Ağ Güvenliğinde Yüksek Hızlı Paket Yakalama (Packet Capture) Mimarisi
10 Gbps hat hızında çalışan bir ağ arayüzü, saniyede ortalama 1.5 ila 2 milyon paket (PPS) alır. Geleneksel soket programlama modelinde her paket için Linux çekirdeğinde kesme (interrupt) üretilir ve veri kullanıcı alanına kopyalanır. Bu model 1-2 Gbps sonrasında CPU kilitlenmesine ve %30'un üzerinde paket kaybına yol açar.
Modern açık kaynaklı IDS/IPS motorları bu sorunu şu üç mimariyle çözer:
- AF_PACKET v3 (TPACKET_V3): Çekirdek ile kullanıcı alanı arasında paylaşılan bellek eşlemeli (MMAP) dairesel arabellek kullanarak paketleri toplu (burst) olarak aktarır. Fanout kümeleme ile çekirdekler arası yük dağıtımı yapar.
- eBPF / XDP (eXpress Data Path): Paketler ağ kartı sürücüsüne ulaştığı an (sk_buff tahsis edilmeden önce) eBPF filtresinden geçer; bilinen DDoS trafiği veya gereksiz protokoller sıfır CPU maliyetiyle anında düşürülür.
- Intel DPDK: Linux çekirdeğini tamamen baypas ederek ağ kartının halka arabelleğini (ring buffer) doğrudan kullanıcı alanında polling yöntemiyle okur; 40-100 Gbps hatlarda mikrosaniye gecikmeyle çalışır.
Suricata 7 vs Snort 3 vs Zeek Karşılaştırması
Üç popüler açık kaynaklı ağ analiz motorunun farklı odak noktaları vardır:
- Suricata 7: Yüksek hat hızlarında aktif engelleme (IPS) ve derin paket inceleme (DPI) için endüstri lideridir. Rust ile yazılmış bellek-güvenli L7 protokol parserları (HTTP/2, TLS JA4, QUIC, DNS) sayesinde bellek taşması zafiyetlerine karşı bağışıktır.
- Snort 3: Cisco Talos ekibi tarafından geliştirilen ve dünyanın en popüler kural formatı olan Snort sözdizimini modern C++20 DAQ çoklu iş parçacığı mimarisiyle çalıştıran güçlü bir motor.
- Zeek (eski adıyla Bro): Bir imza eşleştiriciden ziyade derin bir davranışsal ağ analitik platformudur. Tüm ağ bağlantılarını, DNS sorgularını ve SSL sertifikalarını yapılandırılmış JSON loglarına (conn.log, ssl.log) dönüştürerek SIEM ve tehdit avcılığı (threat hunting) için eşsiz veri sağlar.
Maliyet Karşılaştırması: Ticari Cihaz (Palo Alto/Fortinet) vs VDS IDS/IPS
| Kriter | Ticari Firewall Cihazı | Self-Hosted VDS (Suricata 7 + ET Open) |
|---|---|---|
| Başlangıç Donanım Maliyeti | $10,000 - $25,000+ | $0 (Mevcut VDS / Sunucu) |
| Yıllık Lisans & İmza Güncelleme | $3,000 - $8,000 / yıl | $0 (Açık Kaynak ET Open) |
| Ölçeklenebilirlik | Sabit donanım limitleri (Cihaz değişimi gerekir) | vCPU ve RAM anında artırılabilir |
| 3 Yıllık Toplam Sahip Olma (TCO) | ~$25,000 - $45,000 | ~$3,400 (%85+ Net Tasarruf) |
Sıkça Sorulan Sorular (SSS)
Ağ saldırı tespit sistemlerinde AF_PACKET v3 neden standart pcap'ten çok daha hızlıdır?
Standart libpcap her paket için ayrı çekirdek-kullanıcı geçişi yapar. AF_PACKET v3 ise bellek eşlemeli (MMAP) halka arabelleğiyle paketleri bloklar halinde aktarır ve fanout kümeleme ile paketleri CPU çekirdeklerine eşit dağıtır.
Suricata ile Snort 3 arasındaki temel mimari farklar nelerdir?
Suricata yerel çoklu iş parçacığı ve Rust tabanlı bellek-güvenli parserlar sunar. Snort 3 ise DAQ çoklu işlem parçacığı ve Lua tabanlı esnek yapılandırmasıyla öne çıkar. Her iki motor da Hyperscan regex hızlandırmasını kullanır.
Intel Hyperscan nedir ve IDS/IPS performansını nasıl etkiler?
Hyperscan, modern CPU'ların AVX-512 komut setlerini kullanarak on binlerce regex imzasını aynı anda paket üzerinde tarayan hızlı bir regex motorudur. CPU tüketimini %70-80 oranında düşürür.
Ticari donanımsal güvenlik cihazları yerine VDS üzerinde IDS/IPS kurmak ne kadar tasarruf sağlar?
Ticari cihazlar $10,000 - $25,000 donanım ve yıllık binlerce dolar lisans ücreti talep eder. VDS üzerinde açık kaynaklı Suricata ile çalışan sistem 3 yılda %80-90 oranında net tasarruf sağlar.