Botnet Nedir ve Nasıl Çalışır?

Bir sunucunun ele geçirildiğini fark etmenin en can sıkıcı yollarından biri, sağlayıcınızdan gelen "sunucunuzdan anormal trafik çıkıyor" uyarısı ya da IP adresinizin bir spam kara listesine (RBL) düşmesidir. Çoğu zaman sunucu sahibi bunun farkında bile değildir; makine dışarıdan bakıldığında normal çalışıyor gibi görünür, ama arka planda bir yabancının komutlarını dinleyen sessiz bir "asker"e dönüşmüştür. İşte bu askerlerin oluşturduğu orduya botnet denir.

Bu yazıda botnet kavramını sıfırdan ele alacağız: ele geçirilmiş bir cihaz nasıl "zombi"leşiyor, bu zombiler komuta-kontrol (C2) sunucusundan nasıl emir alıyor, oluşan ordu DDoS'tan spam'e, kripto madenciliğinden kimlik hırsızlığına kadar ne için kullanılıyor. IoT cihazlarının neden botnetlerin favori avı olduğuna değinip Mirai gibi gerçek örneklere bakacağız. En önemlisi de asıl derdinize geleceğiz: kendi sunucunuzun bu ordunun bir parçası olmasını yama yönetimi, güçlü parola politikası, fail2ban ve giden trafik izlemeyle nasıl engelleyeceğinizi somut komutlarla göstereceğiz.

Botnet Nedir?#

Botnet, "robot" ve "network" (ağ) kelimelerinin birleşiminden gelir ve kötü amaçlı yazılımla ele geçirilmiş, tek bir merkezden uzaktan yönetilen cihazlar topluluğunu ifade eder. Bu cihazların her birine "bot" ya da halk arasında "zombi" denir. Zombi benzetmesi yerindedir: cihaz kendi sahibinin iradesi dışında, uzaktaki bir saldırganın (botmaster veya bot herder) komutlarına göre hareket eder; sahibi çoğu zaman hiçbir şeyin farkında değildir.

Bir botneti tehlikeli kılan şey tek bir cihazın gücü değil, ölçektir. Tek başına zayıf, düşük bant genişliğine sahip binlerce cihaz bir araya geldiğinde ciddi bir saldırı kapasitesi oluşur. On binlerce ev routerı, IP kamera veya güvenliği zayıf bir VPS eş zamanlı hareket ettiğinde ortaya çıkan toplam güç, tek bir güçlü sunucununkinden kat kat fazladır. Botnet'in "dağıtık" doğası, bu yazının kardeş konusu olan DDoS saldırılarının da temelini oluşturur: engellenecek tek bir kaynak yoktur, binlercesi vardır.

Botnetler günümüzde bir "hizmet" olarak da satılır. Teknik bilgisi olmayan biri bile karanlık pazarlarda kiralık botnet gücü satın alarak dakikalar içinde bir hedefe saldırı başlatabilir. Bu, botnet tehdidini yalnızca büyük kurumların değil, tek bir sunucu işleten herkesin gündemine sokar.

Bir Cihaz Nasıl Zombiye Dönüşür?#

Bir cihazın botnete katılması için önce ele geçirilmesi gerekir. Saldırganların bunu yaptığı yollar aslında klasik güvenlik ihlali senaryolarıyla aynıdır; sadece amaç farklıdır. En yaygın bulaşma yolları şunlardır:

• Zayıf veya varsayılan parolalar: İnternete açık SSH, RDP, veritabanı veya yönetim panellerine sözlük/kaba kuvvet (brute-force) saldırısıyla girmek. IoT cihazlarında hâlâ değiştirilmemiş admin/admin gibi fabrika parolaları en büyük kapıdır.
• Yamalanmamış yazılım açıkları: Güncelliğini yitirmiş bir CMS eklentisi, eski bir PHP sürümü, yamalanmamış bir kernel veya bilinen bir CVE'ye sahip bir servis, otomatik tarama botları tarafından saniyeler içinde bulunur ve sömürülür.
• Zararlı bağımlılıklar ve tedarik zinciri: Ele geçirilmiş bir npm/PyPI paketi ya da sahte bir eklenti, uygulamanıza doğrudan arka kapı yerleştirebilir.
• Kimlik avı (phishing) ve zararlı ekler: Özellikle son kullanıcı cihazlarında, sahte e-postalarla indirilen bir dosya bulaşmayı başlatır.

Bulaşma gerçekleştiğinde saldırgan genellikle kalıcılık (persistence) sağlamaya çalışır: bir cron görevi ekler, bir systemd servisi kurar veya ~/.ssh/authorized_keys dosyasına kendi anahtarını yazar. Böylece sunucu yeniden başlatılsa da zombi geri gelir. Ardından cihaz, kendisini yönetecek merkeze "burada hazır bekliyorum" mesajı gönderir — işte C2 iletişimi bu noktada başlar.

Zombiler Komutu Nasıl Alır: Komuta-Kontrol (C2)#

Botnet'in beyni komuta-kontrol sunucusudur (Command and Control, kısaca C2 ya da C&C). Botmaster, saldırıyı doğrudan on binlerce cihaza tek tek göndermez; komutunu C2'ye bırakır, botlar da bu merkezle belirli aralıklarla "check-in" yaparak yeni emirlerini alır. Tipik bir komut şuna benzer: "Şu IP adresine, şu tipte, şu saatte, şu süre boyunca saldır" ya da "şu spam şablonunu şu listedeki adreslere gönder".

C2 mimarileri yıllar içinde tespitten kaçınmak için evrildi. Başlıca modeller şöyle karşılaştırılabilir:

Modern botnetler genellikle şifreli HTTPS trafiği kullanır ki savunma tarafı komut içeriğini göremesin. Domain Generation Algorithm (DGA) kullanan aileler ise her gün algoritmik olarak x7f3k9q2.com gibi yüzlerce rastgele alan adı üretir; savunmacılar bir alan adını kapatsa bile bot bir sonrakini dener. Bu yüzden C2 tespiti çoğu zaman DNS düzeyinde yapılır: bilinen kötü alan adları veya olağandışı DGA örüntüleri izlenir.

; Bir DGA alan adının tipik izi: kısa TTL + sürekli değişen A kaydı (fast-flux)
malicious-c2.example.   30   IN   A   185.220.101.4
malicious-c2.example.   30   IN   A   45.9.148.212
; TTL'in 30 saniye gibi çok düşük olması ve IP'nin dakikalar içinde değişmesi şüphelidir

Botnetler Ne İçin Kullanılır?#

Bir botnet kurulduktan sonra çok amaçlı bir silaha dönüşür. Aynı zombi ordusu bir gün DDoS için, ertesi gün spam için kiralanabilir. Başlıca kullanım alanları:

• DDoS saldırıları: En bilinen kullanımdır. On binlerce bot aynı hedefe eş zamanlı trafik göndererek siteyi/servisi erişilemez hale getirir. Korunma tarafını DDoS saldırısı rehberimizde ayrıntılı ele aldık.
• Spam ve kimlik avı dağıtımı: Botlar üzerinden milyonlarca istenmeyen e-posta gönderilir. Sizin sunucunuz spam gönderirse IP'niz kara listeye düşer ve meşru e-postalarınız bile teslim edilmez hale gelir.
• Kripto madenciliği (cryptojacking): Zombinin CPU/GPU gücü, sahibinin elektrik faturasıyla kripto para kazmak için kullanılır. Sunucularda bu, "sebepsiz" yüksek CPU kullanımı olarak ortaya çıkar.
• Kimlik bilgisi hırsızlığı (credential stuffing): Çalınan kullanıcı adı/parola listeleri, dağıtık botlar üzerinden binlerce sitede denenir; tek IP'den yapılmadığı için engellemesi zordur.
• Tıklama dolandırıcılığı ve sahte trafik: Reklam ağlarını kandırmak için botlar sahte tıklama/görüntülenme üretir.
• Proxy ve trafik gizleme: Ele geçirilmiş sunucular, saldırganın gerçek kimliğini gizleyen bir proxy zinciri olarak kiralanır.

Bir sunucu operatörü olarak sizi en çok ilgilendiren nokta şudur: sunucunuz bota dönüşürse yalnızca başkalarına zarar vermezsiniz — kendi itibarınız da yanar. Spam gönderen bir IP kara listeye girer, madencilik yapan bir sunucu kaynaklarını tüketir ve müşteri sitesi yavaşlar, sağlayıcınız da kötüye kullanım (abuse) nedeniyle hesabınızı askıya alabilir.

IoT Botnetleri: Mirai ve Ötesi#

Botnetlerin son on yıldaki en büyük yakıtı IoT cihazları oldu: IP kameralar, dijital video kaydediciler (DVR), ev routerları, akıllı TV'ler ve benzeri, internete açık ama neredeyse hiç güncellenmeyen milyonlarca cihaz. Bu cihazlar botmasterlar için ideal avdır çünkü genellikle varsayılan parolayla gelir, nadiren yama alır ve sahipleri "bu küçük kamera kimin umurunda" diye hiç güvenlik önlemi almaz.

Bu türün en meşhur örneği Mirai'dir. Mirai, internette gezinerek Telnet portu açık IoT cihazlarını bulur ve gömülü bir listedeki yaygın fabrika parolalarını (admin/admin, root/12345, support/support gibi) tek tek dener. Girdiği her cihazı kendi ordusuna katan Mirai, tarihin en büyük DDoS saldırılarından bazılarını yüz binlerce cihazla gerçekleştirdi. Kaynak kodunun kamuya sızmasından sonra da onlarca türevi ortaya çıktı; bugün hâlâ Mirai soyundan gelen aileler internette bot avlamayı sürdürüyor.

Bu, sunucu yöneticileri için de net bir ders içerir: açık bir port + zayıf bir parola = bir davetiye. Sizin VPS'iniz de, tıpkı bir IP kamera gibi, internette sürekli taranıyor. SSH loglarınıza bakarsanız, henüz hiçbir saldırıya uğramamış yepyeni bir sunucuda bile dakikalar içinde başlayan başarısız giriş denemelerini görürsünüz.

# SSH'a yönelik brute-force denemelerini say (Debian/Ubuntu)
grep "Failed password" /var/log/auth.log | wc -l

# En çok deneyen IP'ler ve deneme sayıları
grep "Failed password" /var/log/auth.log \
  | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -10

Sunucunuz Bota Dönüştüyse Nasıl Anlarsınız?#

Ele geçirilmiş bir sunucu genellikle sessizdir, ama iz bırakır. En güvenilir sinyal giden (outbound) trafiktir: normal bir web sunucusu ağırlıklı olarak gelen istekler alır; büyük miktarda giden bağlantı — özellikle bilmediğiniz IP'lere, garip portlara (IRC için 6667, madencilik havuzları için yüksek portlar) ya da 25/587 üzerinden yığın e-posta — güçlü bir uyarıdır. İşte kontrol edeceğiniz noktalar:

• Sürekli açık, tanımadığınız uzak adreslere giden bağlantılar.
• Açıklanamayan yüksek CPU kullanımı (madencilik) veya bant genişliği tüketimi.
• Sizin başlatmadığınız cron görevleri, systemd servisleri veya authorized_keys'e eklenmiş yabancı anahtarlar.
• IP'nizin bir RBL/spam kara listesine düşmesi ya da sağlayıcıdan gelen abuse bildirimi.

Aşağıdaki komutlar hızlı bir ilk teşhis için işinizi görür:

# Kurulu giden bağlantıları ve hangi süreçlerin açtığını gör
ss -tunp state established

# Mevcut cron görevlerini (kök ve kullanıcılar) listele — yabancı satır var mı?
crontab -l 2>/dev/null; ls -la /etc/cron.* /var/spool/cron 2>/dev/null

# En çok CPU tüketen süreçler — madencilik genelde tepede oturur
ps aux --sort=-%cpu | head -10

# Giden SMTP (spam) trafiğini anlık izle
ss -tn dst :25 or dst :587 | head

Şüphe doğrularsa yaklaşım nettir: sunucuyu ağdan izole edin (giden trafiği geçici kesin), kanıtları kaydedin, zararlı süreç/kalıcılık mekanizmalarını temizleyin ve mümkünse temiz bir yedekten yeniden kurun — ele geçirilmiş bir sistemi "tam temizlediğinizden" asla emin olamazsınız. Düzenli, sürüm bazlı yedekleriniz yoksa bu iyileşmeyi imkânsız kılar; bu yüzden bir yedekleme stratejisi güvenliğin ayrılmaz parçasıdır.

Sunucunuzu Bota Dönüşmekten Korumanın Yolları#

İyi haber şu: botmasterların kullandığı yöntemler sıradandır, dolayısıyla savunma da sıradan ama disiplinli hijyene dayanır. Aşağıdaki dört katman, sunucunuzun zombi ordusuna katılma riskini büyük ölçüde düşürür.

1. Yamaları geciktirmeyin#

Zombileşmenin en büyük tek nedeni yamalanmamış yazılımdır. İşletim sistemini, web sunucusunu, PHP/veritabanı sürümlerini ve CMS eklentilerini güncel tutmak, otomatik sömürü botlarının kapısını kapatır. Güvenlik güncellemelerini otomatik uygulamak için:

# Debian/Ubuntu — güvenlik güncellemelerini otomatikleştir
apt update && apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

# AlmaLinux/Rocky — dnf-automatic
dnf install -y dnf-automatic
systemctl enable --now dnf-automatic.timer

Sunucu tarafını sürekli güncel ve sertleştirilmiş tutmak zamansa, işi bir ekibe bırakmak isteyenler için sunucu yönetimi hizmeti bu yükü üstlenir. Sertleştirmeyi katman katman düşünmek gerekir; aynı disiplinin gelen saldırı tarafındaki karşılığını DDoS saldırısı rehberimizde ele aldık.

2. Güçlü parola ve anahtar tabanlı kimlik doğrulama#

Mirai'nin işini kolaylaştıran şey zayıf parolalardı; aynı hata sizi de vurabilir. SSH'ta parola girişini tamamen kapatıp yalnızca anahtar tabanlı erişime geçmek, kaba kuvvet saldırılarının çoğunu anlamsız kılar:

# /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Değiştirdikten sonra systemctl restart sshd ile uygulayın — ama önce anahtarınızla giriş yaptığınızı ayrı bir oturumda doğrulayın, yoksa kendinizi dışarıda bırakabilirsiniz. Yönetim panelleri ve veritabanı kullanıcıları için de tahmin edilemez parolalar ve mümkün olan her yerde iki faktörlü doğrulama kullanın.

3. fail2ban ile otomatik engelleme#

Anahtar tabanlı SSH'a geçseniz bile web panelleri, FTP ve uygulama giriş sayfaları taranmaya devam eder. fail2ban, logları izleyip belirli sürede çok sayıda başarısız denemede bulunan IP'leri otomatik olarak firewall'da bloklar — brute-force botlarına karşı en pratik savunmalardan biridir. Tipik bir SSH jail yapılandırması:

# /etc/fail2ban/jail.local
[sshd]
enabled  = true
port     = ssh
maxretry = 4
findtime = 600
bantime  = 3600

Kurulumun tüm ayrıntılarını, kendi servisleriniz için özel filtre yazmayı ve kalıcı ban stratejilerini fail2ban kurulumu yazımızda adım adım anlattık. Web uygulaması katmanında gelen kötü niyetli örüntüleri filtrelemek içinse bir WAF ekleyerek savunmayı bir kat daha yükseltebilirsiniz.

4. Giden trafiği izleyin ve sınırlayın#

Çoğu yönetici yalnızca gelen trafiği düşünür; oysa bir zombiyi ele veren şey giden trafiktir. Sunucunuzun dışarıya hangi portlardan çıkabileceğini kısıtlayan bir çıkış (egress) firewall kuralı, sunucu ele geçirilse bile onun bir C2'ye bağlanmasını ya da spam yollamasını zorlaştırır:

# Yalnızca gerekli giden portlara izin ver (örnek: DNS, HTTP/S, NTP)
# Web sunucusunun 25/587 ile spam göndermesine gerek yoktur — kapatın
iptables -A OUTPUT -p tcp --dport 25 -j DROP
iptables -A OUTPUT -p tcp --dport 587 -j DROP
# (E-posta sunucusu değilseniz giden SMTP'yi kapatmak spam riskini büyük ölçüde keser)

Bunun yanında Nginx'te sunucu sürüm bilgisini gizlemek ve olağandışı istekleri hız sınırlamak, tarayıcı botlarına verdiğiniz bilgiyi azaltır:

# /etc/nginx/nginx.conf — sürüm sızıntısını kapat, temel hız sınırı ekle
server_tokens off;
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/s;

location /wp-login.php {
    limit_req zone=login burst=10 nodelay;
}

Son olarak giden bağlantıları sürekli gözlemek için basit bir izleme sorgusu bile fark yaratır. Örneğin bir merkezi log/veritabanı tutuyorsanız, olağandışı hedef portlara giden bağlantıları özetleyen bir sorgu erken uyarı verir:

-- Son 1 saatte giden bağlantıların hedef portlara göre dağılımı
SELECT dst_port, COUNT(*) AS baglanti
FROM outbound_connections
WHERE created_at > NOW() - INTERVAL 1 HOUR
GROUP BY dst_port
ORDER BY baglanti DESC
LIMIT 20;

Bir madencilik havuzuna ya da 6667 gibi bir IRC portuna aniden yüzlerce bağlantı görüyorsanız, alarm zilleri çalmalıdır.

Katmanları Bir Arada Görmek#

Tek bir önlem sizi kurtarmaz; botnete karşı savunma da tıpkı DDoS'ta olduğu gibi katmanlı çalışır. Aşağıdaki tablo, tehdit yüzeyini ve karşılık gelen önlemi bir arada özetliyor:

Bu önlemler birlikte uygulandığında, otomatik botların "kolay av" arayışında sunucunuzu es geçmesini sağlar. Botmasterlar zaman kaybetmek istemez; biraz direnç gösteren bir hedef, genellikle bir sonraki savunmasız cihaza geçmelerine yeter.

Sıkça Sorulan Sorular#

Botnet ile virüs arasındaki fark nedir?#

Virüs, kendini kopyalayarak yayılan bir zararlı yazılım türüdür; botnet ise bu tür zararlı yazılımlarla ele geçirilmiş cihazların oluşturduğu ağdır. Yani zararlı yazılım aracı, botnet ise o araçla kurulan orgudur. Bir cihaza bulaşan bot yazılımı, o cihazı daha büyük bir botnetin parçası haline getirir.

Sunucumun botnete katıldığını nasıl kesin anlarım?#

En güvenilir yöntem giden trafiği incelemektir; ss -tunp ile tanımadığınız IP'lere kurulu bağlantıları, olağandışı port kullanımını ve yüksek CPU'yu ararsınız. Buna ek olarak IP'nizin bir spam kara listesine düşmesi, sağlayıcıdan gelen kötüye kullanım bildirimi ya da eklenmiş yabancı cron görevleri güçlü kanıtlardır. Şüphe kesinleşirse sunucuyu izole edip temiz bir yedekten yeniden kurmak en güvenli yoldur.

IoT cihazları neden bu kadar sık ele geçiriliyor?#

IoT cihazları genellikle değiştirilmemiş fabrika parolalarıyla internete açık kalır ve neredeyse hiç güvenlik güncellemesi almaz. Bu ikisi bir araya geldiğinde Mirai gibi otomatik tarayıcıların dakikalar içinde girebileceği savunmasız hedefler ortaya çıkar. Sahipleri de "küçük bir kamera kimin umurunda" diyerek risk almadığı için bu cihazlar botnetlerin en verimli yakıtı olur.

fail2ban tek başına botnet saldırılarını durdurur mu?#

Hayır, fail2ban güçlü ama tek katmanlı bir savunmadır; brute-force denemelerini ve tekrar eden kötü niyetli örüntüleri engellemekte çok etkilidir. Ancak yamalanmamış bir açık, çalınan bir anahtar ya da tedarik zinciri saldırısı fail2ban'ın göremeyeceği yollardır. Bu yüzden onu yama yönetimi, güçlü kimlik doğrulama ve giden trafik izlemeyle birlikte kullanmak gerekir.

Botnet'e karşı DDoS koruması yeterli mi?#

DDoS koruması, botnetin size saldırdığı senaryoda trafiği filtreleyerek sitenizi ayakta tutar, ama sunucunuzun bir botnetin parçası olmasını engellemez. Bunlar iki ayrı problemdir: biri gelen saldırıya karşı savunma, diğeri kendi sunucunuzun hijyeni. İkisini birden ele almak için hem bir DDoS koruma katmanı hem de sunucu sertleştirme adımlarını uygulamanız gerekir.

Küçük bir kişisel VPS botnet hedefi olur mu?#

Kesinlikle olur, çünkü botmasterlar hedef seçmez — internetteki tüm IP aralıklarını otomatik tarar. Yeni kurulmuş, adı sanı duyulmamış bir VPS bile dakikalar içinde SSH brute-force denemeleri almaya başlar. Cihazın küçük ya da önemsiz olması onu korumaz; aksine, ihmal edilmiş küçük sunucular botnetler için en kolay avdır.

Kapanış#

Botnetler, internetin görünmeyen ama sürekli işleyen bir tehdit katmanıdır; her an binlerce cihaz taranır ve savunmasız olanlar sessizce bir orduya katılır. İyi haber şu ki, bu ordunun bir askeri olmamak için sıra dışı bir uzmanlık gerekmez — güncel yazılım, güçlü ve anahtar tabanlı kimlik doğrulama, fail2ban ile otomatik engelleme ve giden trafiği izleyen bir disiplin, sunucunuzu "kolay av" olmaktan çıkarır.

Bu güvenlik hijyenini sağlam bir altyapının üzerine kurmak isterseniz Clou.TR yanınızda: kaynak garantili VDS ve sanal sunucu planlarımızla, sertleştirme ve güncelleme yükünü sizden alan sunucu yönetimi hizmetimizle, gelen saldırıları ağ katmanında filtreleyen DDoS koruma çözümümüzle ve uygulama önüne yerleşen WAF katmanımızla, sunucunuzu hem saldırılara karşı korur hem de bir botnetin parçası olmaktan uzak tutarsınız. Güvenli bir başlangıç için ürünlerimizi incelemeye hosting sayfamızdan başlayabilirsiniz.