Güvenli DNS: DNSSEC ve HTTPS Üzerinden DNS (DoH)

Alan Adı Sistemi (DNS), insanlar tarafından okunabilen alan adlarını IP adreslerine çevirir. 1980'lerde tasarlanan DNS, güvenlik özellikleri olmadan geliştirilmiştir — sorgular ve yanıtlar UDP/TCP 53 numaralı bağlantı noktası üzerinden kimlik doğrulaması olmadan, açık metin olarak iletilir. Bu durum iki temel güvenlik açığı oluşturur: DNS önbellek zehirlenmesi (kullanıcıları kötü amaçlı sunuculara yönlendirmek için sahte DNS yanıtları ekleme) ve DNS dinleme (kullanıcının hangi alan adlarını sorguladığını gözlemleyerek gezinme etkinliğini ortaya çıkarma). İki standart bu sorunları ele alır: DNSSEC sahteciliği, HTTPS üzerinden DNS (DoH) ise dinlemeyi önler.

DNS önbellek zehirlenmesi (Kaminsky saldırısı), DNS protokolünün kimlik doğrulamasından yararlanır. Bir Resolver, yetkili bir DNS sunucusuna sorgu gönderir ve yanıtı TTL süresi boyunca önbelleğe alır. İşlem kimliğini (16 bitlik ve tahmin edilebilir) ve kaynak bağlantı noktasını (RFC 5452'den bu yana ek entropi olarak kullanılır) tahmin edebilen bir saldırgan, Resolver'ın önbelleğe alacağı sahte yanıtlar gönderebilir. Böylece bu Resolver'ı sorgulayan tüm kullanıcılar saldırganın sunucusuna yönlendirilir. Önbellek zehirlendikten sonra kullanıcılar doğru alan adını yazmış olsalar bile sahte sunuculara yönlendirilir. DNSSEC, DNS yanıtlarını dijital olarak imzalayarak bunu önler.

DNSSEC, DNS kayıtlarına kriptografik imzalar ekleyerek Resolver'ların yanıtların meşru bölge yetkilisinden geldiğini ve değiştirilmediğini doğrulamasını sağlar. DNSSEC yeni kayıt türleri sunar: RRSIG (kaynak kaydı imzası; bir kayıt kümesinin üzerindeki gerçek imza), DNSKEY (imzaları doğrulamak için kullanılan ortak anahtar), DS (yetki devri imzalayıcısı; üst ve alt bölge anahtarlarını birbirine bağlar) ve NSEC/NSEC3 (kimlik doğrulamalı varlık reddi; bir adın var olmadığını kanıtlar). DNSSEC, ICANN tarafından imzalanan kök bölgeden başlayıp TLD ve yetkili bölgelere kadar uzanan bir güven zinciri oluşturur.

DNSSEC iki tür imzalama anahtarı kullanır. Zone Signing Key (ZSK), tek tek DNS kayıt kümelerini (RRSIG'leri) imzalar ve işlemsel çevikliği korumak için sık sık (aylık veya üç aylık) değiştirilir. Key Signing Key (KSK), DNSKEY kayıt kümesini imzalar ve bölge için güven bağlantı noktası sağlar. KSK daha seyrek (yılda bir) değiştirilir; çünkü KSK değiştiğinde üst bölgenin yeni DS kaydıyla güncellenmesi gerekir ve bu işlem koordinasyon gerektirir. KSK, ZSK'yi doğrular; ZSK ise verileri imzalar. Bu iki katmanlı yapı, sık ZSK değişimiyle güvenliği ve seyrek KSK değişimiyle işlemsel yükü dengeler.

DNSSEC'in önemli sınırlamaları vardır. DNS sorgularını şifrelemez — yalnızca bütünlük için yanıtları imzalar. Bir dinleyici yine de tüm DNS sorgularını görebilir; yalnızca sahte yanıtlar oluşturamaz. Bölge numaralandırması: var olmadığını kanıtlayan NSEC kayıtları, saldırganların bölgeyi tarayarak içindeki tüm alan adlarını listelemesine olanak tanır; NSEC3, karma adlar kullanarak bunu azaltır ancak tamamen ortadan kaldırmaz. İşlemsel karmaşıklık: anahtar yönetimi, imza sürelerinin dolması ve üst bölgeyle koordinasyon önemli bir işlemsel yük oluşturur. DNSSEC'in benimsenmesi hâlâ tamamlanmamıştır — birçok TLD ve kayıt kuruluşu bunu destekler, ancak birçok kuruluş henüz kullanıma almamıştır.

DNS over HTTPS (DoH), DNS sorgularını HTTPS (RFC 8484) içinde şifreleyerek sorgu içeriklerini ağ gözlemcilerinden gizler. Sorgular, standart bir HTTPS URL'si üzerinden DoH destekli bir çözümleyiciye gönderilir; böylece DNS trafiği diğer HTTPS trafiğinden ayırt edilemez. Bu sayede internet servis sağlayıcıları, işverenler ve aradaki saldırganlar kullanıcının hangi alan adlarını sorguladığını göremez; böylece DNSSEC'in bıraktığı gizlilik açığı giderilir. Ancak DoH, güveni ağın DNS çözümleyicisinden DoH sağlayıcısına aktarır (genellikle Google 8.8.8.8, Cloudflare 1.1.1.1 veya kuruluşun kendi DoH çözümleyicisi). DoH artık büyük tarayıcıların çoğunda yerel olarak desteklenmektedir.

DNS over TLS (DoT) (RFC 7858), DNS sorgularını HTTPS üzerinden tünellemek yerine ayrılmış bir TCP 853 numaralı bağlantı noktası üzerinden TLS kullanarak şifreler. DoT, sorgu içeriğini dinleyenlerden gizleyerek DoH ile aynı gizlilik avantajlarını sağlar; ancak ağ yöneticilerinin bunu tanımlaması ve filtrelemesi daha kolaydır (853 numaralı bağlantı noktası yerine 443 numaralı bağlantı noktası). Bu durum iki ucu keskin bir kılıçtır: DoT görünür olduğundan kurumsal güvenlik duvarları tarafından engellenebilir; DoH'yi engellemek ise genel HTTPS trafiğini etkilemeden daha zordur. Stub çözümleyiciler (işletim sistemi düzeyinde) daha yaygın olarak DoT'yi, tarayıcılar ise DoH'yi kullanır.

Şifrelenmiş DNS, DNS tabanlı filtreleme ve sinkhole'lara dayanan kurumsal ortamlar için bir zorluk oluşturur. Tarayıcılar harici DoH çözümleyicileri kullandığında, dahili DNS denetimleri aşılır. Kurumsal karşı önlemler şunlardır: dahili bir DoH/DoT çözümleyicisi dağıtmak (Cisco Umbrella, DoH özellikli Pi-hole) ve tüm cihazları bunu kullanacak şekilde yapılandırmak; harici DoH çözümleyicilerinin IP adreslerini güvenlik duvarında 443 numaralı bağlantı noktasında engellemek (Google 8.8.8.8, Cloudflare 1.1.1.1); yönetilen uç noktalarda tarayıcı düzeyindeki DoH'yi devre dışı bırakmak için Group Policy kullanmak; ayrıca 853 numaralı bağlantı noktasındaki DNS-over-TLS trafiğini yakalayan şeffaf proxy kuralları uygulamak. Amaç, şifrelenmiş DNS'yi tamamen engellemeden tüm DNS trafiğini denetlenen çözümleyici üzerinden yönlendirmektir.

Eksiksiz bir DNS güvenliği stratejisi birden fazla denetimi bir araya getirir. Yetkili bölgeleriniz için DNSSEC, alan adınızın önbellek zehirlenmesine karşı korunması amacıyla DNS kayıtlarına KSK/ZSK anahtar çiftlerini kullanarak kriptografik imzalar ekler. DNS tabanlı filtreleme (Cisco Umbrella, Cloudflare Gateway), kötü amaçlı alan adlarını çözümleyici düzeyinde engeller. Denetlenen bir çözümleyiciye DoH/DoT kullanmak, filtreleme görünürlüğünü kaybetmeden sorgu gizliliği sağlar. Tehdit avcılığı için SIEM'e yapılan DNS günlük kaydı tüm sorguları yakalar; DNS günlükleri C2 trafiğini, DNS tünellemesi üzerinden veri sızdırılmasını ve kötü amaçlı yazılımlardaki alan adı oluşturma algoritması (DGA) etkinliğini ortaya çıkarır. DNS telemetrisi, mevcut en yüksek değerli güvenlik veri kaynaklarından biridir.

DNS tünellemesi, diğer dışa giden trafiğin engellendiği ağlar üzerinden veri sızdırmak veya C2 kanalları oluşturmak için verileri DNS sorgularının ve yanıtlarının içine kodlar. iodine, DNScat ve dnscat2 gibi araçlar, yükleri alt alan adı etiketlerinde (EXFILTRATEDDATA.evil.com sorgusu) veya TXT kayıtlarında kodlar. Algılama belirtileri şunlardır: olağandışı uzunluktaki DNS sorgu adları (100 karakterden fazla), tek bir ana bilgisayardan gelen yüksek sorgu hacmi, var olmayan üst alan adlarına yönelik sorgular, olağandışı kayıt türleri (TXT, NULL) ve alan adı etiketlerinin entropi analizi (kodlanmış veriler yüksek Shannon entropisine sahiptir). DNS güvenlik analitiği platformları tünelleme kalıplarını otomatik olarak işaretler.

DNS Response Policy Zones (RPZ), DNS çözümleyicilerinin DNS yanıtlarına yerel geçersiz kılma politikaları uygulamasına olanak tanır; böylece küresel DNS altyapısını değiştirmeden çözümleyici düzeyinde yerel bir sinkhole oluşturulur. Bir istemci bilinen kötü amaçlı bir alan adını sorguladığında, RPZ politikası NXDOMAIN, sinkhole IP adresine yönlendirme veya doğrudan geçiş yanıtı döndürür. RPZ akışları tehdit istihbaratı sağlayıcılarından (Spamhaus, SURBL) edinilebilir ve doğrudan BIND veya Unbound çözümleyicilerine aktarılabilir. RPZ, ağdaki tüm cihazlar için istemci tarafında yapılandırma gerektirmeden DNS katmanında filtreleme uyguladığı için güçlü bir savunma aracıdır.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı Test edin.

Bu derste şunları öğrendiniz: DNSSEC, önbellek zehirlenmesini önlemek için KSK/ZSK anahtar çiftlerini kullanarak DNS kayıtlarına kriptografik imzalar ekler ancak sorguları şifrelemez; DNS over HTTPS (DoH), dinlemeyi önlemek için DNS sorgularını HTTPS içinde şifreler ancak kurumsal filtrelemenin aşılması riskini oluşturur; DNS tünellemesi ise verileri DNS sorgularına kodlar ve sorgu uzunluğu, hacmi ve entropi analiziyle algılanabilir. Sırada IPsec, VPN protokolleri ve uzaktan erişim güvenliğini inceleyeceğiz.