Yaygın Ağ Saldırıları: DoS, Kimlik Sahteciliği ve MITM

Hizmet Engelleme (DoS) saldırısı, bir sistemi, hizmeti veya ağı trafikle aşırı yükleyerek ya da çökmesine neden olan bir güvenlik açığından yararlanarak meşru kullanıcılar için kullanılamaz hâle getirmeyi amaçlar. DoS saldırıları, CIA üçlüsünün Availability sütununu hedefler. Tek kaynaklı bir DoS saldırısını, kaynak IP'yi hız sınırlayarak engellemek görece kolaydır; ancak günümüzdeki birçok saldırı, azaltmayı çok daha zorlaştırmak için aynı anda birden çok kaynak kullanır.

DDoS saldırısı, bir hedefi aynı anda birçok farklı kaynak adresinden trafik yağmuruna tutmak için binlerce veya milyonlarca ele geçirilmiş cihazdan (bir botnet) yararlanır. Bu nedenle kaynak IP'ye göre engelleme pratik değildir. DDoS saldırıları volumetrik (bant genişliğini tüketen, örneğin UDP flood), protocol (durum bilgili kaynakları tüketen, örneğin SYN flood) veya application-layer (geçerli görünümlü HTTP istekleriyle sunucu kapasitesini tüketen, örneğin Slowloris) olarak sınıflandırılır. Cloudflare, Akamai ve AWS Shield gibi azaltma hizmetleri, volumetrik saldırıları kaynağa ulaşmadan önce soğurur.

Büyütme saldırıları, ilk istekten çok daha büyük yanıtlar üreten Protocol'lerden yararlanır. DNS büyütmesi, küçük bir UDP sorgusunu 70 kata kadar daha büyük bir yanıt oluşturacak şekilde kullanır ve bu yanıtın tamamı kurbana yönlendirilir. NTP monlist büyütmesi 4.000 katlık bir büyütme faktörüne ulaşabilir. Saldırgan, kaynak adresi olarak kurbanın IP'sini spoof eder; böylece binlerce yansıtıcı, büyük yanıtlarını kurbana gönderir. Bu nedenle saldırı aynı zamanda yansıtma saldırısı olarak da adlandırılır. Azaltma yöntemleri arasında BCP38 (ISP düzeyinde kaynak adresi doğrulaması) ve büyütme hizmetlerini devre dışı bırakmak bulunur.

IP spoofing, sahte bir kaynak IP adresine sahip paketler oluşturma eylemidir. Spoofing; DoS/DDoS yansıtma saldırılarında, IP tabanlı erişim denetim listelerini aşmak ve saldırganın gerçek konumunu gizlemek için kullanılır. Spoof edilmiş paketler göndermek için ham soket ayrıcalıkları gerekir. Savunmalar arasında, ISP'lere ve yönlendiricilere bir arayüze gelen ve meşru olarak o ağdan kaynaklanamayacak kaynak IP'ye sahip paketleri bırakma talimatı veren giriş filtrelemesi (BCP38) bulunur. Durum bilgili güvenlik duvarları da, mevcut oturumlarla eşleşmeyen istenmeyen gelen paketleri reddederek yardımcı olur.

ARP spoofing (ARP zehirleme olarak da adlandırılır), saldırganın MAC adresini meşru bir IP adresiyle ilişkilendiren istenmeyen ARP yanıtlarının gönderilmesini içerir. Sahte ARP güncellemesini alan ana bilgisayarlar, ARP önbelleklerini günceller ve bu IP'ye gönderilen trafiği bunun yerine saldırganın MAC adresine yollar. Bu durum, yerel segmentlerde aracı saldırılarını mümkün kılar. Arpspoof, Ettercap ve Bettercap gibi araçlar bu saldırıyı otomatikleştirir. Savunmalar arasında, ARP paketlerini güvenilir bir DHCP snooping bağlama tablosuna göre doğrulayan yönetilen Switch'lerdeki Dynamic ARP Inspection (DAI) bulunur.

Aracı (MitM) saldırısı, her iki tarafın da doğrudan iletişim kurduğuna inandığı iki taraf arasındaki iletişimi saldırganın gizlice aktarması ve olası olarak değiştirmesi durumunda gerçekleşir. MitM; ARP spoofing, DNS spoofing, sahte Wi-Fi erişim noktaları veya BGP rota ele geçirme yoluyla gerçekleştirilebilir. Ortaya yerleşen saldırgan iletişimi dinleyebilir, içerik ekleyebilir, şifrelemeyi kaldırabilir (SSL stripping) veya kimlik bilgilerini yeniden oynatabilir. Temel savunma, karşılıklı kimlik doğrulama ve şifrelemedir; geçerli sertifikalara sahip TLS, istemcinin sunucunun kimliğini doğrulayabilmesi sayesinde çoğu MitM saldırısını önler.

DNS önbellek zehirleme, meşru alan adlarının saldırganın denetimindeki IP adreslerine çözümlenmesi için kötü amaçlı DNS kayıtlarını bir çözümleyicinin önbelleğine enjekte eder. Klasik Kaminsky saldırısı (2008), çözümleyicileri büyük ölçekte zehirlemek için tahmin edilebilir işlem kimliklerinden yararlandı. Kullanıcının çözümleyicisi zehirlendiğinde kullanıcı, kimlik bilgilerini çalabilecek veya kötü amaçlı yazılım sunabilecek sahte sitelere yönlendirilir. DNSSEC (DNS Security Extensions), çözümleyicilerin gerçekliği doğrulayabilmesi için DNS kayıtlarını dijital olarak imzalar; DNS over HTTPS (DoH) ise sorguların yol üzerinde ele geçirilmesini önler.

Yol üzerindeki (in-path) saldırgan, aktarım hâlindeki trafiği görmesini ve değiştirmesini sağlayan bir ağ konumuna sahiptir; fiziksel veya mantıksal olarak iletişim kuran iki uç noktanın arasındadır. ARP spoofing, yerel bir segmentte yol üzerindeki bir konum oluşturur. Yol dışındaki saldırgan trafiği göremez; ancak tahmin edilen sıra numaralarını kullanarak bağlantıları sonlandırmak için sahte TCP RST paketleri enjekte etmek gibi kör saldırılar gerçekleştirmeyi deneyebilir. TLS her iki durumu da azaltır; çünkü trafik ele geçirilse bile özel anahtar olmadan şifresi çözülemez veya sahte hâle getirilemez.

BGP (Border Gateway Protocol) ele geçirmesi, kötü amaçlı veya yanlış yapılandırılmış bir Autonomous System'ın, başka bir kuruluşa yönlendirilmiş trafiği çekmek için daha özel IP öneklerini duyurmasıyla gerçekleşir. Bu durum, internet genelindeki trafiği saldırganın ağı üzerinden yeniden yönlendirebilir. BGP ele geçirme; kripto para işlemlerini ele geçirmek, e-posta çalmak ve banka trafiğini yeniden yönlendirmek için kullanılmıştır. Savunmalar arasında rota kaynak yetkilendirmelerini kriptografik olarak doğrulayan RPKI (Resource Public Key Infrastructure) ve BGP duyurularını beklenmeyen değişikliklere karşı izlemek bulunur.

SYN flood, çok sayıda SYN paketini sahte kaynak IP'leriyle göndererek TCP üç yönlü el sıkışmasından yararlanır; bu, sunucunun yarı açık bağlantılar için durum bilgisi ayırmasına neden olur (hiç gelmeyecek ACK'leri bekler). Sunucunun bağlantı tablosu dolar ve yeni meşru bağlantıları kabul edemez. Savunmalar arasında SYN cookies (sunucunun durumu SYN-ACK'nin sıra numarasına kodladığı ve kaynakları yalnızca ACK alındıktan sonra ayırdığı yöntem), SYN timeout süresini azaltmak ve kaynak adresi başına SYN paketlerini hız sınırlamak bulunur.

DoS, spoofing ve MitM attacks'lerini algılamak için birden fazla noktada görünürlük gerekir. NetFlow/IPFIX verileri, çok sayıda kaynaktan gelen ani Traffic artışlarını ortaya çıkarır. SIEM ilişkilendirme kuralları, olağandışı ARP etkinliği (tek bir MAC'in birçok IP'yi sahiplenmesi) veya şüpheli derecede kısa TTL değerlerine sahip DNS yanıtları için uyarı verebilir. IDS/IPS imzaları, SYN floods ve ARP spoofing araçlarını algılar. Yanıt eylemleri arasında uç yönlendiricilerde hız sınırlama uygulamak, DDoS temizleme hizmetlerini etkinleştirmek, etkilenen kesimleri yalıtmak ve dinamik ARP denetimini yeniden etkinleştirmek ya da zehirlenmiş önbellekleri temizlemek bulunur.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: DDoS attacks, hedefleri birçok kaynaktan botnet'lerle aşırı yükler ve hacimsel, protokol veya uygulama katmanı olarak sınıflandırılır; ARP spoofing, MitM attacks'lerini mümkün kılmak için yerel ağ önbelleklerini zehirler ve Dynamic ARP Inspection ile azaltılır; SYN floods ise sunucunun bağlantı durumunu tüketir ve SYN çerezleri ile hız sınırlama kullanılarak önlenir. Sırada WEP'ten WPA3'e kadar Wi-Fi güvenlik protokollerini inceleyeceğiz.