TCP/IP Modeli ve Yaygın Bağlantı Noktaları

OSI (Open Systems Interconnection) modeli, ağ iletişimini yedi katmana ayırır: Physical, Data Link, Network, Transport, Session, Presentation ve Application. Her katmanın farklı bir amacı vardır ve yalnızca doğrudan üstündeki ve altındaki katmanlarla iletişim kurar. Güvenlik denetimleri herhangi bir katmana uygulanabilir; bu nedenle modeli anlamak, belirli bir saldırının veya savunmanın nerede çalıştığını belirlemenize yardımcı olur. Please Do Not Throw Sausage Pizza Away anımsatıcısı, katmanları aşağıdan yukarıya hatırlamanıza yardımcı olur.

TCP/IP modeli (DoD modeli olarak da adlandırılır), OSI katmanlarını dört katmanda birleştirir: Network Access (OSI katmanları 1-2), Internet (OSI katmanı 3), Transport (OSI katmanı 4) ve Application (OSI katmanları 5-7). Gerçek dünyadaki ağ oluşturma ve güvenlik analizlerinin çoğu TCP/IP terminolojisini kullanır. Her iki model arasındaki eşleştirmeyi anlamak Security+ için önemlidir; çünkü sınav soruları bir saldırının veya denetimin nerede çalıştığını açıklarken modellerden herhangi birine başvurabilir.

IP adresleri, ağdaki cihazları benzersiz şekilde tanımlar. IPv4, noktalı ondalık gösterimle yazılan 32 bit adresleri (ör. 192.168.1.10) kullanırken IPv6, 128 bit adresler kullanır. Bir alt ağ maskesi, bir adresin hangi bölümünün ağı, hangi bölümünün ana makineyi tanımladığını belirler. CIDR gösterimi (ör. /24), alt ağ maskesini kısa biçimde ifade eder. Güvenlik uzmanları, ağları bölümlere ayırmak ve güven bölgeleri arasındaki trafik akışını kısıtlamak için alt ağları kullanır.

TCP üzerinden veri alışverişi yapılmadan önce bir üç yönlü el sıkışması bağlantı kurar: Client bir SYN gönderir, sunucu bir SYN-ACK ile yanıt verir ve Client işlemi bir ACK ile tamamlar. Saldırganlar, el sıkışmasını tamamlamadan çok sayıda SYN paketi göndererek SYN flood DoS saldırılarında bu diziden yararlanır ve sunucu kaynaklarını tüketir. Normal el sıkışması davranışını anlamak, analistlerin paket yakalamalarındaki ve SIEM günlüklerindeki anormallikleri fark etmesine yardımcı olur.

UDP (User Datagram Protocol), önce bir oturum oluşturmadan paket gönderen bağlantısız bir aktarım protokolüdür. Onay veya yeniden iletim olmadığı için TCP'den daha hızlı, ancak daha az güvenilirdir. DNS, DHCP, NTP ve SNMP gibi hizmetler, garantili teslimden çok düşük gecikmeye önem verildiği için UDP kullanır. Güvenlik açısından, küçük isteklerin kurbanları etkisiz hâle getirecek kadar büyük yanıtlar oluşturduğu UDP tabanlı büyütme saldırıları önemli bir tehdittir.

İyi bilinen bağlantı noktaları (0-1023), yaygın hizmetler için ayrılmıştır ve IANA tarafından atanır. En önemli olanları ezberlemek Security+ sınavı için çok önemlidir. 22 numaralı bağlantı noktası SSH, 443 numaralı bağlantı noktası HTTPS, 80 numaralı bağlantı noktası HTTP, 25 numaralı bağlantı noktası SMTP ve 53 numaralı bağlantı noktası DNS için kullanılır. Bir hizmetin hangi bağlantı noktasını kullandığını bilmek, analistlerin meşru trafiği saldırılardan ayırt etmesine ve doğru güvenlik duvarı kuralları yazmasına yardımcı olur.

Kayıtlı bağlantı noktaları (1024-49151), tutarlı ancak ayrıcalıklı olmayan bir bağlantı noktası gerektiren uygulamalar tarafından kullanılır. Örnek olarak 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) ve 8080 (alternatif HTTP) verilebilir. Dynamic (ephemeral) bağlantı noktaları (49152-65535), işletim sistemi tarafından istemci tarafındaki bağlantılara geçici olarak atanır. Saldırganlar bazen yalnızca iyi bilinen bağlantı noktalarını engelleyen güvenlik duvarı kurallarından kaçınmak için yüksek numaralı bağlantı noktalarında kötü amaçlı hizmetler çalıştırır.

ICMP (Internet Control Message Protocol), tanılama ve hata bildirme amacıyla kullanılır. ping komutu, erişilebilirliği sınamak için ICMP Echo Request/Reply kullanır. Yararlı olsa da ICMP kötüye kullanılabilir: ping taramaları etkin Host'ları keşfeder, ICMP yönlendirme iletileri yönlendirme tablolarını değiştirmek için kullanılabilir ve gizli kanallar, verileri ICMP yüklerinin içinde tünelleyebilir. Sorun gidermede dahili olarak kullanılmasına izin verilirken birçok kuruluş çevre sınırında ICMP'yi engeller.

ARP (Address Resolution Protocol), yerel bir ağ kesimindeki IP adreslerini MAC adresleriyle eşler. Bir Host 192.168.1.1'e trafik göndermek istediğinde, “192.168.1.1 kimde?” diye soran bir ARP isteğini yayınlar ve adresin sahibi MAC adresiyle yanıt verir. ARP'de kimlik doğrulama bulunmadığından, saldırganın trafiği ortadaki adam saldırıları gerçekleştirmek üzere kendi makinesi üzerinden yeniden yönlendirmek için sahte ARP yanıtları gönderdiği ARP sahteciliğine (ARP zehirleme olarak da adlandırılır) karşı savunmasızdır.

DNS (Domain Name System), insanların okuyabildiği ana bilgisayar adlarını (www.example.com) IP adreslerine dönüştürür. Bir DNS sorgusu bir hiyerarşi boyunca ilerler: istemci, özyinelemeli bir çözümleyiciye sorgu gönderir; çözümleyici sırasıyla kök sunuculara, TLD sunucularına ve ardından yetkili ad sunucularına sorgu gönderir. Güvenlik açısından sonuçları önemlidir: DNS önbellek zehirleme sahte kayıtlar ekler, DNS tünelleme verileri dışarı aktarmak veya C2 sunucularına ulaşmak için sorguların içine veri kodlar ve yazım hatası istismarı kullanıcıları kimlik avına yönlendirmek için benzer görünen alan adlarını kaydeder.

TCP/IP trafiğini analiz etmek için iki temel araç Wireshark ve Nmap'tir. Wireshark, tek tek çerçeveleri incelemenizi, protokole göre filtrelemenizi ve oturumları yeniden oluşturmak için TCP akışlarını izlemenizi sağlayan bir paket analizörüdür. Nmap; etkin Host'ları, açık bağlantı noktalarını, çalışan hizmetleri ve işletim sistemi sürümlerini belirleyen bir ağ tarayıcısıdır. Birlikte kullanıldıklarında güvenlik uzmanlarının ağ üzerinden gerçekte nelerin geçtiğini görmesini, anormallikleri tespit etmesini ve güvenlik duvarı kurallarının amaçlandığı gibi çalıştığını doğrulamasını sağlar.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını ne kadar anladığınızı sınayın.

Bu derste şunları öğrendiniz: OSI ve TCP/IP modelleri, güvenlik denetimlerinin çalıştığı ağ katmanlarını açıklar; iyi bilinen bağlantı noktaları (0-1023) yaygın hizmetleri belirtir ve sınav için ezberlenmelidir; ARP, DNS ve ICMP gibi protokollerin her biri sahtecilik, önbellek zehirleme ve tünelleme gibi kendine özgü güvenlik riskleri taşır. Sırada güvenlik duvarlarını ve ağ trafiğini nasıl filtrelediklerini inceleyeceğiz.