DNSSEC ve DNS Filtreleme

Standart DNS, kimlik doğrulaması sunmaz. Birbirini tamamlayan iki savunma bunu ele alır: DNSSEC, yanıtların gerçek ve değiştirilmemiş olduğunu kanıtlarken DNS filtrelemesi, bilinen kötü amaçlı adların çözümlenmesini engeller. Birlikte, bütünlüğü korur ve saldırı yüzeyini küçültürler.

Bu derste her birinin nasıl çalıştığı ve katmanlı bir DNS güvenlik stratejisinde nereye yerleştiği ele alınmaktadır.

DNSSEC (DNS güvenlik uzantıları), DNS verilerine kriptografik imzalar ekler. Şunları garanti eder:

• Kaynak doğruluğu — yanıt gerçek bölge sahibinden gelmiştir.
• Veri bütünlüğü — yanıt aktarım sırasında değiştirilmemiştir.

Önemli bir nokta: DNSSEC gizlilik sağlamaz. Sorgular ve yanıtlar açık metin olarak kalır; gizlilik için yine DoT/DoH gerekir.

İmzalanmış bir bölgedeki her kayıt kümesi için bir RRSIG kaydı oluşturulur: bu, söz konusu verilerin üzerindeki dijital imzadır. Eşleşen ortak anahtar, DNSKEY kaydı olarak yayımlanır.

Doğrulama yapan çözümleyici RRSIG ve DNSKEY kayıtlarını alır, ardından imzayı doğrular. Doğrulama başarısız olursa yanıt istemciye sunulmak yerine sahte olarak reddedilir.

Güven hiyerarşi boyunca aşağı doğru akar. Üst bölge, alt bölgenin DNSKEY kaydını özetleyen bir DS (Yetkilendirme İmzalayıcısı) kaydı yayımlar. Zincir şu şekilde ilerler: kök → TLD → alan adınız.

Doğrulama yapan çözümleyici, sabit kodlanmış kök güven çıpasından başlar ve DS kayıtlarını izleyerek aşağı iner. Herhangi bir bağlantı eksik veya hatalıysa doğrulama başarısız olur. DS kaydını kayıt kuruluşunuzda yayımlamak, alan adınız için DNSSEC'yi etkinleştiren işlemdir.

Bölgeler iki anahtar rolü kullanır:

• ZSK (Bölge İmzalama Anahtarı) — gerçek kayıtları imzalar; sık sık yenilenir.
• KSK (Anahtar İmzalama Anahtarı) — DNSKEY kümesini imzalar; daha uzun ömürlüdür ve üst bölgenin DS kaydı tarafından referans gösterilir.

Rollerin ayrılması, üst bölge yetkilendirmesine dokunmadan ZSK'yi yenilemenizi sağlar ve anahtar yönetimini kolaylaştırır.

DNSSEC, bir adın mevcut olmadığını da kanıtlamalıdır. NSEC kayıtları mevcut adlar arasındaki boşlukları imzalar; ancak saldırganların tüm bölgeyi dolaşıp numaralandırmasına olanak tanır.

NSEC3, düz metin yerine özetlenmiş adları imzalayarak bu sorunu giderir ve bölge numaralandırmasını zorlaştırır. Tamamen taranabilir olmasını istemediğiniz bölgeler için NSEC3'ü (veya NSEC3 dışlamayı) tercih edin.

Kapsam konusunda gerçekçi olun:

• Gizlilik sağlamaz; yalnızca bütünlük ve kaynak doğruluğu sağlar.
• Doğrulama güvenilir bir çözümleyicide gerçekleşmelidir; DoT/DoH olmadan son erişim hattı ile uç istemci arasındaki bölüm hâlâ korunmasızdır.
• Hatalı yapılandırılmış veya süresi dolmuş imzalar kesintilere yol açar; bu nedenle imzaların geçerliliğini izleyin.
• Açık özyineleme etkin bırakılırsa daha büyük yanıtlar yansıtma potansiyelini artırır.

DNS filtrelemesi, çözümleyiciyi bir politika uygulama noktası olarak kullanır. Bir istemci kötü amaçlı veya istenmeyen bir alan adını sorguladığında çözümleyici yanıtı reddeder veya yeniden yazar (genellikle bir tuzak sunucuya ya da engelleme sayfasına yönlendirir).

Bu yöntem ucuz, hızlı ve protokolden bağımsızdır: sorguyu engellemek, bağlantı kurulmaya çalışılmadan önce kötü amaçlı yazılımın C2 iletişimini, kimlik avını ve istenmeyen kategorileri durdurur.

RPZ, DNS güvenlik duvarı politikasını uygulamanın standart bir yoludur. Çözümleyici, politika bölgelerini (yerel veya tehdit istihbaratı akışlarından gelen) yükler ve şunları yapabilir:

• NXDOMAIN döndürmek (ad mevcut değil).
• NODATA döndürmek.
• Bir tuzak sunucuya veya kapalı bahçe IP adresine yönlendirmek.
• Günlükleyerek geçişine izin vermek.

Tuzak sunucuya yönlendirme, olay müdahalesi için güçlüdür: bilinen C2 alan adlarını yönlendirin ve bunlara ulaşmaya çalışan ana makineleri izleyin.

Filtrelemenin değeri verilerin kalitesine bağlıdır. Çözümleyiciye şunları sağlayın:

• Seçilmiş kötü amaçlı yazılım, kimlik avı ve C2 gösterge listeleri.
• Yeni kaydedilmiş ve itibarı düşük alan adı akışları (çoğu zaman kötü amaçlıdır).
• Kategori politikaları (ör. kurumsal cihazlarda bilinen anonimleştiricileri engelleme).

Engellenen ad sorgularının yalnızca sessiz reddetmeler olarak kalmaması, tespit sinyallerine dönüşmesi için filtrelemeyi günlüklemeyle birleştirin.

Bu iki savunma birbirinin alternatifi değil, tamamlayıcısıdır:

• DNSSEC, aldığınız yanıtların gerçek ve değiştirilmemiş olmasını sağlar.
• Filtreleme/RPZ, bilinen kötü amaçlı adları en baştan hiç çözümlememenizi sağlar.

Her ikisini de doğrulama yapan iç çözümleyicilerde devreye alın, son erişim hattı gizliliği için DoT/DoH ekleyin, çıkış denetimlerini uygulayın; böylece güçlü ve katmanlı bir DNS güvenlik duruşuna sahip olursunuz.

DNSSEC, kök güven çıpasından başlayan RRSIG imzaları, DNSKEY/DS güven zinciri ve kimlik doğrulamalı yokluk için NSEC/NSEC3 kullanarak DNS yanıtlarının doğruluğunu kanıtlar; ancak gizlilik sağlamaz. DNS filtrelemesi (RPZ, tuzak sunucuya yönlendirme, tehdit akışları), bilinen kötü amaçlı adların çözümlenmesini önler ve engellemeleri tespit sinyallerine dönüştürür.

Doğrulama yapan iç çözümleyicilerde, DoT/DoH ve çıkış denetimleriyle birlikte kullanıldıklarında, bu derste ele alınan DNS saldırılarına karşı katmanlı bir savunma oluştururlar.