek veya rastgele kombinasyonlar deneyerek bir sisteme yetkisiz erişim sağlamaya çalışır.

DDoS saldırıları, hedeflenen sistemi çökertmek, yavaşlatmak veya erişilemez hale getirmek için kullanılır.

Daha fazla ayrıntı için, WordPress'te kaba kuvvet saldırılarını nasıl engelleyeceğinizle ilgili adım adım kılavuzumuza bakın: WordPress'te kaba kuvvet saldırılarını engelleme.

Bir DDoS Saldırısı Ne Kadar Hasara Yol Açabilir?

DDoS saldırıları bir web sitesinin performansını düşürebilir veya erişilemez hale getirebilir. Bu durum, kötü bir kullanıcı deneyimine, iş kaybına ve saldırıyı hafifletme maliyetlerine yol açar ki bu da binlerce doları bulabilir.

Bu maliyetlerin dökümü aşağıdadır:

• Web sitesinin erişilemezliği nedeniyle iş kaybı
• Hizmet kesintisiyle ilgili sorguları yanıtlamak için müşteri desteği maliyeti
• Güvenlik hizmetleri veya destek kiralayarak saldırıyı azaltma maliyeti
• En büyük maliyet, kötü kullanıcı deneyimi ve marka itibarıdır

WordPress'te DDoS Saldırılarını Nasıl Durdurabilir ve Engelleyebilirim?

DDoS saldırıları ustaca gizlenebilir ve başa çıkması zor olabilir. Ancak, bazı temel güvenlik en iyi uygulamalarıyla, DDoS saldırılarının WordPress web sitenizi etkilemesini önleyebilir ve kolayca durdurabilirsiniz.

Sitenizdeki DDoS saldırılarını önlemek ve durdurmak için atmanız gereken adımlar şunlardır:

1. DDoS / Kaba Kuvvet Saldırısı Dikey Unsurlarını Kaldır
2. WAF (Web Sitesi Uygulama Güvenlik Duvarı) Etkinleştirin
3. Kaba Kuvvet mi Yoksa DDoS Saldırısı mı Olduğunu Belirleyin
4. Bir DDoS Saldırısı Sırasında Ne Yapmalı
5. WordPress Web Sitenizi Nasıl Güvenli Tutarsınız

DDoS / Kaba Kuvvet Saldırısı Dikey Unsurlarını Kaldır

WordPress'in en iyi yanı, yüksek derecede esnek olmasıdır. WordPress, web sitenize entegre olmak ve yeni özellikler eklemek için üçüncü taraf eklentilerine ve araçlarına izin verir.

Bunu yapmak için WordPress, programcılara çeşitli API'ler sunar. Bu API'ler, üçüncü taraf WordPress eklentilerinin ve hizmetlerinin WordPress ile etkileşim kurabileceği yöntemlerdir.

Ancak, bu API'lerin bazıları, çok sayıda istek gönderilerek bir DDoS saldırısı sırasında da istismar edilebilir. Bu istekleri azaltmak için bunları güvenli bir şekilde devre dışı bırakabilirsiniz.

WordPress'te XML RPC'yi Devre Dışı Bırak

XML-RPC, üçüncü taraf uygulamaların WordPress web sitenizle etkileşim kurmasına olanak tanır. Örneğin, mobil cihazınızda WordPress uygulamasını kullanmak için XML-RPC'ye ihtiyacınız vardır.

Web sitenizi yönetmek için mobil uygulamayı kullanmayan kullanıcıların büyük çoğunluğu gibiyseniz, sitenizin .htaccess dosyasına aşağıdaki kodu ekleyerek XML-RPC'yi devre dışı bırakabilirsiniz:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternatif yöntemler için, WordPress'te XML-RPC'yi kolayca nasıl devre dışı bırakacağınıza dair kılavuzumuza bakın.

WordPress'te REST API'yi devre dışı bırakın

WordPress JSON REST API, eklentilerin ve araçların WordPress verilerine erişmesine, içeriği güncellemesine ve/veya hatta silmesine olanak tanır. İşte WordPress'te REST API'yi nasıl devre dışı bırakabileceğiniz.

WPCode eklentisini kullanmanızı öneririz. Bu, REST API'yi yalnızca birkaç tıklamayla devre dışı bırakmanızı sağlayacak en iyi kod parçacığı eklentisidir.

Daha fazla bilgi için lütfen WordPress'te JSON REST API'nin nasıl devre dışı bırakılacağına dair kılavuzumuza bakın.

Alternatif olarak, WP Rest API'yi Devre Dışı Bırak eklentisini kullanabilirsiniz. Eklenti kutudan çıktığı gibi çalışır ve REST API'yi oturum açmamış tüm kullanıcılar için devre dışı bırakır.

WAF (Web Sitesi Uygulama Güvenlik Duvarı) Etkinleştirin

REST API ve XML-RPC gibi saldırı vektörlerini devre dışı bırakmak, DDoS saldırılarına karşı sınırlı koruma sağlar. Web siteniz normal HTTP isteklerine karşı hala savunmasızdır.

Kötü makine IP'lerini yakalayıp manuel olarak engelleyerek küçük bir DDoS saldırısını hafifletebilseniz de, büyük bir saldırıyla başa çıkarken bu yaklaşım daha az etkilidir.

Şüpheli istekleri engellemenin en kolay yolu, bir web sitesi uygulama güvenlik duvarını etkinleştirmektir.

Bir web sitesi uygulama güvenlik duvarı, web siteniz ile gelen tüm trafik arasında bir proxy görevi görür. Akıllı bir algoritma kullanarak şüpheli tüm istekleri yakalar ve web sitesi sunucunuza ulaşmadan engeller.

Sucuri'yi kullanmanızı öneririz çünkü en iyi WordPress güvenlik eklentisi ve web sitesi güvenlik duvarıdır. DNS düzeyinde çalışır, bu da bir DDoS saldırısını web sitenize istek göndermeden yakalayabileceği anlamına gelir.

Sucuri fiyatları yıllık 199,99 ABD dolarından başlamaktadır.

WPBeginner'da Sucuri kullanıyoruz. Onların web sitemizde yüz binlerce saldırıyı engellemeye nasıl yardımcı olduğuna dair vaka çalışmamızı inceleyin.

Alternatif olarak Cloudflare kullanabilirsiniz. Ancak, Cloudflare'ın ücretsiz hizmeti yalnızca sınırlı DDoS koruması sağlar. Katman 7 DDoS koruması için en azından iş planlarına kaydolmanız gerekir, bu da ayda yaklaşık 200 ABD dolarına mal olur.

Ayrıntılı yan yana karşılaştırma için Sucuri vs. Cloudflare hakkındaki makalemize bakın.

Kaba Kuvvet mi Yoksa DDoS Saldırısı mı Olduğunu Belirleyin

Hem kaba kuvvet hem de DDoS saldırıları sunucu kaynaklarını yoğun bir şekilde kullanır, bu da belirtilerinin oldukça benzer göründüğü anlamına gelir. Web siteniz yavaşlayacak ve çökebilir.

Sucuri eklentisinin oturum açma raporlarına bakarak bunun bir kaba kuvvet saldırısı mı yoksa bir DDoS saldırısı mı olduğunu kolayca öğrenebilirsiniz.

Ücretsiz Sucuri eklentisini yükleyip etkinleştirmeniz ve ardından Sucuri Security » Last Logins sayfasına gitmeniz yeterlidir.

Çok sayıda rastgele oturum açma isteği görüyorsanız, bu wp-admin'inizin kaba kuvvet saldırısı altında olduğu anlamına gelir. Bunu durdurmak için, WordPress'te kaba kuvvet saldırılarını nasıl engelleyeceğiniz konusundaki kılavuzumuza bakabilirsiniz.

Bir DDoS Saldırısı Sırasında Ne Yapmalı

Web uygulama güvenlik duvarınız ve diğer korumalarınız olsa bile DDoS saldırıları meydana gelebilir. CloudFlare ve Sucuri gibi şirketler bu saldırılarla düzenli olarak ilgilenir ve çoğu zaman, kolayca hafifletebildikleri için onlardan hiç haberiniz olmaz.

Ancak, bazı durumlarda, bu saldırılar büyük olduğunda yine de sizi etkileyebilir. Bu durumda, DDoS saldırısı sırasında ve sonrasında ortaya çıkabilecek sorunları azaltmaya hazır olmak en iyisidir.

DDoS saldırısının etkisini en aza indirmek için yapabileceğiniz birkaç şey aşağıdadır.

1. Ekip Üyelerinizi Uyarın

Bir ekibiniz varsa, sorun hakkında iş arkadaşlarınızı bilgilendirmeniz gerekir.

Bu, müşteri destek sorgularına hazırlanmalarına, olası sorunlara dikkat etmelerine ve saldırı sırasında veya sonrasında yardımcı olmalarına yardımcı olacaktır.

2. Müşterileri Rahatsızlık Hakkında Bilgilendirin

Bir DDoS saldırısı web sitenizdeki kullanıcı deneyimini etkileyebilir. Bir WooCommerce mağazası işletiyorsanız, müşterileriniz sipariş veremeyebilir veya hesaplarına giriş yapamayabilir.

Web sitenizin teknik sorunlar yaşadığını ve her şeyin yakında normale döneceğini sosyal medya hesaplarınız aracılığıyla duyurabilirsiniz.

Saldırı büyükse, müşterilerle iletişim kurmak ve sosyal medya güncellemelerinizi takip etmelerini istemek için e-posta pazarlama hizmetinizi de kullanabilirsiniz.

VIP müşterileriniz varsa, hizmetleri geri yüklemek için nasıl çalıştığınızı bildirmek üzere bireysel telefon görüşmeleri yapmak için iş telefonu hizmetinizi kullanmak isteyebilirsiniz.

Bu zor zamanlarda iletişim, markanızın itibarını güçlü tutmada büyük fark yaratır.

3. Barındırma ve Güvenlik Desteğiyle İletişime Geçin

WordPress barındırma sağlayıcınızla iletişime geçin. Sitenize yapılan saldırı, sistemlerini hedef alan daha büyük bir saldırının parçası olabilir. Bu durumda, durum hakkında size en son güncellemeleri sağlayabilirler.

Güvenlik duvarı hizmetinizle iletişime geçin ve web sitenizin bir DDoS saldırısı altında olduğunu bildirin. Durumu daha da hızlı bir şekilde hafifletebilir ve size daha fazla bilgi sağlayabilirler.

Sucuri gibi güvenlik duvarı sağlayıcılarıyla, ayarlarınızı 'Paranoid Mod' olarak ayarlayabilir, bu da birçok isteği engellemeye yardımcı olur ve web sitenizi normal kullanıcılar için erişilebilir hale getirir.

WordPress Web Sitenizi Nasıl Güvenli Tutarsınız

WordPress kutudan çıktığı haliyle oldukça güvenlidir. Ancak, dünyanın en popüler web sitesi oluşturucusu olarak hackerların hedefi haline gelmektedir.

Neyse ki, web sitenizi daha da güvenli hale getirmek için uygulayabileceğiniz birçok güvenlik en iyi uygulaması bulunmaktadır.

Yeni başlayanlar için adım adım eksiksiz bir WordPress güvenlik rehberi derledik. Web sitenizi ve verilerinizi yaygın tehditlere karşı korumak için en iyi WordPress güvenlik ayarlarında size yol gösterecektir.

WordPress güvenliğinizi iyileştirmeyle ilgili diğer bazı makaleleri de görmek isteyebilirsiniz:

• WordPress Güvenlik Denetimi Nasıl Yapılır (Kapsamlı Kontrol Listesi)
• Sitenizi Korumak İçin En İyi WordPress Güvenlik Eklentileri (Karşılaştırıldı)
• Kötü Amaçlı Yazılımları ve Hack'leri Tespit Etmek İçin En İyi WordPress Güvenlik Tarayıcıları
• WordPress Sitenizi Potansiyel Olarak Kötü Amaçlı Kodlara Karşı Nasıl Tararsınız
• WordPress Sitelerinin Hacklenmesinin Başlıca Nedenleri (& Nasıl Önlenir)
• WordPress Sitenizi Kaba Kuvvet Saldırılarından Nasıl Korursunuz
• Hacklenmiş Bir WordPress Sitesinde Arka Kapı Nasıl Bulunur ve Düzeltilir
• WordPress'te Güvenlik Denetim Kayıtlarıyla Kullanıcı Etkinliği Nasıl İzlenir
• WordPress'te HTTP Güvenlik Başlıkları Nasıl Eklenir (Yeni Başlayanlar İçin Kılavuz)

Umarım bu makale, WordPress'te bir DDoS saldırısını nasıl engelleyeceğinizi ve önleyeceğinizi öğrenmenize yardımcı olmuştur. Ayrıca, WordPress SQL enjeksiyon saldırılarını nasıl önleyeceğiniz ve düzenli olarak yapılması gereken önemli WordPress bakım görevleri hakkındaki temel kontrol listemize de göz atmak isteyebilirsiniz.

Bu makaleyi beğendiyseniz, lütfen WordPress video eğitimleri için YouTube Kanalımıza abone olun. Bizi ayrıca Twitter ve Facebook'ta da bulabilirsiniz.