- Konu sahibi
- #1
DNS saldırısı, alan adını IP adresine çeviren DNS altyapısının kandırılması, ele geçirilmesi, kötüye kullanılması veya hizmet veremeyecek hâle getirilmesidir. Sonuç; ziyaretçinin sahte bir sunucuya yönlendirilmesi, e-posta akışının değiştirilmesi, alan adının çözülememesi ya da DNS sunucularının yoğunluk nedeniyle yanıt verememesi olabilir. Saldırı yalnızca web sitesini değil, alan adına bağlı e-posta, API ve diğer servisleri de etkileyebilir.
Örneğin
Bir kullanıcı alan adını yazdığında cihazı genellikle bir recursive resolver üzerinden DNS kaydı ister. Resolver daha önce aldığı yanıtı önbelleğinde tutabilir veya alan adının yetkili DNS sunucularına başvurabilir. Saldırgan bu zincirin farklı noktalarını hedefleyebilir:
Cache poisoning ile DNS hijacking aynı şey değildir. Cache poisoning, bir resolverın geçici önbelleğine sahte yanıt yerleştirmeyi hedefler. DNS hijacking ise çoğunlukla DNS sağlayıcısındaki hesap, nameserver veya kayıt yönetiminin ele geçirilmesiyle yapılır. Alan adı hesabının tamamen ele geçirilmesi ise ayrıca domain hijacking olarak adlandırılır.
Önce sorunun yalnızca bir ağda mı, yoksa farklı resolverlarda da mı görüldüğünü ayırın. Aynı alan adını güvenilir ve birbirinden farklı DNS resolverlar üzerinden sorgulayın. Sonuçlardaki IP adresleri, CNAME zinciri, TTL ve varsa doğrulama durumunu karşılaştırın. CDN, coğrafi yanıt ve yük dengeleme meşru olarak farklı IP’ler döndürebilir; farkı tek başına saldırı kanıtı saymayın.
Alan adı kayıt kuruluşunda çok faktörlü kimlik doğrulamayı etkinleştirin, registrar ve DNS sağlayıcısı hesaplarını ayrı yetkilerle yönetin. Nameserver değişikliklerini sınırlayın ve kritik DNS kayıtları için değişiklik bildirimi oluşturun. DNS sunucusu yazılımını güncel tutun; internete açık recursive resolver bırakmayın ve yetkili DNS ile recursive DNS görevlerini mümkün olduğunca ayırın.
DNSSEC destekleniyorsa alan adını imzalayın ve zincirin resolver tarafında doğrulanabildiğini test edin. DNSSEC veri bütünlüğü ve kaynağın doğrulanmasına yardımcı olur; HTTPS ise web bağlantısını korur. Bu nedenle DNSSEC, TLS sertifikasının veya sunucu güvenliğinin yerine geçmez.
Bir DNS saldırısında ilk hedef, kullanıcıyı tekrar doğru ve doğrulanabilir DNS yanıtına ulaştırmaktır. Ardından DNS hesabı, registrar hesabı, e-posta kayıtları, sunucu günlükleri ve olası kimlik bilgisi sızıntısı birlikte incelenmelidir. Sadece A kaydını eski hâline getirmek, saldırganın hesabı hâlâ kontrol etmesi durumunda kalıcı çözüm değildir.
Hayır. HTTPS trafiği şifreler ve sertifika doğrulaması yapar; fakat DNS yanlış hedefe yönlendirmeyi yine deneyebilir. Geçerli görünen bir sertifika, alan adı hesabının veya kullanıcının kimlik bilgilerinin ele geçirilmediğini tek başına kanıtlamaz.
Yalnızca tek cihazdaki eski veya hatalı önbelleği kaldırabilir. Sorun DNS sağlayıcısındaki kayıt değişikliğinden, resolver zehirlenmesinden veya ele geçirilmiş hesaptan kaynaklanıyorsa ilgili altyapı düzeltilmeden saldırı devam edebilir.
Örneğin
example.com normalde dokümantasyon amaçlı 192.0.2.10 adresine yönleniyor olsun. Saldırgan DNS yanıtını veya DNS yönetimindeki kaydı değiştirirse bazı kullanıcılar gerçek sunucu yerine sahte bir sunucuya gidebilir. Sahte sayfa giriş bilgilerini toplamaya, zararlı dosya sunmaya veya ziyaretçiyi başka bir siteye yönlendirmeye çalışabilir.DNS saldırısı nasıl çalışır?
Bir kullanıcı alan adını yazdığında cihazı genellikle bir recursive resolver üzerinden DNS kaydı ister. Resolver daha önce aldığı yanıtı önbelleğinde tutabilir veya alan adının yetkili DNS sunucularına başvurabilir. Saldırgan bu zincirin farklı noktalarını hedefleyebilir:
Cache poisoning ile DNS hijacking aynı şey değildir. Cache poisoning, bir resolverın geçici önbelleğine sahte yanıt yerleştirmeyi hedefler. DNS hijacking ise çoğunlukla DNS sağlayıcısındaki hesap, nameserver veya kayıt yönetiminin ele geçirilmesiyle yapılır. Alan adı hesabının tamamen ele geçirilmesi ise ayrıca domain hijacking olarak adlandırılır.
Belirti varsa nasıl kontrol edilir?
Önce sorunun yalnızca bir ağda mı, yoksa farklı resolverlarda da mı görüldüğünü ayırın. Aynı alan adını güvenilir ve birbirinden farklı DNS resolverlar üzerinden sorgulayın. Sonuçlardaki IP adresleri, CNAME zinciri, TTL ve varsa doğrulama durumunu karşılaştırın. CDN, coğrafi yanıt ve yük dengeleme meşru olarak farklı IP’ler döndürebilir; farkı tek başına saldırı kanıtı saymayın.
- Yetkili DNS sağlayıcısının paneline girerek A, AAAA, CNAME, MX ve NS kayıtlarının beklenen değerlerde olduğunu kontrol edin. Bilmediğiniz bir kayıt, yeni nameserver veya değiştirilmiş iletişim bilgisi varsa değişiklik zamanını inceleyin.
- Sunucuda veya istemcide
dig example.com A,dig example.com MXvedig example.com NSsorgularını çalıştırın. Aynı sorguları farklı ağlardan tekrarlayın; yalnızca tek resolver farklı sonuç veriyorsa önbellekleme veya resolver kaynaklı bir sorun olasılığını değerlendirin. - DNS sağlayıcısının değişiklik kayıtlarını, hesap girişlerini ve API anahtarlarını inceleyin. Yetkisiz değişiklik varsa yalnızca DNS kaydını düzeltmekle kalmayıp hesabın erişimlerini de yenileyin.
- Sahte hedef doğrulanırsa orada parola girilmesini durdurun. Kimlik bilgisi sızıntısı doğrulanmış veya kuvvetle şüpheliyse etkilenen hesapların erişimlerini güvenli kanaldan yenileyin; yalnız farklı IP göründü diye bütün kullanıcıları etkileyen işlem yapmayın.
- DNSSEC kullanılıyorsa imza doğrulama hatalarını ayrıca inceleyin. DNSSEC, imzalı bölgedeki değiştirilmiş verinin doğrulanamamasına yardımcı olur; ancak ele geçirilmiş DNS hesabını, DDoS saldırısını veya uygulama sunucusundaki açığı tek başına çözmez.
| Saldırı türü | Hedef | Tipik sonuç |
|---|---|---|
| DNS cache poisoning | Resolver önbelleği | Kullanıcı yanlış IP adresine yönlenir |
| DNS hijacking | DNS hesabı veya nameserver kaydı | Alan adının DNS kayıtları saldırganın kontrolündeki hedefe çevrilir |
| DNS amplification | Açık recursive resolverler | Küçük isteklerle üçüncü bir hedefe büyük trafik gönderilir |
| Random-prefix/NXDOMAIN sorgu baskısı | Yetkili DNS sunucusu | Var olmayan çok sayıda ad sorgulanarak kaynak tüketilir |
| DNS tunneling | DNS sorgu ve yanıtları | Veri kaçırma veya komuta-kontrol trafiği DNS içine saklanır |
Korunmak için temel kararlar
Alan adı kayıt kuruluşunda çok faktörlü kimlik doğrulamayı etkinleştirin, registrar ve DNS sağlayıcısı hesaplarını ayrı yetkilerle yönetin. Nameserver değişikliklerini sınırlayın ve kritik DNS kayıtları için değişiklik bildirimi oluşturun. DNS sunucusu yazılımını güncel tutun; internete açık recursive resolver bırakmayın ve yetkili DNS ile recursive DNS görevlerini mümkün olduğunca ayırın.
DNSSEC destekleniyorsa alan adını imzalayın ve zincirin resolver tarafında doğrulanabildiğini test edin. DNSSEC veri bütünlüğü ve kaynağın doğrulanmasına yardımcı olur; HTTPS ise web bağlantısını korur. Bu nedenle DNSSEC, TLS sertifikasının veya sunucu güvenliğinin yerine geçmez.
Bir DNS saldırısında ilk hedef, kullanıcıyı tekrar doğru ve doğrulanabilir DNS yanıtına ulaştırmaktır. Ardından DNS hesabı, registrar hesabı, e-posta kayıtları, sunucu günlükleri ve olası kimlik bilgisi sızıntısı birlikte incelenmelidir. Sadece A kaydını eski hâline getirmek, saldırganın hesabı hâlâ kontrol etmesi durumunda kalıcı çözüm değildir.
Sık sorulan sorular
HTTPS varsa DNS saldırısı etkisiz mi olur?
Hayır. HTTPS trafiği şifreler ve sertifika doğrulaması yapar; fakat DNS yanlış hedefe yönlendirmeyi yine deneyebilir. Geçerli görünen bir sertifika, alan adı hesabının veya kullanıcının kimlik bilgilerinin ele geçirilmediğini tek başına kanıtlamaz.
DNS önbelleğini temizlemek saldırıyı bitirir mi?
Yalnızca tek cihazdaki eski veya hatalı önbelleği kaldırabilir. Sorun DNS sağlayıcısındaki kayıt değişikliğinden, resolver zehirlenmesinden veya ele geçirilmiş hesaptan kaynaklanıyorsa ilgili altyapı düzeltilmeden saldırı devam edebilir.
