Access log analizi ile bot trafiği nasıl fark edilir?

Web sitenizde aniden yavaşlama, beklenmedik kaynak tüketimi, form spam’i veya güvenlik uyarıları görüyorsanız bunun nedeni gerçek ziyaretçiler değil, yoğun bot trafiği olabilir. Access log dosyaları; hangi IP adresinin, ne zaman, hangi URL’ye, hangi kullanıcı aracısıyla ve hangi yanıt koduyla eriştiğini gösterdiği için sorunun kaynağını anlamada en güvenilir teknik verilerden biridir.

Access log neyi gösterir?

Access log, web sunucusuna gelen isteklerin kayıt altına alındığı dosyadır. Apache, Nginx veya LiteSpeed gibi sunucularda format farklılık gösterebilir; ancak temel alanlar benzerdir. IP adresi, tarih, HTTP metodu, istenen sayfa, durum kodu, aktarılan veri boyutu, referer ve user-agent bilgileri genellikle bu kayıtlarda yer alır.

Bu bilgiler tek başına yorumlandığında karmaşık görünebilir. Ancak tekrar eden davranış kalıpları incelendiğinde botların gerçek kullanıcılardan nasıl ayrıştığı netleşir. Özellikle kurumsal sitelerde ve yoğun trafik alan projelerde düzenli log analizi, hosting kaynaklarının verimli kullanılmasına doğrudan katkı sağlar.

Bot trafiğini ele veren temel işaretler

1. Kısa sürede çok fazla istek gelmesi

Aynı IP adresinden saniyeler içinde yüzlerce istek gelmesi, çoğu zaman otomatik tarama veya saldırı girişimine işaret eder. Gerçek kullanıcılar sayfalar arasında belirli bir okuma süresiyle gezinirken botlar URL’leri çok daha hızlı tüketir.

Pratik kontrol için belirli bir zaman aralığında en çok istek yapan IP adreslerini sıralayın. İlk sıralarda normal ziyaretçi davranışını aşan yoğunluk varsa bu adresleri ayrıca incelemek gerekir.

2. Anlamsız veya hassas URL denemeleri

Loglarda /wp-login.php, /xmlrpc.php, /.env, /admin, /phpmyadmin gibi yolların sıkça denendiğini görüyorsanız bu istekler genellikle bot kaynaklıdır. Özellikle sitenizde bulunmayan dosyalara yönelik tekrar eden 404 istekleri, otomatik zafiyet taramasının tipik göstergesidir.

Bu noktada yapılan yaygın hata, yalnızca 404 sayısına bakmaktır. Asıl önemli olan, bu 404’lerin hangi IP’lerden ve hangi desenle geldiğidir. Aynı IP farklı açıkları art arda deniyorsa risk daha yüksektir.

3. Şüpheli user-agent değerleri

User-agent alanı, isteği yapan istemci hakkında bilgi verir. Googlebot, Bingbot gibi bilinen arama motoru botları normaldir; ancak boş user-agent, rastgele karakterler, eski tarayıcı sürümleri veya güvenlik tarayıcılarını çağrıştıran ifadeler dikkatle incelenmelidir.

Burada önemli bir ayrım vardır: Her bot zararlı değildir. Arama motoru botları sitenizin indekslenmesi için gereklidir. Ancak kendini Googlebot gibi gösteren sahte botlar da olabilir. Gerekirse IP adresinin gerçekten ilgili arama motoruna ait olup olmadığı ters DNS ve IP doğrulamasıyla kontrol edilmelidir.

Durum kodları bot analizi için nasıl okunur?

HTTP durum kodları bot trafiğini anlamada güçlü sinyaller üretir. Örneğin 200 kodu başarılı erişimi, 301 ve 302 yönlendirmeyi, 403 engellemeyi, 404 bulunamayan kaynağı, 500 ise sunucu taraflı hatayı gösterir.

• Çok sayıda 404: Botların var olmayan dosya ve dizinleri taradığını gösterebilir.
• Yoğun 403: Güvenlik kuralı veya erişim engeli devreye girmiş olabilir.
• Artan 500 hataları: Bot trafiği uygulamayı veya sunucu kaynaklarını zorluyor olabilir.
• Tekrarlayan 301/302: Botların yönlendirme zincirlerinde gereksiz yük oluşturduğunu gösterebilir.

Bir IP adresi kısa sürede hem 404 hem 500 hatalarını tetikliyorsa, yalnızca trafik değil uygulama dayanıklılığı da gözden geçirilmelidir.

Access log analizi nasıl yapılır?

Zaman aralığını daraltın

Analize tüm log dosyasıyla başlamak yerine yavaşlama, kesinti veya kaynak artışının yaşandığı saat aralığını seçin. Bu yaklaşım gereksiz veriyi azaltır ve şüpheli IP’leri daha hızlı görünür hale getirir.

IP, URL ve user-agent ilişkisini birlikte değerlendirin

Yalnızca IP engellemek her zaman doğru karar değildir. Bazı kullanıcılar ortak ağlardan bağlanabilir, bazı servisler ise paylaşımlı IP kullanabilir. Bu nedenle IP adresini, erişilen URL’leri, istek hızını ve user-agent bilgisini birlikte analiz etmek daha sağlıklı sonuç verir.

Gerçek ziyaretçi davranışıyla karşılaştırın

Gerçek kullanıcılar genellikle ana sayfa, kategori, ürün veya içerik sayfaları arasında mantıklı bir akış izler. Botlar ise çoğunlukla parametreli URL’leri, giriş sayfalarını, eski dosya yollarını ve güvenlik açısından hassas uç noktaları dener. Bu davranış farkı, log analizinde en pratik ayıraçlardan biridir.

Şüpheli bot trafiğine karşı alınabilecek önlemler

Şüpheli trafik tespit edildiğinde ilk refleks tüm botları engellemek olmamalıdır. Arama motoru tarayıcılarını veya meşru izleme servislerini engellemek görünürlük ve raporlama sorunlarına yol açabilir. Bunun yerine kademeli ve kontrollü önlemler tercih edilmelidir.

• Yoğun istek yapan IP’ler için geçici hız sınırlaması uygulayın.
• Gereksiz veya riskli uç noktalara erişimi kısıtlayın.
• Giriş sayfalarında ek doğrulama ve deneme limiti kullanın.
• Güvenlik duvarı kurallarını log verisine göre güncelleyin.
• Arama motoru botlarını engellemeden önce doğrulama yapın.

Paylaşımlı veya yönetilen hosting altyapılarında bazı güvenlik ve log erişim seçenekleri panel üzerinden sunulabilir. Daha ileri analiz gerekiyorsa destek ekibinden belirli saat aralığına ait ham log kayıtları, kaynak tüketim grafikleri ve engellenen istek raporları talep edilebilir.

Yanlış yorumlamalardan kaçınmak için dikkat edilmesi gerekenler

Bot trafiği analizi yapılırken tek bir sinyale dayanmak hatalı karar doğurabilir. Örneğin yüksek istek sayısı her zaman saldırı anlamına gelmez; kampanya dönemlerinde, arama motoru taramalarında veya entegrasyon servislerinde de artış yaşanabilir. Bu nedenle hız, hedef URL, durum kodu, user-agent ve zamanlama birlikte okunmalıdır.

Ayrıca log dosyalarında kişisel veri niteliği taşıyabilecek IP bilgileri bulunduğu için erişim yetkisi sınırlı tutulmalı, kayıtlar yalnızca operasyonel ve güvenlik amacıyla değerlendirilmelidir. Düzenli analiz alışkanlığı, bot kaynaklı yükleri erken fark etmeyi, gereksiz sunucu tüketimini azaltmayı ve ziyaretçi deneyimini daha kararlı hale getirmeyi sağlar.