DNS spoofing nedir?

DNS spoofing, bir alan adının gerçek IP adresi yerine saldırganın belirlediği sahte IP adresinin döndürülmesidir. Kullanıcı tarayıcıya doğru alan adını yazsa bile sahte sunucuya yönlendirilebilir. Bu yöntem; kimlik bilgisi çalma, sahte ödeme ekranı gösterme, zararlı yazılım dağıtma veya trafiği izleme amacıyla kullanılabilir. DNS önbelleğinin sahte kayıtla doldurulması biçimine genellikle DNS cache poisoning de denir.

Nasıl çalışır?​

Normal akışta cihaz, alan adının IP adresini bir DNS resolver üzerinden öğrenir. Resolver daha önce öğrendiği cevabı önbelleğinde tutar veya yetkili DNS sunucusundan yeni cevap ister. Saldırgan, resolver'a gerçek sunucudan gelmiş gibi görünen sahte bir cevap kabul ettirebilirse alan adı için yanlış IP kaydedilebilir.

Örneğin example.com alan adının gerçek sunucusu yerine saldırganın sunucusuna ait bir IP döndürülür. Kullanıcı adres çubuğunda doğru alan adını görür; ancak bağlantı saldırganın sunucusuna gider. DNS cevabının değişmesi, doğru alan adı için TLS sertifikası doğrulamasını kendiliğinden aşmaz. Sahte sunucunun o gerçek ada geçerli sertifika sunamaması hâlinde HTTPS doğrulaması başarısız olmalıdır. Benzer yazılan başka bir alan adının kendi sertifikasına sahip olması ise ayrı bir oltalama durumudur.

DNS spoofing her zaman uzaktaki bir resolver önbelleğinin zehirlenmesi şeklinde gerçekleşmez. Güvenliği ele geçirilmiş modem, router, istemci bilgisayar veya yerel ağdaki DNS yönlendirmesi de kullanıcıyı sahte DNS sunucusuna götürebilir.

Benzer kavramlarla farkı​

Bu ayrım önemlidir; DNS spoofing şüphesinde yalnızca alan adı panelini değil, resolver ve istemci ağını da incelemek gerekir.

Şüphe durumunda uygulanacak kontrol​

Aynı alan adını farklı DNS resolver'lar üzerinden sorgulayarak cevapların tutarlı olup olmadığını kontrol edin. Örneğin yetkili DNS kayıtlarını bildiğiniz bir alan adı için şu sorgular kullanılabilir:

1. Yerel bilgisayarda nslookup example.com veya dig example.com çalıştırarak dönen IP adresini not edin.
2. Aynı sorguyu kullandığınız yerel DNS sunucusuna, güvenilir başka bir resolver'a ve mümkünse doğrudan yetkili DNS sunucusuna karşı tekrarlayın.
3. Yanıtlar farklıysa TTL değerini, cevap veren DNS sunucusunu ve alan adının yetkili nameserver kayıtlarını birlikte inceleyin. Farklılık kısa süreli yayılım gecikmesinden de kaynaklanabilir; tek başına saldırı kanıtı değildir.
4. Alan adı panelinde A, AAAA, CNAME ve NS kayıtlarını, DNS geçmişini ve yetkisiz değişiklik bildirimlerini kontrol edin.
5. Sahte cevap şüphesi varsa yerel cihazın DNS ayarlarını, modem/router üzerindeki DNS yapılandırmasını ve ilgili cihazlarda zararlı yazılım ihtimalini inceleyin.
6. Alan adı DNSSEC kullanıyorsa resolver'ın DNSSEC doğrulaması yapıp yapmadığını kontrol edin. Geçersiz imza veya doğrulama hatası, cevabın güvenilmez olduğunu gösterebilir.

Kontrol sırasında yalnızca kendi alan adlarınız veya yetkili olduğunuz sistemler üzerinde sorgu ve yapılandırma değişikliği yapın. Bir kaydı düzeltmek için önce yetkili DNS panelindeki gerçek değerleri doğrulayın; rastgele resolver sonucunu doğru kabul etmeyin.

Korunma yaklaşımı​

Alan adı hesabında güçlü ve benzersiz kimlik doğrulama kullanın, nameserver değişikliklerini kısıtlayın ve kayıt değişiklikleri için bildirimleri etkinleştirin. DNS sağlayıcınız destekliyorsa DNSSEC'i doğru DS kaydıyla etkinleştirin. DNSSEC, DNS verisinin kaynağını ve bütünlüğünü doğrulamaya yardımcı olur; ancak alan adı hesabının ele geçirilmesini, sahte alan adı kullanımını veya istemcideki zararlı yazılımı tek başına çözmez.

İstemci ve ağ tarafında güvenilir DNS ayarları kullanın, modem yönetim parolasını değiştirin ve beklenmeyen DNS sunucusu değişikliklerini düzenli olarak denetleyin. Sorun yalnızca tek cihazda görülüyorsa cihaz veya yerel ağ; birçok farklı ağdaki kullanıcıda görülüyorsa yetkili DNS, resolver önbelleği veya alan adı hesabı öncelikli incelenmelidir.

Sık yapılan hatalar​

HTTPS kilidine tamamen güvenmek: HTTPS bağlantıyı şifreler, fakat kullanıcı sahte alan adına yönlendirilmişse sertifika o sahte alan adı için geçerli olabilir.

Tek bir DNS sorgusuyla karar vermek: Önbellek, TTL ve DNS yayılımı nedeniyle resolver cevapları geçici olarak farklı olabilir. Karşılaştırmayı birden fazla kaynaktan yapın.

DNS spoofing ile domain spoofing'i karıştırmak: Benzer görünen bir alan adı kullanılması, DNS cevabının zehirlendiği anlamına gelmez. Alan adını, DNS kayıtlarını ve bağlantının ulaştığı IP'yi ayrı ayrı doğrulayın.

Sık sorulan sorular​

DNS spoofing site sahibini mi, ziyaretçiyi mi etkiler?​

Saldırının türüne göre ikisini de etkileyebilir. Resolver önbelleği zehirlenirse aynı resolver'ı kullanan çok sayıda ziyaretçi etkilenebilir; modem veya istemci DNS'i değiştirilirse etki yalnızca belirli ağ ya da cihazlarla sınırlı kalabilir.

DoH veya DoT kullanmak DNSSEC ile aynı koruma mı sağlar?​

Hayır. DoH/DoT, DNS iletişimini ilgili uçlar arasında şifreler. DNSSEC ise imzalı DNS verisinin kaynağını ve bütünlüğünü doğrulama mekanizmasıdır. Güvenilmeyen bir çözümleyiciye şifreli bağlanmak, dönen her yanıtı otomatik doğru yapmaz; mekanizmaların görevlerini ayırın.

Yanlış IP görmem kesin olarak saldırı olduğu anlamına gelir mi?​

Hayır. DNS yayılımı, eski önbellek, yanlış yapılandırılmış kayıt veya CDN kullanımı da farklı IP sonuçlarına yol açabilir. Yetkili nameserver kayıtlarını, TTL değerini ve farklı resolver cevaplarını birlikte karşılaştırmadan kesin sonuca varmayın.