DDoS Saldırılarında Failiyet, IP Kayıtları ve Teknik İspat Sorunları

Bir hizmetin yoğun trafik altında erişilemez hale gelmesi, saldırının etkisini gösterebilir. Aynı trafik kaydı, saldırıyı kimin yönettiğini çoğu zaman doğrudan göstermez. DDoS soruşturmalarında güçlük, yüzlerce veya binlerce kaynak adresi bulmaktan çok, bu adreslerin olay içindeki rollerini doğru belirlemektir. Paket gönderen cihaz, trafiği yansıtan sunucu, bağlantının abonesi ve saldırı talimatını veren kişi birbirinden farklı olabilir.

Dağıtık hizmet engelleme saldırısı anlamındaki DDoS, bir hizmetin kullanılabilirliğini hedefleyen koordineli trafik veya isteklerle ilişkilidir. Soruşturma hem hizmetteki bozulmayı hem de suçun belirli kişiye atfedilmesini kanıtlamalıdır. Teknik ölçümlerin hacmi, kişisel isnadın gücüyle aynı şey değildir. Çok sayıda IP adresi içeren bir tablo, adreslerin nasıl elde edildiği ve neyi temsil ettiği açıklanmadığında, ayrıntılı görünmesine rağmen sınırlı ispat değeri taşıyabilir.

Hizmet kesintisinin saldırıdan kaynaklandığının belirlenmesi

TCK 244'ün birinci fıkrası, bilişim sisteminin işleyişinin engellenmesini veya bozulmasını düzenler. DDoS iddiasında sistemin hangi işlevinin, hangi süreyle ve nasıl etkilendiği araştırılır. Tam kesinti ile bazı kullanıcılarda yavaşlama, tek bir uygulamanın bozulması ile bütün ağın kullanılamaması farklı sonuçlardır. Hizmet sağlayıcının genel kesinti açıklaması, olayın teknik kapsamını tek başına belirlemeye yetmeyebilir.

Yoğunluk her zaman kötü amaçlı saldırıdan doğmaz. Beklenmedik kullanıcı talebi, hatalı yazılım güncellemesi, yanlış yapılandırma veya altyapı arızası benzer belirtiler üretebilir. İnceleme, olağan trafik düzeyi, olay sırasında gelen isteklerin niteliği ve sistem kaynaklarının durumuyla bu açıklamaları karşılaştırır. Kasıtlı engelleme iddiası, yalnız “trafik arttı” tespitinden daha fazla dayanak gerektirir. Saldırı sınıflandırmasının hangi ölçütlere göre yapıldığı açıklanmalıdır.

Sistem sahibinin koruma amacıyla hizmeti kapatması da olayın etkisini değiştirebilir. Bu karar saldırı nedeniyle verilmiş olsa bile doğrudan teknik engelleme ile müdahale sonucu kesinti ayrı gösterilir. Zaman çizelgesinde saldırı başlangıcı, koruma önlemlerinin devreye girmesi ve hizmetin yeniden açılması belirlenir. Kullanıcıların bildirdiği erişim sorunu ile sunucunun kendi ölçümleri arasındaki farklar da açıklanır. Böylece kesintinin kapsamı tek bir alarm kaydına indirgenmez.

Ağ, protokol ve uygulama düzeyindeki farklı izler

DDoS olayları aynı kayıt türüyle açıklanabilecek tek biçimli saldırılar değildir. Ağ kapasitesini tüketen trafikle uygulamanın belirli işlevini aşırı yükleyen istekler farklı yerlerde iz bırakır. Bir olayda uygulama sunucusuna hiç ulaşmayan trafik belirleyici olabilirken, başka bir olayda düşük veri hacmiyle yoğun işlem yükü oluşabilir. İnceleme kaynağı, saldırının etkilediği katmana göre seçilmelidir.

Güvenlik duvarı kayıtları, ağ akış verileri ve uygulama erişim logları birbirinin aynısı değildir. Akış verisi bağlantının yönü, süresi ve hacmi hakkında bilgi verebilir, fakat içeriğin tamamını göstermez. Paket kaydı daha ayrıntılı olabilir, ancak her zaman bütün trafiği kapsamamış olabilir. Uygulama logu da yalnız ilgili yazılımın kaydettiği olayları yansıtır. Bir kaynakta kaydın bulunmaması, başka katmanda olay gerçekleşmediğini kesinleştirmez.

NIST SP 800-86, ağ incelemesinde farklı veri kaynaklarının ve protokol katmanlarının birlikte değerlendirilmesini ele alır. Bu teknik yaklaşım, hedef sistemde görülen etkinin kaynağını araştırmaya yardımcı olur. Bununla birlikte ağ analizi sonucunun gerçek kişi tespitine dönüşmesi için ek bağlantılar gerekir. Raporun trafik türünü doğru sınıflandırması, saldırı yöneticisini otomatik olarak belirlediği anlamına gelmez. Teknik başarı ile kişisel atıf ayrı sonuçlar olarak sunulmalıdır.

Kaynak IP adresinin hangi rolü gösterdiği

Bir pakette görünen kaynak adresi, koşullara göre trafiği gönderen cihazı, bir ara sistemi veya sahte olarak yazılmış adresi temsil edebilir. Kaynak adresi sahteciliği, bütün internet işlemleri için aynı kolaylıkta ve aynı sonuçlarla uygulanabilen bir olgu değildir. Kurulmuş bağlantı gerektiren iletişimle bağlantısız trafik arasında teknik farklar bulunur. Bu nedenle her IP kaydını gerçek kullanıcı adresi saymak da bütün IP verilerini değersiz kabul etmek de doğru olmaz.

IETF RFC 2827, kaynak adresi sahteciliğine karşı ağ giriş filtrelemesini konu alır. Standardın varlığı, sahteciliğin teknik olarak bilinen bir sorun olduğunu gösterir. Ancak belirli olayda sahte adres kullanıldığını kanıtlamak için olayın protokol yapısı ve kayıtları incelenmelidir. Standart, bütün ağların aynı korumayı eksiksiz uyguladığını varsaymaya da dayanak olamaz. Raporda genel teknik imkan ile somut tespit açıkça ayrılır.

Yansıtmalı saldırı iddiasında hedefin gördüğü kaynak, saldırganın ilk komutu verdiği sistem olmayabilir. Aradaki hizmetin ürettiği yanıtlar hedefe ulaşmış olabilir. Böyle bir durumda ara sunucunun sahibi doğrudan saldırgan gibi gösterilemez. Sunucunun kullanımı, yönetimi ve olay hakkındaki bilgi ayrı araştırılır. Hedefteki IP listesinin abonelere dağıtılması, bu teknik ilişki çözülmeden kişisel sorumluluk hakkında güvenilir sonuç üretmez.

Ele geçirilmiş uç cihazların fail tespitindeki yeri

Botnet içinde kullanılan bilgisayarlar ve bağlantılı cihazlar, sahiplerinin bilgisi dışında trafik üretebilir. Hedef sistemde bu cihazların adreslerinin görülmesi, cihaz sahibinin saldırı talimatı verdiğini kanıtlamaz. Uç cihazın zararlı yazılımla kontrol edilip edilmediği, olay zamanındaki süreçler ve ilgili bağlantılarla araştırılabilir. Aynı kişi, saldırıda kullanılan cihazın sahibi olmakla birlikte başka bir bilişim suçunun mağduru da olabilir.

Bir kaynak adresinin belirli aboneye tahsis edilmesi, cihazın belirlenmesi ve gerçek kullanıcının belirlenmesi ayrı aşamalardır. Ortak ağ, dinamik adres veya adres paylaşımı kullanılan yapıda zaman ve gerekli bağlantı bilgileri kritik hale gelir. Saat dilimi, port ve kayıt çözünürlüğündeki eksiklikler, yanlış eşleştirmeye yol açabilir. Sağlayıcının verdiği abone cevabı, kendi kapsamının ötesinde kullanıcı kimliği tespiti gibi sunulmamalıdır.

Uç cihazdan elde edilen kayıtlar saldırı zamanını kapsamıyorsa, sonradan temiz görünen sistemden geçmişte zararlı faaliyet bulunmadığı sonucu çıkarılamaz. Tersine, sonradan bulunan zararlı dosya da önceki bütün trafiği açıklamaz. İnceleme olay zamanı, yazılımın etkinliği ve trafik üretme kapasitesi arasında bağ kurmalıdır. Genel güvenlik zafiyeti tespiti, somut saldırıya katılımın kanıtı yerine geçirilemez.

Trafiğin ölçülmesi ve örnekleme sınırları

Saldırı raporlarında paket sayısı, istek sayısı, veri hacmi ve eşzamanlı bağlantı sayısı farklı ölçümlerdir. Bu değerler birbirine çevrilirken kullanılan yöntem açıklanmalıdır. Aynı trafiğin iki ayrı ağ noktasında ölçülmesi, iki bağımsız saldırı veya iki kat hacim anlamına gelmez. Ölçümlerin hangi zaman aralığını ve hangi ağ kesimini kapsadığı belirtilmeden rakamların karşılaştırılması yanıltıcı olabilir.

Yoğun trafik sırasında kayıt sistemleri de kapasite sınırına ulaşabilir. Paket kaybı, örnekleme veya logların döndürülmesi nedeniyle eldeki veri tam olmayabilir. Örnekten toplam hacim hesaplanıyorsa bunun tahmin olduğu ve hesaplama yöntemi gösterilir. Bir IP adresinin örnekte bulunması, saldırı süresince sürekli etkin kaldığını kanıtlamaz. Örnekte bulunmaması da olayın hiçbir anında trafik üretmediğini kesinleştirmez.

Koruma hizmetinin sınıflandırdığı “kötü amaçlı istek” sayısı, kullanılan kural ve eşiklere bağlıdır. Yanlış pozitifler veya sonradan değiştirilen kurallar raporun yorumunu etkileyebilir. Sınıflandırma sistemi bir güvenlik kararı için yeterli olabilir, ancak ceza yargılamasında dayanağı tartışılmalıdır. Aynı kaydın güvenlik amacıyla engellenmiş olması ile belirli kişinin suç işlediğinin kanıtlanması farklı değerlendirmelerdir. Rapor, bu amaç farkını görünür kılmalıdır.

Koruma hizmetlerinin arkasındaki görünürlüğün değişmesi

Bir web hizmeti içerik dağıtım ağı veya DDoS koruma sağlayıcısı üzerinden çalışıyorsa, asıl sunucunun gördüğü bağlantılar bu ara hizmete ait olabilir. Gerçek istemciye ilişkin bilgi başka kayıt alanlarında veya sağlayıcının kendi sisteminde tutulabilir. Bu alanların hangi koşullarda oluşturulduğu ve dışarıdan değiştirilebilir olup olmadığı araştırılır. Her başlık alanını doğrulanmış kaynak adresi saymak, yanlış kişiye yönelen bir inceleme üretebilir.

Koruma hizmeti bazı istekleri asıl sunucuya ulaşmadan durdurabilir. Bu durumda uygulama logunda kayıt bulunmaması, saldırı trafiğinin hiç gelmediği anlamına gelmez. Öte yandan koruma panelindeki toplam sayılar, uygulamanın gerçekten ne ölçüde etkilendiğini tek başına göstermez. Sağlayıcının ağ ölçümleri ile kuruluşun hizmet ölçümleri birlikte okunur. Böylece engellenen trafik, ulaşan trafik ve gerçekleşen hizmet etkisi ayrı ayrı anlaşılabilir.

Sağlayıcı cevabının özet grafiklerle sınırlı olması halinde, grafiğin üretildiği veri ve zaman aralığı sorulabilir. Zaman dilimi dönüşümleri veya saatlik toplulaştırma, kısa süren olayı olduğundan farklı gösterebilir. Bir saatlik grafikteki zirve, bütün saatin aynı yoğunlukta geçtiği anlamına gelmez. Raporun ölçüm çözünürlüğünü belirtmesi, olayın süresi ve şüphelinin ileri sürülen faaliyeti arasında doğru bağlantı kurulmasına yardımcı olur.

Saldırıyı yöneten kişinin araştırılması

Failin belirlenmesi çoğu kez hedefe gelen trafikten başka kaynaklara yönelmeyi gerektirir. Saldırı talimatları, yönetim oturumları, hizmet satın alma kayıtları veya taraflar arasındaki doğrulanmış iletişim, kişisel katkı hakkında bilgi verebilir. Bu verilerin her biri kendi aidiyet sorununu taşır. Bir yönetim hesabının belirli e-posta adresiyle açılması, hesabı olay sırasında aynı kişinin kullandığını tek başına kanıtlamaz.

Saldırı hizmeti satın alındığı ileri sürülüyorsa, ödeme ile belirli hedefe yönelen fiil arasında bağlantı kurulmalıdır. Genel hesap bakiyesi veya geçmişte yapılan ödeme, iddianamedeki saldırının sipariş edildiğini doğrudan göstermez. İşlem zamanı, hizmet kaydı, hedef bilgisi ve hesap erişimleri birlikte incelenebilir. Ayrıca ödemenin kimin tarafından yapıldığı ve hesabın ele geçirilmiş olup olmadığı araştırılır. Mali ilişki, teknik olayla ilişkilendirildiği ölçüde açıklayıcı olur.

Bir kişi saldırıyı üstlenen açıklama yapmışsa, açıklamanın gerçekten ona ait olduğu ve olay hakkında içerdiği bilgilerin niteliği değerlendirilir. Kamuya açık kesinti bilgisini tekrar etmek ile yalnız saldırıya katılanların bilebileceği doğrulanabilir ayrıntı vermek aynı ispat değerini taşımaz. Buna rağmen övünme, yanıltma veya başkasının adını kullanma ihtimalleri somut bağlamda ele alınır. İkrar veya üstlenme beyanı, teknik bulgularla karşılaştırılmadan tek başına olayın bütününü açıklayan belge gibi kullanılmamalıdır.

İzinli yük testi ile hukuka aykırı engelleme arasındaki sınır

Sistem kapasitesinin ölçülmesi amacıyla yürütülen izinli testler de yüksek trafik üretebilir. Bu nedenle yoğunluk ve otomasyon görülmesi tek başına hukuka aykırılığı kanıtlamaz. Testin hangi sistemleri kapsadığı, kim tarafından onaylandığı, zaman aralığı ve sınırları olay öncesi belgelerden araştırılır. Sonradan ileri sürülen genel “test yapıyordum” açıklaması ise somut yetkilendirme ve teknik kayıtlarla karşılaştırılır.

İzin verilen kapsamın aşılması iddiasında teknik sınır ile hukuki izin sınırı birlikte değerlendirilir. Test sırasında beklenmedik kesinti oluşması, tek başına kasten sistem engelleme sonucunu doğurmaz. Kişinin bildiği koşullar, verdiği talimatlar ve ortaya çıkan etkiye karşı davranışı önem taşır. TCK'nın kast ve taksir hükümleri gözetilerek somut suçun manevi unsuru araştırılır. Teknik risk almış olmak ile kanuni unsurları bilerek ve isteyerek gerçekleştirmek eşitlenemez.

Yetkili bir testin üçüncü kişilerin sistemlerini etkilemesi ayrıca değerlendirilir. Bir kuruluşun kendi hizmeti için verdiği izin, ilişkisi bulunmayan bütün altyapı üzerinde sınırsız işlem yetkisi sağlamaz. Ancak sorumluluk yine kişinin somut davranışı ve ilgili suçun unsurları üzerinden kurulur. İzin belgesinin varlığı her türlü davranışı hukuka uygun hale getirmediği gibi, kesintinin varlığı da izinli faaliyetin tamamını suç haline getirmez.

Kayıtların korunması ve raporun yeniden incelenebilirliği

Saldırı sırasında güvenlik ekiplerinin önceliği hizmeti ayakta tutmak olabilir. Engelleme kurallarının değişmesi, trafiğin başka merkeze yönlendirilmesi veya kayıt düzeyinin artırılması inceleme verisini etkiler. Yapılan değişikliklerin zamanının belgelenmesi, saldırganın davranışıyla savunma önlemlerinin sonucunu ayırmaya yarar. Sonradan oluşturulan tek bir grafik yerine, mümkün olan kaynak kayıtların ve üretim yönteminin korunması denetimi kolaylaştırır.

Kopyanın hash değeri ve aktarım kayıtları, eldeki verinin korunmasına ilişkin soruları cevaplayabilir. Ancak hash, ölçüm cihazının doğru çalıştığını veya bütün trafiği yakaladığını kanıtlamaz. Ölçüm noktasının konumu, filtreler, örnekleme ayarı ve kayıt kesintileri ayrıca açıklanmalıdır. Bilirkişi raporu, analiz yazılımının ürettiği sonuçları olduğu gibi aktarmakla yetinmemeli, bunların olay bakımından anlamını ve sınırını göstermelidir.

Ham trafik verisi üçüncü kişilerin iletişimini veya kişisel bilgilerini de içerebilir. Verinin temini ve incelenmesi, uygulanabilir ceza muhakemesi yetkisi ve kapsamıyla sınırlı tutulmalıdır. Koruma amacıyla toplanan kurum kayıtlarının adli süreçte kullanılması da elde edilme biçiminden bağımsız değildir. CMK 217 kapsamında hukuka uygunluk ve duruşmada tartışılabilirlik gözetilir. Teknik yarar, usuli güvencelerin yerine geçirilemez.

Şüpheliye özgü bağlantının gerekçede gösterilmesi

TCK 20 uyarınca ceza sorumluluğu şahsidir. DDoS olayında da bir ağın veya cihazın faaliyete katılmasıyla o ağın abonesinin suç işlemesi birbirinden ayrılmalıdır. Ortak hareket iddiası varsa, kişinin katkısı ve suçla bilinçli ilişkisi TCK'nın iştirak hükümleri çerçevesinde açıklanır. Çok sayıda kaynak cihazın bulunması, bütün cihaz sahiplerinin ortak planla hareket ettiğini göstermez.

Savunmanın kaynak adresi sahteciliği veya botnet kontrolü iddiası, kullanılan protokol ve somut kayıtlar üzerinden sınanmalıdır. Bu iddiaların genel olarak mümkün olması yeterli olmadığı gibi, yalnız soyut oldukları söylenerek teknik bulguların göz ardı edilmesi de yeterli değildir. Rapor hangi ihtimali hangi nedenle dışladığını açıklamalıdır. Belirli bağlantı türünde adresin güvenilirliğinin daha yüksek olması, adresle gerçek kişi arasındaki bütün sorunların çözüldüğü anlamına gelmez.

Mahkeme, saldırının gerçekleştiği sonucuyla sanığın saldırıyı gerçekleştirdiği sonucunu ayrı gerekçelendirmelidir. Kesinti ölçümleri ilk sonuca, yönetim ve kullanıcı bağlantıları ikinci sonuca hizmet edebilir. CMK 223 bakımından fiilin sanık tarafından işlendiğinin sabit olup olmadığı, bu delillerin birlikte tartışılmasıyla değerlendirilir. Adres listesi, ağ olgusunu gösterebilir. Cezai isnat ise o olguyu belirli insanın davranışına bağlayan ek açıklamayı gerektirir.