DDoS müdahalesinde tek bir komut veya herkese uyan sabit eşik yoktur. Trafik türü, hat kapasitesi, uygulama davranışı ve kullanılan edge sağlayıcısı karar sırasını değiştirir. Aşağıdaki runbook temsili süre aralıkları verir; gerçek olayda yetkili değişiklik kaydı, iletişim planı ve geri dönüş adımı birlikte yürütülmelidir.
0-5 dakika: Etkiyi ve saldırı katmanını doğrulayın
Dış gözlem noktalarından erişim, DNS, TLS, CDN/edge metrikleri, origin CPU/RAM, bağlantı tablosu ve ağ doygunluğu birlikte incelenir. Amaç olayı volumetrik ağ saldırısı, protokol saldırısı, uygulama katmanı yükü veya uygulama arızası olarak ayırmaktır. Kısa trafik örnekleri ve zaman damgalı grafikler, kişisel veri ile sır niteliğindeki içerik gereksiz yere toplanmadan korunur.
5-15 dakika: Upstream ve edge sağlayıcısını devreye alın
Hat doygunsa yalnız origin firewall kuralı sorunu çözmez; trafik sunucuya ulaşmadan süzülmelidir. Hosting/ağ sağlayıcısına olay kimliğiyle eskalasyon açılır, mevcut DDoS profili doğrulanır ve CDN/WAF sağlayıcısının saldırı görünümü incelenir. Paket adı veya kapasite varsayılmaz; geçerli sözleşme ve sağlayıcı konsolu esas alınır.
15-25 dakika: Ölçülmüş edge kuralları uygulayın
Yönetilen challenge, WAF ve rate-limit kuralları önce en çok yük üreten yol, ASN, ülke veya istek davranışına dar kapsamda uygulanır. Eşikler normal trafik taban çizgisine göre belirlenir. Giriş, ödeme, API ve webhook gibi işlevler ayrı izlenir; meşru kullanıcıları topluca engelleyen genel User-Agent veya ülke bloklarından kaçınılır.
25-35 dakika: Origin erişimini sınırlandırın
Mimari uygunsa origin yalnız kullanılan edge ağlarından veya kimliği doğrulanmış tünelden erişilebilir hale getirilir. IP değişimi ilk refleks değildir: DNS geçmişi, e-posta, yönetim portları ve üçüncü taraf entegrasyonlar kontrol edilmeden yapılan rotasyon yeni kesinti yaratabilir. Her ağ değişikliği için erişim testi ve geri dönüş yolu hazır tutulur.
35-50 dakika: İş akışlarını ve veri bütünlüğünü test edin
Ana sayfanın açılması tek başına iyileşme değildir. Giriş, arama, sepet, ödeme, yönetim paneli, API ve kuyruk işleyişi kontrollü olarak test edilir. Hata oranı, gecikme ve kaynak kullanımı saldırı öncesi taban çizgisiyle karşılaştırılır. Veri bütünlüğü yalnız uygun log, işlem sayımı veya yedek doğrulamasıyla teyit edilir.
50-60 dakika: İletişim, izleme ve geri dönüş kararı
Olay sahibi; başlangıç zamanı, müşteri etkisi, alınan önlemler, mevcut risk ve bir sonraki güncelleme zamanını paylaşır. Henüz doğrulanmamış saldırı türü, veri ihlali veya kesin iyileşme süresi ilan edilmez. Geçici kuralların ne zaman gevşetileceği ve hangi metrikte geri alınacağı yazılıdır.
Olay sonrası: Kanıt, kök neden ve tatbikat
Zaman çizelgesi, trafik örnekleri, sağlayıcı yanıtları ve yapılan değişiklikler postmortemde birleştirilir. Kalıcı iyileştirmeler; mimari, sözleşme, kapasite ve maliyet üzerinden seçilir. Runbook düzenli tatbikatla test edilir; üretimde denenmemiş kural, kriz anında güvenli kabul edilmez.
