- Katılım
- 21 May 2023
- Mesajlar
- 743
- Tepki
- 17
- Puan
- 18
Bot kelimesi bazen sitenizi tarayan arama motoru yazılımını, bazen sohbet penceresindeki yanıt üreticiyi, bazen de ele geçirilmiş bir makineyi anlatıyor. Ortak nokta tek: insan müdahalesi olmadan çalışan bir yazılım.
Aşağıda otomatik istemcilerin standarttaki tanımını, kendilerini nasıl tanıttıklarını, kötü niyetli kullanımın nasıl adlandırıldığını ve site sahibinin bu trafiği nasıl ayırt edebileceğini iki standart kaynağa bakarak topluyoruz.
Standarttaki karşılık
RFC 9309, siteye gelen otomatik yazılımları adlandırıyor: tarayıcı olarak bilinen otomatik istemciler.
Belgenin amacı da bu istemcilerle ilgili: hizmet sahiplerinin, hizmetlerince sunulan içeriğe bu istemcilerin nasıl erişebileceğini denetlemesi.
Tanımdaki "otomatik" niteliği belirleyici. Bu yazılımlar bir kullanıcının o an vermiş olduğu komutla değil, kendi programlanmış davranışlarıyla hareket ediyor.
- Ne: Otomatik çalışan istemci yazılımı.
- Kim yönetiyor: Hizmet sahibi, erişim kurallarıyla.
- Nasıl tanınır: Kendi belirlediği adla.
Kendini nasıl tanıtıyor?
Belge tanımlanma yöntemini de kurala bağlıyor. Her istemci kendine bir ad seçiyor; belgenin adlandırmasıyla ürün belirteci. Site sahibinin yazdığı kural grupları bu ad üzerinden eşleşiyor.
Bu adın biçimi de sınırlı: yalnız büyük ve küçük harfler ile alt çizgi ve kısa çizgi kullanılabiliyor.
Belge bu adın nerede görüneceğini de söylüyor. İstemci sunucuya kendini tanıtan bir dizgi gönderiyor ve seçtiği ad bu dizginin içinde yer almalı.
Tanımlama dizgisinin işlevi de tanımlı: istemcinin amacını açıklaması bekleniyor.
Püf nokta' Alıntı:
Kötü niyetli kullanım
Aynı otomasyon yeteneği saldırı amacıyla da kullanılabiliyor. IETF'in güvenlik terimleri sözlüğü bu durumu ayrı bir maddeyle tarif ediyor.
Tanım şöyle: bir saldırgan tarafından gizlice ele geçirilmiş ve üzerine kötü niyetli artalan yazılımı kurulmuş internet makinesi.
Bu yazılımın amacı da yazılı: makinenin, başka makinelere yapılan saldırılarda suç ortağı gibi davranmasını sağlamak. Sözlük özellikle dağıtık saldırılara işaret ediyor; hedef, taşırma yoluyla hizmeti engellemek.
Sözlük bir dil notu da düşüyor: bu kavram için farklı kültürlerde başka mecazi terimler kullanılıyor ve uluslararası yanlış anlaşılmayı önlemek için terimin kullanılmaması öneriliyor.
İyi bot, kötü bot ayrımı
İki tanım yan yana konduğunda ayrım netleşiyor. Meşru otomatik istemci kendini tanıtıyor, kurallara uyuyor ve amacını açıklıyor.
Ele geçirilmiş makine üzerinden çalışan yazılım ise tanınmamayı hedefliyor; sahibinin haberi bile olmuyor.
Site sahibi açısından pratik ayrım noktası, davranışın kurallara uyup uymadığı. Kendini tanıtan ve erişim kurallarına uyan bir istemciyle, kimliğini gizleyip sınır tanımayan bir istemci farklı önlemler gerektiriyor.
Otomatik trafik neden yük oluşturuyor?
Bir otomatik istemci, insan ziyaretçiden farklı davranıyor: sayfaları okuma hızıyla değil, isteği gönderebildiği hızla geziyor.
Bu, küçük bir sitede bile fark edilir bir yük anlamına gelebiliyor. Aynı anda çok sayıda sayfa istenmesi, sunucunun gerçek ziyaretçilere ayırdığı kaynağı azaltıyor.
Erişim kurallarının bir işlevi de bu: hangi bölümlerin taranmasına gerek olmadığını bildirerek gereksiz isteği baştan azaltmak.
Kurala uymayan istemciler için ise farklı bir katman gerekiyor; erişim kuralları bir istek değil, bir bildirim niteliğinde.
Otomasyon her zaman kötü mü?
Değil. Arama motorlarının sayfaları bulması, bağlantı denetimi yapan araçların kırık adresleri raporlaması ve izleme sistemlerinin kesintiyi fark etmesi hep otomatik istemcilerle oluyor.
Bu istemciler engellendiğinde sitenin görünürlüğü ve izlenebilirliği de azalıyor.
Doğru yaklaşım bu yüzden topluca engellemek değil, hangi istemcinin hangi bölüme erişeceğini bilinçli olarak belirlemek oluyor.
Trafik nasıl ayırt edilir?
İlk adım kayıtları okumak. Tanımlama dizgisi sunucu kayıtlarında göründüğü için hangi istemcinin ne sıklıkla geldiği izlenebiliyor.
İkinci adım kural yazmak. Belgenin tanımladığı yapı, farklı ürün belirteçlerine farklı kurallar vermeye imkân veriyor.
Üçüncü adım beklentiyi doğru kurmak: protokol erişimi düzenliyor, kimlik doğrulaması yapmıyor. Kurallara uymak istemcinin davranışına bağlı.
Otomatik istemcilerin arama tarafındaki rolünü arama motoru nelerdir yazımızda ele almıştık. Kaynak tüketmeye dayalı saldırıları DDoS yazımızda, insan doğrulamasının nasıl çalıştığını ise CAPTCHA yazımızda anlatmıştık.
Sık Sorulan Sorular
Bot ne demek?
Standartta karşılığı, insan müdahalesi olmadan çalışan otomatik istemci yazılımı.
Bütün botlar zararlı mı?
Hayır. Meşru istemciler kendilerini tanıtıp erişim kurallarına uyuyor.
Kendini nasıl tanıtıyor?
Ürün belirteci denen adıyla; bu ad tanımlama dizgisinin bir parçası oluyor.
Ele geçirilmiş makine ne oluyor?
Sözlük, kötü niyetli yazılım kurulmuş ve saldırılarda suç ortağı gibi davranan makineyi ayrı bir madde olarak tanımlıyor.
Kurallara uymak zorunlu mu?
Protokol erişimi düzenliyor ama kimlik doğrulaması yerine geçmiyor.
Özetle
Bot, insan müdahalesi olmadan çalışan otomatik istemci. Meşru olanı kendini ürün belirteciyle tanıtıyor ve site sahibinin koyduğu erişim kurallarına uyuyor. Kötü niyetli tarafta ise ele geçirilmiş makineler, sahibinin haberi olmadan saldırılara katılıyor. Ayrımı yapmanın yolu, kayıtlardaki tanımlama bilgisine ve davranışın kurallara uyup uymadığına bakmak.
Sunucu kayıtlarınızda en çok hangi otomatik istemci görünüyor?
Güncelleme: 3 Eylül 2026. RFC 9309 ve RFC 4949 kontrol edildi.
Dijital Dünyanıza Yön Veren Pusula
