Müşterileri Engellemeden Botları Durdurmak: False Positive Dengesini Kurmak

Ağ güvenliği ekipleri için en kritik konulardan biri, kötü niyetli otomasyonu durdururken gerçek kullanıcıların erişimini zorlaştırmamaktır. Başka bir deyişle hedef, botları etkili biçimde engellerken müşterileri yanlışlıkla kapının dışında bırakmamaktır. Bunun için yalnızca basit kara listelere güvenmek yeterli olmaz; daha katmanlı, bağlama duyarlı ve güçlü IP intelligence verilerinden beslenen bir yaklaşım gerekir.

False Positive Zorluğu

Agresif bot engelleme politikaları çoğu zaman yüksek false positive oranlarına yol açar. Yani aslında meşru olan kullanıcılar yanlışlıkla kötü niyetli gibi sınıflandırılır. Bunun sonucu; kötü kullanıcı deneyimi, artan destek talepleri ve doğrudan gelir kaybı olabilir.

Sorunun merkezinde IP adreslerinin doğası vardır: IP’ler paylaşılabilir, dinamik olabilir ve kimi zaman tek başına yanıltıcı sinyaller verebilir. Bu nedenle amaç, güçlü korumayı sürdürürken false positive oranını mümkün olduğunca düşük tutmaktır.

Temel IP Intelligence Sinyalleri

Etkili bot tespiti ve azaltma stratejileri, birden fazla IP intelligence sinyalinin birlikte analiz edilmesine dayanır. Tek bir sinyal çoğu zaman kesin hüküm vermek için yeterli değildir; ancak bu sinyaller bir araya geldiğinde çok daha doğru bir risk profili oluşturur.

• Hosting Aralığı / Datacenter IP: Bilinen hosting sağlayıcılarına, bulut servislerine veya büyük datacenter’lara ait IP’ler, insan dışı trafiğe dair güçlü bir gösterge olabilir. Elbette meşru şirketler ve servisler de bu aralıklardan çalışabilir; ancak doğrudan son kullanıcı trafiğinin büyük kısmı genellikle konut tipi veya mobil ISP’lerden gelir.

Sınırlar:* Meşru API entegrasyonları veya B2B iş ortakları datacenter IP’lerinden gelebilir. Bu kategoride fazla agresif engelleme yapmak, kritik entegrasyonların bozulmasına neden olabilir.

• ASN (Autonomous System Number): ASN, bir IP bloğunun hangi kuruluşa ait olduğunu gösterir. ASN türünü analiz etmek; örneğin konut tipi ISP, kurumsal ISP, datacenter veya mobil sağlayıcı ayrımı yapmak, trafiğe önemli bağlam kazandırır. Kullanıcı kendisini tüketici ISP’sinden geliyormuş gibi gösterirken trafik aslında Alibaba Cloud ASN üzerinden geliyorsa bu ciddi bir uyarı işaretidir.

Sınırlar:* ASN’ler geniş kapsamlı olabilir. Büyük bir ISP, aynı ASN içinde hem bireysel hem de kurumsal müşterilere hizmet verebilir. Kural fazla basitleştirilirse false positive üretme riski artar.

• rDNS Hostname (Reverse DNS): rDNS, bir IP adresini geriye doğru çözümleyerek hostname bilgisine ulaşmayı sağlar. Konut tipi IP’lerde bu bilgi çoğu zaman ISP veya coğrafi bölge hakkında ipucu verir. Datacenter IP’lerinde ise genellikle hosting sağlayıcısını işaret eder. Normalde rDNS kaydı olması beklenen bir IP’de eksik veya aşırı jenerik bir kayıt şüpheli olabilir.

Sınırlar:* rDNS her ISP tarafından düzenli ve tutarlı biçimde yapılandırılmaz. rDNS kaydının olmaması tek başına kötü niyet göstergesi değildir. Benzer şekilde düzgün görünen bir rDNS kaydı da trafiğin meşru olduğunu garanti etmez.

• TOR Exit Node Listeleri: The Onion Router (TOR) ağı, trafiği birden fazla röle üzerinden geçirerek anonimlik sağlar. Bilinen TOR exit node listelerinde yer alan IP’ler, gizliliğini korumak isteyen kişiler tarafından kullanılabildiği gibi, kaynağını saklamak isteyen saldırganlar tarafından da tercih edilebilir.

Sınırlar:* Tüm TOR exit node’larını engellemek, gizlilik nedeniyle veya sansürü aşmak için TOR kullanan meşru kullanıcıları etkileyebilir. TOR’u tamamen engelleme kararı, uygulamanızın risk toleransına ve kullanıcı kitlesine göre verilmelidir.

• VPN Tespiti: TOR’a benzer şekilde VPN’ler de trafiği şifreler ve kullanıcının gerçek IP adresini gizler. Ticari VPN servisleri çoğunlukla datacenter IP’leri kullanır. Bilinen VPN sunucularını tespit etmek, anonimleştirilmiş trafiği anlamak açısından faydalıdır.

Sınırlar:* Pek çok meşru kullanıcı gizlilik, güvenlik veya uzaktan çalışma nedeniyle VPN kullanır. VPN’leri topluca engellemek ciddi kullanıcı sürtünmesi yaratır. Burada kritik olan bağlama göre karar vermektir.

• Proxy Tespiti: Proxy’ler, ağ istekleri için aracı görevi görür. Public veya yarı özel proxy’ler botlar tarafından IP rotasyonu yapmak ve tespitten kaçmak için sıkça kullanılır. Trafiği ele geçirilmiş ya da gönüllü olarak ağa katılmış konut tipi cihazlar üzerinden yönlendiren residential proxy’ler ise meşru kullanıcı IP’si gibi göründükleri için özellikle zorludur.

Sınırlar:* Kurumsal ağlar çoğu zaman forward proxy kullanır. Meşru kurumsal proxy trafiğini kötü niyetli açık proxy’lerden ayırmak için diğer sinyallerin dikkatle birlikte değerlendirilmesi gerekir.

• Risk Skoru / Threat Intelligence Feed’leri: IP intelligence sağlayıcıları; honeypot’lar, spam trap’ler, saldırı kalıpları ve benzeri kaynaklardan gelen verileri birleştirerek IP’lere risk skoru atar. Bu skor, ilgili IP’nin kötü niyetli aktiviteyle ilişkili olma ihtimalini yansıtır. Spam, DDoS veya credential stuffing nedeniyle blocklist’lerde görünen IP’ler yüksek riskli kabul edilir.

Sınırlar:* Risk skorları dinamiktir. Bir IP’nin itibarı hızla değişebilir. Bağlam olmadan yalnızca tek bir skora güvenmek sorun yaratabilir. Kısa süreli yüksek risk skoru, o IP’nin kalıcı olarak kötü niyetli olduğu anlamına gelmez.

Koruma ve Kullanıcı Deneyimi Arasında Denge Kurma Stratejileri

Botları engellerken false positive oranını düşük tutmak, yukarıdaki sinyalleri akıllıca kullanan çok katmanlı bir strateji gerektirir.

• Confidence Score ile Katmanlı Yaklaşım: Basit bir geçer/kalır mantığı yerine her tespit sinyaline bir confidence score atayın. Bir IP’nin datacenter olarak tanımlanması, TOR exit listesinde yer alması ve aynı zamanda yüksek risk skoruna sahip olması, engelleme için güçlü bir aday olduğunu gösterir. Buna karşılık yalnızca datacenter IP’si olan ve başka olumsuz sinyal taşımayan bir trafik için doğrudan engelleme yerine CAPTCHA gibi daha yumuşak bir doğrulama tercih edilebilir.

• Bağlama Göre Enforcement: Alınacak aksiyon, kullanıcının ne yaptığına göre değişmelidir.

Yüksek Riskli İşlemler (ör. hesap oluşturma, ödeme işlemleri, parola sıfırlama): Bu noktalarda daha agresif davranmak mümkündür. Birden fazla sinyal tarafından yüksek riskli olarak işaretlenen IP’ler; örneğin datacenter, TOR veya bilinen kötü niyetli ASN kaynaklı trafik, doğrudan engellenebilir ya da çok faktörlü kimlik doğrulamaya yönlendirilebilir. Düşük Riskli İşlemler (ör. ürün sayfalarında gezinme, makale okuma): Bu senaryolarda daha yumuşak bir yaklaşım daha sağlıklıdır. Bir IP datacenter veya VPN olarak işaretlenmişse CAPTCHA ya da daha az müdahaleci bir doğrulama düşünülebilir. Anlık ve yüksek güvenli bir tehdit yoksa doğrudan engellemeden kaçınmak gerekir.

• Meşru İstisnaları Whitelist’e Alma: Aksi hâlde riskli görünebilecek meşru trafik kaynaklarını belirleyip whitelist’e ekleyin. Bunlar arasında iş ortaklarının IP aralıkları, dahili ağ aralıkları veya meşru izleme ve entegrasyon araçlarının kullandığı belirli IP’ler bulunabilir. Bu whitelist’lerin düzenli olarak denetlenmesi önemlidir.

• Davranışsal Analiz: IP intelligence verisini davranışsal analizle güçlendirin. Bir IP kısa sürede olağandışı biçimde çok sayıda sayfaya erişiyorsa, brute-force login denemeleri yapıyorsa veya insan davranışına uymayacak hızda işlem gerçekleştiriyorsa, residential IP olsa bile yüksek şüpheyle değerlendirilmelidir.

• Graceful Degradation: İlk tepki olarak doğrudan engellemek yerine, kullanıcıya kademeli doğrulama adımları sunmayı değerlendirin. Örneğin ek doğrulama, CAPTCHA, rate limiting veya oturum bazlı kısıtlar, hem saldırı yüzeyini daraltır hem de meşru kullanıcıların tamamen dışarıda kalmasını önler.