Dağıtık brute force ve DDoS'a karşı akıllı rate limiting'i nasıl kurarım?

Kısa cevap: IP başına limit, dönen proxy’lere karşı çaresiz — o yüzden ölçeklemeyi yalnızca IP üzerinden yapmayın. Saldırıyı çok boyutlu anahtarlama ve katmanlı savunma ile kırın.

Asıl problem şu: saldırgan binlerce IP’yi rotasyona soktuğu için “IP başına 60” kuralı her bireysel IP için asla tetiklenmez. Saldırının ortak paydasını yakalamanız lazım.

1. Redis sliding-window’u çok boyutta anahtarlayın. Token bucket da bu problemi çözer; ben boyutları tek bir yapıda birleştirmek için sliding-window’u tercih ediyorum. Tek bir sayaç değil, birkaç boyutta sayaç tutun: kullanıcı adı (tek hesap spray’leniyorsa), IP, IP subnet’i / ASN, User-Agent parmak izi, ülke kodu. Bir IP temiz görünse de aynı username’e binlerce farklı IP’den vuran trafik o boyutta patlar.
2. Başarısızlık oranı yükselince dinamik sıkın. Normalde gevşek olan limitleri, hata (başarısız login) oranı ani yükseldiğinde otomatik daraltın. Sabit eşik yerine, saldırı sinyaliyle sertleşen bir eşik kullanın.
3. Credential stuffing’e karşı hesap kilidi ve challenge ekleyin. Başarısız login’lerde hesap bazında kademeli gecikme/kilit uygulayın; N denemeden sonra CAPTCHA veya proof-of-work isteyin. Bu, dağıtık saldırının tek hedefli versiyonunu (account takeover) ayrıca kapatır.
4. Gerçek volumetrik DDoS’u edge’e itin. Uygulamanız bir L3/L7 flood’unu ememez — bunu kabul edin. Hacimsel saldırıyı Cloudflare gibi bir edge katmanına bırakın; sizin Redis limiter’ınız akıllı, hedefli kötüye kullanımı durdurur, ama sel için altyapı katmanı gerekir.
5. Login yolunu fail-closed yapın, hangi boyutun tetiklendiğini sızdırmayın. Limiter ya da Redis hata verirse login’i kapatın (fail-closed), açık bırakmayın. Reddederken “IP’iniz engellendi” gibi hangi boyutun patladığını saldırgana söylemeyin; kararları loglayın ama sadece kendi tuning’iniz için.

Sonuç: Ben olsam Redis’te hesap + IP + ASN üzerinde sliding-window kurar, credential stuffing için hesap kilidi ekler, volumetrik kısmı edge’e bırakırdım. Tek boyut (IP) hiçbir zaman yetmez; saldırının ortak paydasını yakalayan kombinasyon işi çözer.