Cloudflare Q3 raporu: Terabitlik saldırılar azalırken DDoS, 1 Gbps altındaki kısa atışlara kayıyor

Cloudflare, en son üç aylık tehdit raporuna göre 2026'nın üçüncü çeyreğinde 18,2 milyon network-layer DDoS saldırısını hafifletti — saatte yaklaşık 8.200, yani yarım saniyede bir saldırı. Rapordan çıkan başlık sonuç, tehdidin hacminden çok biçiminde bir değişiklik: saldırılar daha küçük, daha kısa ve çok daha fazla sayıda olurken rekor ölçekli flood'lar nadirleşti.

Rapor, 29 Ekim'de Cloudflare blogunda yayımlanan serinin 26. sayısı; Temmuz'dan Eylül'e kadar olan dönemi kapsıyor ve Cloudflare'in tehdit istihbaratı örgütü Cloudforce One tarafından, şirketin küresel ağında gözlemlenen trafiğe dayanarak hazırlandı.

Kısa atışlar, düşük bant genişliği

10 dakikadan kısa süren ve hiçbir zaman 1 Gbps'yi aşmayan kısa, düşük bant genişlikli saldırılar %208 arttı. Çeyrekte hafifletilen tüm network-layer saldırılarının %96'sı 10 dakika içinde sona erdi ve %98'i 1 Gbps altında kaldı. Bu, modern DDoS standartlarına göre küçük ama raporun da belirttiği gibi korumasız bir sunucuyu ya da web sitesini çökertecek kadar yeterli.

Cloudflare bu örüntüyü, etkinliğinin bilgisayar yazılımı, kumar ve casino ile bilişim sektörlerinde yoğunlaştığı kiralık DDoS "booter" hizmetlerine bağlıyor.

Öteki uçta, 1 Tbps üzerindeki aşırı hacimli saldırılar Q2'ye kıyasla neredeyse %69 düştü; 805 olaydan 251'e indi. Rapor bunu, 2026 başında dört büyük IoT botnetini (Aisuru, KimWolf, JackSkid ve Mossad) çökerten hukuk uygulayıcı operasyonlarına bağlıyor. O zamandan beri Dysphoria ve Evooo1Bot gibi yeni varyantlar ortaya çıktı ve Cloudflare, IoT botnetlerinin kalıcı ve yüksek hacimli bir tehdit olmaya devam ettiği uyarısında bulunuyor. Mirai ailesinin etkinliği Ağustos'ta 57,23 PB'lik hafifletilmiş trafikle zirve yaptı; bu, o çeyrekteki tüm network-layer baytların %46,5'iydi ve 49,7 saat süren bir saldırıyı da içeriyordu.

Toplamda Cloudflare çeyrek boyunca 14,4 trilyon HTTP DDoS isteğini engelledi; bu, 272,6 PB network-layer trafiğine ve HTTP katmanında 95,1 PB'ye denk geliyor.

Saldırı vektörleri rotasyonda

En keskin vektör değişimi, çeyrek bazında %99,5 daralan ve saldırıların yalnızca %0,05'ine inen CLDAP reflection'ın çöküşü oldu. 389 numaralı UDP portunda herkese açık dizin denetleyicilerini kandırarak büyütülmüş yanıtları sahte bir mağdur adresine göndermeyi sağlayan bu teknik, yılın ilk yarısında %580 artmıştı; ancak saldırganlar onu biranda terk ettiler.

Bunun yerine başka bağlantısız protokollere döndüler. DNS amplification %215 yükselerek network-layer saldırıların %3,43'ünü oluşturuyor ve açık DNS çözümleyicilerini benzer bir yansıma örüntüsünde istismar ediyor. Genel UDP flood'ları saldırıların %14,06'sından %31,31'ine tırmanarak çeyreğin baskın kategorisi oldu. UDP el sıkışma içermediğinden, hedef dinleyen bir şey olmasa bile gelen her paketi işlemek zorunda kalıyor; bu da onu hacimsel flood'lar için elverişli bir araç yapıyor.

Hedefler sektörlere ve ülkelere yayılıyor

Medya, prodüksiyon ve yayıncılık tek başına en çok saldırılan sektör olmayı sürdürdü; ancak payı, saldırgan dikkatinin daha geniş alanlara yayılmasıyla Q2 düzeyinin kabaca çeyreğine geriledi. Internet sektörü ilk onun dışından altıncı sıraya yükselirken, tüketici hizmetleri ve yetişkin eğlencesi sekizinci ve dokuzuncu sıralardan listeye girdi.

Coğrafi olarak ABD, Çin'den birinciliği geri aldı — ikisi 2026 boyunca birbirleriyle ilk ve ikinci sırayı takas etti — Endonezya ise toplam saldırıların %2,93'üyle üçüncülüğe yükseldi. Kanada on altıncıdan altıncılığa sıçradı; Cloudflare bunu, ticaret anlaşmazlıkları döneminde ülkenin perakende, telekomünikasyon, servis sağlayıcı ve pazarlama sektörlerine yönelik saldırılara bağlıyor. İsrail, Eylül ortasındaki süregelen DDoS etkinliğinin ardından yedi sıra tırmanarak onuncu oldu.

Neden önemli

Web altyapısı işleten herkes için raporun temel dersi, DDoS savunmasının artık yalnızca tepe kapasiteyle ölçülemeyeceği. Saldırıların neredeyse tamamı artık küçük geliyor ve hızla sona eriyor; Cloudflare çoğunun, bir insan analistin bir uyarıya tepki verebilmesinden çok önce bittiğine dikkat çekiyor — bu da otomatik ve sürekli açık hafifletmeyi bir yükseltme değil temel gereklilik haline getiriyor.

Hızlı vektör döngüsü de savunma planlaması açısından önemli: CLDAP gibi geçen çeyreğin tehditlerine göre ayarlanmış filtreler çoktan eskidi, UDP tabanlı flood'lar ise ana yük taşımaya devam ediyor. Cloudflare, 330'dan fazla şehre ve 500 Tbps kapasiteye sahip kendi ağının bunu otomatik olarak karşıladığını söylüyor ve istismarcı altyapıyı kaynağında tespit edip etkisiz hale getirmek için barındırma sağlayıcılarına ve ISS'lere, 800'den fazla ağın katıldığı ücretsiz bir DDoS botnet tehdit akışı sunuyor.