DNS Nasıl Çalışır ve Riskleri Nelerdir

Alan Adı Sistemi (DNS), example.com gibi insanların kolayca okuyabildiği adları 93.184.216.34 gibi IP adreslerine dönüştürür. Neredeyse her ağ işlemi bir DNS aramasıyla başlar; bu da DNS'i yüksek değerli bir hedef haline getirir.

Bir saldırgan ad çözümlemesini denetler veya değiştirirse, uygulamaya dokunmadan kurbanları kötü amaçlı sunuculara sessizce yönlendirebilir, trafiği ele geçirebilir veya verileri dışarı çıkarabilir. Çözümleme yolunu anlamak, bu yolu savunmanın ilk adımıdır.

Tipik bir özyinelemeli arama, sunuculardan oluşan bir zinciri izler:

• İstemci üzerindeki yerel çözümleyici (işletim sistemi).
• İşi gerçekleştiren özyinelemeli çözümleyici (internet servis sağlayıcınız veya 8.8.8.8).
• TLD sunucularını gösteren kök sunucular.
• Yetkili sunucuları gösteren TLD sunucuları (ör. .com).
• Gerçek kayıtları barındıran yetkili sunucular.

Her geçiş, olası bir müdahale veya sahtecilik noktasıdır.

Bir özyinelemeli çözümleyici, istemci adına yönlendirmeleri izleyerek ve sonucu önbelleğe alarak her sorguyu yanıtlar. Yetkili sunucu ise yalnızca sahibi olduğu bölgeler için, kesin verilerle yanıt verir.

Güvenlik açısından açık özyinelemeli çözümleyiciler büyütme saldırıları için kötüye kullanılabilir; yetkili sunucular ise bölge ele geçirme ve kayıt kuruluşu hesabının ele geçirilmesi saldırılarının hedefidir. Özyinelemeli sorguları kendi ağınızla sınırlayın.

Analiz sırasında karşılaşacağınız kayıtlar:

• A / AAAA — IPv4 / IPv6 adresi.
• CNAME — başka bir ada takma ad (alt alan adının ele geçirilmesine yol açabilecek boşa düşmüş CNAME kayıtlarına dikkat edin).
• MX — posta sunucuları.
• NS — yetkili sunuculara yetki devri.
• TXT — SPF ve DKIM için kullanılan, ayrıca tünelleme amacıyla sıkça kötüye kullanılan serbest metin.

Geleneksel DNS, UDP 53 bağlantı noktası üzerinden çalışır; büyük yanıtlar ve bölge aktarımları için TCP 53 bağlantı noktasına geçiş yapar. UDP bağlantısızdır ve durum bilgisi tutmaz; bu nedenle yanıt verenin iddia ettiği kişi olduğunu kanıtlayan bir el sıkışma yoktur.

Bir sorgu ile yanıtı arasındaki tek ilişkilendirme, 16 bitlik bir işlem ID'si ile kaynak bağlantı noktasıdır. Bu zayıf bağ, sahtecilik ve önbellek zehirlenmesinin temel nedenidir.

Yükü azaltmak için çözümleyiciler, yanıtları kaydın TTL (yaşam süresi) boyunca önbelleğe alır. TTL değeri 3600 olan bir yanıt bir saat boyunca önbellekte kalır.

Önbelleğe alma iki ucu keskin bir bıçaktır: performansı artırır, ancak tek bir zehirlenmiş yanıtın TTL süresi dolana kadar birçok kurbana sunulabileceği anlamına gelir. Saldırganlar, kötü amaçlı girdilerin kalıcı olmasını sağlamak için genellikle uzun TTL değerleri göndermeye çalışır.

DNS birçok saldırı yüzeyi ortaya çıkarır:

• Ağ yolundaki sahtecilik — meşru sunucudan daha hızlı sahte yanıtlar oluşturma.
• Önbellek zehirlenmesi — kötü kayıtları çözümleyici önbelleğine enjekte etme.
• Kayıt kuruluşu / bölge ele geçirme — alan adının denetimini çalma.
• Tünelleme — çıkış denetimlerini aşmak için verileri sorguların içine kodlama.
• DDoS büyütmesi — açık çözümleyicileri yansıtıcı olarak kötüye kullanma.

Şifresiz DNS, bütünlük veya kimlik doğrulama garantisi sunmaz. Bir yanıt; kaynak IP, hedef bağlantı noktası, sorgu adı ve işlem ID'siyle eşleşiyorsa güvenilir kabul edilir. Ağ yolundaki bir saldırgan bunların tümünü tahmin edebilir veya gözlemleyebilir.

Bu tasarım varsayımı (ağın güvenilir olduğu varsayımı), DNSSEC, TLS üzerinden DNS (DoT) ve HTTPS üzerinden DNS (DoH) gibi sonradan eklenen korumaların var olmasının nedenidir.

Saldırıdan önce hasımlar, sistem varlıklarınızı haritalamak için DNS'i tarar. Yanlış yapılandırılmış bölge aktarımları (AXFR) her kaydı dökebilir. Alt alan adı kaba kuvvet denemeleri ve sertifika şeffaflığı günlükleri, gizli ana bilgisayarları ortaya çıkarır.

Savunma ekipleri bölge aktarımlarını bilinen ikincil sunucularla sınırlamalı ve sayım yapıldığına işaret eden toplu sorgu örüntülerini izlemelidir.

TLS üzerinden DNS (853 numaralı bağlantı noktası) ve HTTPS üzerinden DNS (443 numaralı bağlantı noktası), sorguyu şifreleyerek ağ yolunu izleyenlerin sorguyu okuyamamasını veya değiştirememesini sağlar. Bu, sahteciliğin etkisini azaltır ve gizliliği korur.

Savunma ekipleri açısından ödün şudur: şifreli DNS, kendi filtreleme ve izleme faaliyetlerinizi körleştirebilir. Birçok kuruluş, uç noktaların harici çözümleyicileri seçmesine izin vermek yerine istemcileri denetlenen bir DoH/DoT çözümleyicisine sabitler.

Çözümleme yolunu güçlendirmek için pratik önlemler:

• Dahili özyinelemeli çözümleyiciler çalıştırın; internete doğrudan giden 53 numaralı bağlantı noktasını engelleyin.
• Yetkili sunucularda açık özyinelemeyi devre dışı bırakın.
• AXFR bölge aktarımlarını kısıtlayın ve günlükleyin.
• Alan adını kayıt kuruluşunda kilitleyin (kayıt kilidi, MFA).
• Tünelleme ve sayım faaliyetlerini tespit etmek için sorgu hacmini ve entropisini izleyin.

DNS'in neden saldırıya açık olduğunu anlayıp anlamadığınızı sınayın.

DNS çözümlemesinin yerel çözümleyiciden kök, TLD ve yetkili sunuculara uzanan bir zinciri izlediğini, yanıtların da TTL ile önbelleğe alındığını öğrendiniz. UDP/53 üzerinden çalışan geleneksel DNS kimlik doğrulamasından yoksun olduğu için sahteciliğe, önbellek zehirlenmesine, ele geçirmeye, tünellemeye ve büyütme saldırılarına açıktır.

Temel savunmalar şunlardır: kapalı özyineleme, kısıtlanmış bölge aktarımları, kayıt kuruluşu kilitleri, şifreli iletim (DoT/DoH) ve DNSSEC. Sırada sahtecilik ve önbellek zehirlenmesini ayrıntılı olarak ele alıyoruz.