DDoS for Web

DDoS for Web nedir?

HTTP katmanındaki (L7) dağıtık hizmet reddi saldırılarına karşı, Cloudflare’in tüm planlarında sınırsız olarak verilen otomatik koruma.

Ürünü diğerlerinden ayıran iki şey var: sınırsız olması ve otonom çalışması.

Nasıl çalışır?

Azaltma request yolunun üzerinde değil

Bu, ürünle ilgili en yaygın yanlış anlatım ve düzeltilmesi gerekiyor.

Cloudflare’in faz listesinde ddos_l7 fazı var, ama yanında bir yıldız ve şu not duruyor:

”* This phase is for configuration purposes only — the corresponding rules will not be executed at this stage in the request handling process.”

Yani ddos_l7 bir yapılandırma yüzeyi, bir yürütme noktası değil.

Tespitten azaltmaya geçen süre: “Up to three seconds on average.”

Managed ruleset

Kural setinin kendisini düzenleyemiyorsun; override yazarak hassasiyet (sensitivity) ve aksiyon davranışını değiştiriyorsun.

Override sıralaması — sessizce her şeyi bozan tuzak

Ve ilgili bir uyarı: “Changing a rule from Block to Log may allow attack traffic to reach your web property.”

Adaptive DDoS Protection

Trafiğinin normal profilini öğrenip sapmayı yakalayan kural ailesi. GA tarihi 19 Eylül 2022.

Profilleme için gereken minimum istek hızı eşiği yayımlanmıyor. Düşük trafikli bir sitede bu kuralların anlamlı bir profil kurup kuramayacağı doğrulanamamıştır.

Loglama ve gözlemlenebilirlik

firewall_events Logpush dataset’inde:

Saklama süreleri — demo planlarken kritik:

Ücretsiz planda demo yapıyorsan ekran görüntülerini aynı gün almalısın.

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

Bu ürün için “kullanılır” listesi kısa, çünkü kapatılacak bir şey değil: proxy’li her zone’da zaten çalışıyor ve ücretsiz. Asıl soru “kullanmalı mıyım” değil, “ayarlarına dokunmalı mıyım”.

Ayarlarına dokunman gereken durumlar:

• Yanlış pozitif alıyorsan — meşru trafiğin engelleniyorsa hassasiyeti düşürmen gerekiyor.
• Belirli bir yol veya hostname için farklı davranış istiyorsan — ifadeli override.
• Adaptive kurallarını ayarlaman gerekiyorsa — trafik profilin sıra dışıysa.

Kullanılmaz — daha doğrusu, yetmez

Uygulama katmanı kötüye kullanımı DDoS değildir. Tek bir istemcinin API’ni dövmesi, kimlik doldurma (credential stuffing), kazıma veya stok kapma DDoS değil. Bunlar için doğru araçlar Rate Limiting, Bot Management ve WAF. DDoS koruması bunları yakalamaz ve yakalaması da beklenmemelidir.

Kaynak tükenmesi problemi DDoS koruması ile çözülmez. Origin’in meşru talep altında çöküyorsa sorun kapasite; cevap Waiting Room veya Load Balancing.

L3/L4 ağ saldırıları bu ürünün kapsamı değil. IP bloğunun tamamını korumak istiyorsan Magic Transit gerekiyor ve o ayrı bir ürün, ayrı fiyatlandırma.

HTTP olmayan servisler kapsamda değil. SSH, oyun sunucusu veya özel TCP protokolü için Spectrum.

DNS-only (gri bulut) kayıtlar korunmuyor. Trafik Cloudflare’den geçmiyorsa dosd de görmüyor.

Origin IP’n sızmışsa koruma atlanabilir. Saldırgan Cloudflare’i baypas edip doğrudan origin’e vurabiliyorsa hiçbir edge koruması işe yaramıyor. Origin’i yalnızca Cloudflare IP aralıklarına açman gerekiyor — ya da Tunnel kullanıp hiç açmaman.

Somut örnekler

Mevcut override’ları okumak

curl -sS "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  | jq '.result.rules[] | {ref: .ref, ifade: .expression,
                           hassasiyet: .action_parameters.overrides.sensitivity_level,
                           aksiyon: .action_parameters.overrides.action}'

Doğru sıralı override

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  --request PUT --header "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "rules": [
      {
        "ref": "api-yolu-yuksek-hassasiyet",
        "expression": "(http.host eq \"api.ornek.com.tr\")",
        "action": "execute",
        "action_parameters": {
          "id": "4d21379b4f9f4bb088e0729962c8b3cf",
          "overrides": { "sensitivity_level": "high", "action": "block" }
        }
      },
      {
        "ref": "geri-kalan-varsayilan",
        "expression": "true",
        "action": "execute",
        "action_parameters": {
          "id": "4d21379b4f9f4bb088e0729962c8b3cf",
          "overrides": { "sensitivity_level": "default" }
        }
      }
    ]
  }'

l7ddos olaylarını GraphQL ile çekmek

curl -sS https://api.cloudflare.com/client/v4/graphql \
  -H "Authorization: Bearer $CF_API_TOKEN" -H 'Content-Type: application/json' \
  --data '{"query":"
    query($zone:String!,$bas:Time!,$bit:Time!){
      viewer{ zones(filter:{zoneTag:$zone}){
        firewallEventsAdaptive(
          filter:{ datetime_geq:$bas, datetime_leq:$bit, source:\"l7ddos\" }
          limit:100, orderBy:[datetime_DESC]
        ){ datetime action source ruleId clientIP userAgent clientRequestHTTPHost }
      }}}",
    "variables":{"zone":"'"$ZONE_ID"'",
                 "bas":"2026-09-01T00:00:00Z","bit":"2026-09-02T00:00:00Z"}}' \
  | jq '.data.viewer.zones[0].firewallEventsAdaptive'

Logpush işi (firewall_events)

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "name":"guvenlik-olaylari",
    "dataset":"firewall_events",
    "destination_conf":"r2://loglar/guvenlik?account-id=...&access-key-id=...&secret-access-key=...",
    "output_options":{
      "field_names":["Datetime","Action","Source","RuleID","Ref","ClientIP",
                     "ClientRequestHost","ClientRequestPath","ClientRequestUserAgent"],
      "timestamp_format":"rfc3339"
    },
    "enabled":true
  }'

Source alanını mutlaka dahil et — l7ddos olaylarını ayırt etmenin tek yolu bu.

Demo 1: Override sırasının farkını kanıtlamak

Bu demo, sayfadaki en değerli operasyonel bilgiyi gösterilebilir hale getiriyor: yanlış sıra hiçbir hata üretmiyor ama korumayı tamamen etkisizleştiriyor.

Adım 1 — Başlangıç durumunu kaydet

curl -sS ".../zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  -H "Authorization: Bearer $CF_API_TOKEN" | jq '.result.rules' | tee ddos-baslangic.json

entrypoint kural listesinin jq çıktısı; mevcut ref, expression ve overrides değerleri

Adım 2 — DOĞRU sırayla kur

Yukarıdaki PUT çağrısını olduğu gibi çalıştır: özel ifadeli kural önce, "true" sonra.

İki kuralın panelde göründüğü hâli; ifadeli kural üstte, catch-all altta

Adım 3 — Trafik üretip Security Events’e bak

# Kendi zone'una, kendi IP'nden, ölçülü bir hacim
seq 1 500 | xargs -P 20 -I{} curl -sS -o /dev/null \
  -w '%{http_code}\n' "https://api.ornek.com.tr/?t={}" | sort | uniq -c

Security Events'te Service equals HTTP DDoS filtresiyle görünen olaylar ve aksiyonları

Adım 4 — Şimdi TERS sırayla kur

curl ".../zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  --request PUT -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "rules": [
      { "ref": "yakalayici-once-YANLIS", "expression": "true", "action": "execute",
        "action_parameters": { "id": "4d21379b4f9f4bb088e0729962c8b3cf",
                               "overrides": { "sensitivity_level": "low", "action": "log" } } },
      { "ref": "api-yolu-hic-degerlendirilmeyecek",
        "expression": "(http.host eq \"api.ornek.com.tr\")", "action": "execute",
        "action_parameters": { "id": "4d21379b4f9f4bb088e0729962c8b3cf",
                               "overrides": { "sensitivity_level": "high", "action": "block" } } }
    ]
  }'

API'nin 200 dönmesi ve panelde iki kuralın da sorunsuz görünmesi — hiçbir uyarı yok

Adım 5 — Aynı trafiği tekrar üret ve farkı göster

Security Events'te aynı trafiğin farklı aksiyonla (log) göründüğü ve api kuralının ref'inin hiç geçmediği

Adım 3 ile Adım 5’in ekran görüntülerini yan yana koy. Aynı trafik, aynı kurallar, tek fark sıra.

Adım 6 — Doğru yapılandırmayı geri yükle

curl ".../zones/$ZONE_ID/rulesets/phases/ddos_l7/entrypoint" \
  --request PUT -H "Authorization: Bearer $CF_API_TOKEN" \
  --json "$(jq -c '{rules: .}' ddos-baslangic.json)"

Bu demoda ölçülenler:

Demo 2: l7ddos olaylarını uçtan uca izlemek

Adım 1 — Panelde filtrele

Security → Events ekranında Service equals HTTP DDoS filtresi ve dönen olay listesi

Adım 2 — Aynı veriyi GraphQL’den al

Yukarıdaki firewallEventsAdaptive sorgusunu çalıştır.

source alanı l7ddos olan olayların jq çıktısı; action, ruleId ve clientIP alanlarıyla

Panel ile GraphQL çıktısını karşılaştır — sayılar tutmalı.

Adım 3 — Alan adlarının inceliğini göster

# YANLIŞ — bu alan yok, boş döner
jq '.[] | select(.ruleset == "ddos_l7")' olaylar.json

# DOĞRU
jq '.[] | select(.Source == "l7ddos") | {Action, RuleID, Ref}' olaylar.json

Yanlış sorgunun boş, doğru sorgunun dolu döndüğü yan yana çıktı

Adım 4 — connectionclose aksiyonunu ara

jq -r '.[] | select(.Source == "l7ddos") | .Action' olaylar.json | sort | uniq -c

block, managedchallenge, log ve varsa connectionclose sayımları

connectionclose HTTP DDoS’a özgü. Diğer güvenlik ürünlerinin olaylarında görmüyorsun.

Adım 5 — Logpush’a aktar ve alanları doğrula

R2 bucket'ında oluşan gzip dosyası ve içindeki bir satırın Source alanı l7ddos

Adım 6 — Saklama sınırını göster

Security Events'te tarih aralığını geriye çekince veri gelmediği an — planın saklama sınırı

Ücretsiz planda 24 saatten öncesine gidemiyorsun. Bu, uzun soluklu bir olay incelemesinin neden Logpush gerektirdiğini gösteriyor.

Bu demoda ölçülenler:

Fiyatlandırma

Temel HTTP DDoS koruması ücretsiz plan dahil her planda ve sınırsız.

Eskimiş rakamları alıntılama

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir. Unmetered DDoS Protection politikası sözleşmesel bir taahhüt olarak plans sayfasında yayımlanıyor.

Log verisi ve KVKK. firewall_events kayıtları istemci IP adresi ve User-Agent içeriyor — yani kişisel veri. Logpush ile kendi deponuza aktarıyorsanız saklama süresi, erişim yetkisi ve silme prosedürü sizin sorumluluğunuzda. Cloudflare’in kendi saklama süreleri plana bağlı ve kısa (ücretsiz planda 24 saat), bu da veri minimizasyonu açısından lehinize.

Logları Türkiye’de tutmanız gerekiyorsa Logpush hedefini Türkiye’deki bir depolama sistemine yönlendirebilirsiniz. Ama Cloudflare’in kendi analitik ve olay verisini Türkiye’de tutmasını sağlayamazsınız — Customer Metadata Boundary Türkiye’yi desteklemiyor. Ayrıntı için CDN.

Sık yapılan hatalar

Yakalayıcı ("expression": "true") override’ı başa koymak. Sonraki hiçbir kural değerlendirilmiyor ve hata alınmıyor.

L7 DDoS’u request yolunun bir aşaması gibi anlatmak. ddos_l7 fazı yalnızca yapılandırma için; azaltma dosd içinde, yol dışında.

Yanlış pozitif ayıklarken kuralı kalıcı olarak Log’a çevirmek. “may allow attack traffic to reach your web property.”

Logpush’ta ruleset alanını aramak. Öyle bir alan yok; Source == "l7ddos" kullan.

RuleId yazmak. Doğrusu RuleID.

connectionclose aksiyonunu beklememek. HTTP DDoS’a özgü ve ayrıştırıcın onu bilmiyorsa sınıflandırılamayan olay olarak düşüyor.

Ücretsiz planda demo yapıp ertesi gün ekran görüntüsü almaya çalışmak. Security Events 24 saat.

Rate limiting problemi ile DDoS’u karıştırmak. Tek istemcinin API’ni dövmesi DDoS değil.

Origin IP’sini açıkta bırakmak. Baypas edilebilen bir origin, hiçbir edge korumasıyla korunamaz.

DNS-only kayıtların korunduğunu sanmak. Trafik Cloudflare’den geçmiyorsa koruma da yok.

2017 ve 2021 blog rakamlarını güncel diye alıntılamak. 15 Tbps → 500 Tbps, 200 veri merkezi → 330+ şehir.

Türkiye sıralamasını “en çok saldırıya uğrayan 3. ülke” diye aktarmak. Metrik müşteri fatura ülkesi.

Adaptive DDoS kurallarının düşük trafikli bir sitede profil kuracağını varsaymak. Minimum eşik yayımlanmıyor.