DNS Nedir ve DNS Saldırıları: Spoofing ve Tünelleme

Bu yazı, ağ güvenliğine yeni başlayanlar için hazırlandı. DNS'in nasıl çalıştığını adım adım gördükten sonra, en sık karşılaşılan DNS saldırılarını ve bunlara karşı alınabilecek pratik önlemleri öğreneceksin.

Yasal ve etik uyarı: Aşağıdaki saldırı kavramları yalnızca öğrenme, savunma ve kendi laboratuvarın ya da yazılı izin aldığın sistemler üzerinde test amacıyla anlatılmaktadır. İzinsiz DNS manipülasyonu Türkiye'de 5237 sayılı TCK kapsamında suçtur. Amacımız saldırıyı tanıyıp savunmayı güçlendirmektir.

DNS nedir ve nasıl çalışır?

DNS, insanların hatırlayabildiği alan adları ile makinelerin kullandığı IP adresleri arasında köprü kuran dağıtık bir sistemdir. Bir siteye girdiğinde tarayıcın önce "bu alan adının IP'si ne?" diye sorar. Bu soru sırasıyla yerel önbelleğe, işletim sistemine, ağ sağlayıcının çözümleyici (resolver) sunucusuna ve nihayetinde yetkili (authoritative) DNS sunucusuna ulaşır. Cevap geri döner ve tarayıcı doğru sunucuya bağlanır.

Bu zincirdeki her durak bir güven noktasıdır. Saldırılar da genellikle bu güven noktalarından birini kandırmayı hedefler.

Bir DNS sorgusu adım adım nasıl ilerler?

Basitleştirilmiş bir DNS çözümlemesi şöyle akar:

1. Önbellek kontrolü: Tarayıcı ve işletim sistemi, cevabı daha önce sorduysa hafızasından döner.
2. Resolver sorgusu: Bilinmiyorsa istek, ağdaki çözümleyici sunucuya gider (genelde ISP'nin veya 1.1.1.1, 8.8.8.8 gibi bir sağlayıcının sunucusu).
3. Kök ve TLD sunucuları: Resolver, kök sunuculara ve .tr gibi üst düzey alan sunucularına yol sorar.
4. Yetkili sunucu: Alan adının asıl kaydını tutan sunucu nihai IP'yi döner.
5. Cevap ve önbellekleme: Sonuç geri iletilir ve bir süre (TTL) boyunca saklanır.

DNS spoofing nedir?

DNS spoofing, bir DNS sorgusuna gerçek sunucudan önce sahte bir cevap ulaştırarak kullanıcıyı yanlış IP adresine yönlendirme saldırısıdır. Kurban banka.example yazdığını sanırken, aslında saldırganın kontrolündeki sahte bir sunucuya bağlanır. Bu yöntem sıklıkla oltalama (phishing), kimlik bilgisi çalma veya ortadaki adam (MITM) saldırılarıyla birlikte kullanılır. Amaç, kurbanın "doğru adrese gittim" güvenini istismar etmektir.

DNS cache poisoning (önbellek zehirlenmesi) nasıl çalışır?

DNS cache poisoning, spoofing'in kalıcı hâle gelmiş bir türüdür. Saldırgan, bir çözümleyici sunucunun önbelleğine sahte bir kayıt yerleştirmeyi başarırsa, o sunucuyu kullanan tüm kullanıcılar TTL süresi boyunca yanlış adrese yönlendirilir. Yani tek bir zehirli kayıt, o sunucuyu kullanan birçok kişiyi etkileyebilir. Bu yüzden çözümleyici sunucuların güncel tutulması ve DNSSEC gibi doğrulama katmanları kritik önemdedir.

DNS tünelleme (tunneling) nedir?

DNS tünelleme, normalde yalnızca isim çözümlemesi için kullanılması gereken DNS trafiğinin içine başka veriler gizleyerek bir iletişim kanalı kurma tekniğidir. Çoğu ağda 53 numaralı DNS portu açık bırakıldığı için, saldırganlar veya kötü amaçlı yazılımlar bu kanalı güvenlik duvarını atlatmak, komut-kontrol (C2) trafiği taşımak ya da veri sızdırmak için kötüye kullanabilir. Savunma tarafında bu, anormal DNS desenlerini izleyerek tespit edilir.

Tünellemenin ayırt edici işaretleri genellikle şunlardır: alışılmadık uzunlukta ve rastgele görünen alt alan adları, tek bir alana yapılan çok yüksek sayıda sorgu ve normalden büyük TXT/NULL kayıt cevapları.

DNS saldırı türleri nasıl karşılaştırılır?

Aşağıdaki tablo, yeni başlayanlar için üç ana DNS saldırısını hedef ve savunma açısından özetliyor:

DNS trafiğini nasıl incelersin?

Bir alan adının hangi IP'ye çözümlendiğini görmek, DNS'i anlamanın en iyi yollarından biridir. Bunlar tamamen zararsız, tanılama (diagnostic) komutlarıdır ve kendi bilgisayarında güvenle çalıştırabilirsin. Windows'ta nslookup, Linux/macOS'te ise dig yaygın kullanılır:

# Bir alan adının IP kaydını sorgula
nslookup altaysec.com.tr
 
# dig ile daha ayrıntılı sorgu (Linux/macOS)
dig altaysec.com.tr A
 
# Sadece sonucu kısaca gör
dig +short altaysec.com.tr
 
# Belirli bir DNS sunucusuna sor (örn. Cloudflare)
dig @1.1.1.1 altaysec.com.tr

Farklı DNS sunucularına aynı alanı sorup dönen cevapları karşılaştırmak, "beklediğim IP mi geliyor?" kontrolü yapmanın basit bir yoludur. Bir alanın beklenmedik, alakasız bir IP'ye çözümlendiğini görürsen bu, önbellek veya yönlendirme sorununun ilk işareti olabilir.

DNS saldırılarından nasıl korunulur?

İyi haber: temel önlemler hem bireyler hem kurumlar için erişilebilir. Öncelikli adımlar şunlar:

• DNSSEC: DNS cevaplarını kriptografik imzayla doğrular; spoofing ve cache poisoning'i büyük ölçüde zorlaştırır.
• Şifreli DNS (DoH / DoT): DNS-over-HTTPS veya DNS-over-TLS, sorgularını şifreleyerek yol üzerindeki müdahaleyi engeller.
• Güvenilir çözümleyici kullan: Tanınmış ve güncel tutulan DNS sağlayıcılarını tercih et.
• Sunucuları yamalı tut: Kurumsal resolver'ları güncel tutmak, bilinen zehirlenme açıklarını kapatır.
• DNS trafiğini izle: Anormal sorgu hacmi ve garip alt alan adları, tünellemenin erken işaretidir.
• HTTPS ve sertifika kontrolü: Sahte siteye yönlendirilsen bile geçerli sertifika uyuşmazlığı seni uyarabilir.

DNS ve ağ analizini uygulamalı denemek istersen, pratik.altaysec.com.tr üzerindeki ücretsiz CTF görevlerinde ağ ve trafik analizine yönelik pratik yapabilir, tarayıcı içi laboratuvarlar için labs.altaysec.com.tr'ye göz atabilirsin. Öğrenmenin en hızlı yolu, kavramı okuduktan sonra kendi güvenli ortamında denemektir.