Null Flood ve Christmas Tree Scan nedir; TR7 bu paketleri neden false positive riski olmadan engeller?

Kısa cevap

TCP paketleri bağlantının durumunu FIN, SYN, RST, PSH, ACK ve URG flag'leriyle bildirir (RFC 9293). Null Flood hiçbir flag'i işaretlenmemiş TCP paketleridir; Christmas Tree Scan ise birbiriyle bağdaşmayan flag'leri aynı anda işaretler (klasik biçimi FIN, PSH ve URG'dir; Nmap); scanner araçları bunları firewall davranışını yoklamak ve karşı sistemin işletim sistemini tahmin etmek için üretir. Meşru bir TCP yığını bu birleşimleri hiç üretmediği için yakalanan paketin meşru bir karşılığı yoktur; bu yüzden kurallar eşik ya da öğrenme gerektirmez ve false positive riski taşımaz. TR7'de route tablosunun L4 DDoS Management ekranında, TCP bandındaki Malformed Flags & Scans kutusunda Null Flood, bütün flag'leri işaretli paketi yakalayan Christmas Tree Scan ve FIN+PSH+URG birleşimi dahil on iki geçersiz flag desenini yakalayan Bogus TCP Flags kuralları bulunur; üçünün de varsayılan değeri Block'tur ve kaynak karantinaya da alınabilir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Left Monitor Panel → Route Tables & L4 DDoS → route tablosu → L4 DDoS Management → TCP → Malformed Flags & Scans kutusu	Null Flood, Christmas Tree Scan, Bogus TCP Flags: Status (Disabled · Monitor · Block · Quarantine)	Geçersiz flag birleşimli paketleri izleme, düşürme ya da kaynağı karantinaya alma
Route tablosu Dashboard → Suspicious Packets	Kural başına paket sınıfı paneli (ölçüm ve pano)	Yakalanan paket sayısını izleme

• Aynı kutudaki dördüncü kural Port Scan paketin biçimine değil kaynağın davranışına bakar: Port Scan nedir; TR7 port scan yapan kaynağı nasıl tespit eder?
• Kutunun dört kuralı öğrenme motorunun Mode Promotion izninden muaftır: izin kapalıyken de Monitor'dan Block'a geçiş önerisi alabilir (neden).
• Değişiklik Save ile kaydedildiği anda uygulanır; kurallar her route tablosu için ayrı ayarlanır. Muafiyet listesindeki kaynaklar bu kurallara takılmaz.

Sık Karıştırılan Noktalar

• "Bu kurallar meşru trafiği de düşürebilir." Meşru TCP bu flag birleşimlerini üretmez; kurallar bu yüzden eşiksizdir ve false positive riski taşımaz.
• "Null Flood bir hacim saldırısıdır." Adı flood olsa da kural tek tek paketin biçimine bakar; ilk paket ihlaldir, bir hız eşiği beklenmez.
• "SYN Flood: Not-SYN ve SYN Flood: Bad MSS de aynı kesinliktedir." Bu iki kural da imza denetimidir ama sağlıklı bir ağ (asimetrik yönlendirme, bazı ara cihazlar) bu paketleri üretebilir; bu yüzden Mode Promotion iznine tabidirler.

Dokümantasyonda nasıl yapılır

• Malformed Flags & Scans · Null Flood
• Malformed Flags & Scans · Christmas Tree Scan
• Malformed Flags & Scans · Bogus TCP Flags
• Malformed Flags & Scans · Kapsam ve sınırlar

İlgili sorular

• Port Scan nedir; TR7 port scan yapan kaynağı nasıl tespit eder?
• SYN Flood saldırısı nedir; TR7 buna karşı hangi kuralları uygular?
• SYN Cookies nedir; TR7'de ne zaman devreye girer?