IP, ASN ve barındırma ilişkileri

Beyaz Vadi Lojistik'in ekibi artık uzun bir ad listesine sahip ve her ad bir IP adresine çözülüyor. Ama bir adres, o adresin kuruma ait olduğunu kanıtlamaz. Aynı sunucuda yüzlerce yabancı site olabilir. Adres bir içerik dağıtım ağına ait olabilir ya da bulut sağlayıcısı dün o adresi başka bir müşteriye vermiş olabilir.

Yanlış sahiplik varsayımı iki zarar doğurur. Rapor yanlış sistemi gösterir ve daha kötüsü, yetkisiz bir hedefe istek atılır. Bu derste adresten ağ bloğuna, bloktan otonom sisteme ve onu yöneten kuruma giden zinciri kurarsın. Sonra tarama motorlarının verisini doğru okumayı ve CDN arkasındaki sunucuyu ayırmayı öğrenirsin.

IP adreslerini dünya ölçeğinde IANA dağıtır. IANA büyük blokları beş bölgesel internet kayıt kuruluşuna (RIR) verir. Bunlar AFRINIC, APNIC, ARIN, LACNIC ve RIPE NCC'dir. Her biri bir bölgeye bakar; RIPE NCC Avrupa'dan, Orta Doğu'dan ve Orta Asya'nın bir kısmından sorumludur.

Türkiye RIPE NCC bölgesindedir. RIR'lar adresleri üyelerine, yani operatörlere ve barındırma firmalarına ayırır. Operatör de bu adreslerin bir kısmını müşterilerine atar.

Her atama RIR veritabanında bir kayıt bırakır. IP whois sorgusu bu veritabanına gider, hedefe değil. Aşağıda Beyaz Vadi Lojistik'in sunucu bloğuna ait kaydı görürsün.

$ whois 203.0.113.11
inetnum:        203.0.113.0 - 203.0.113.255
netname:        BEYAZVADI-NET
descr:          Beyaz Vadi Lojistik sunucu blogu
org:            ORG-BVL1-RIPE
country:        TR
admin-c:        BVL1-RIPE
tech-c:         OBH1-RIPE
abuse-c:        OBH2-RIPE
status:         ASSIGNED PA
mnt-by:         ORNEK-BARINDIRMA-MNT
created:        2021-02-08T09:14:31Z
last-modified:  2025-06-17T11:40:02Z
source:         RIPE

inetnum atamanın kapsadığı adres aralığıdır. netname ve descr bloğa verilen addır; kurum adı burada geçiyorsa güçlü bir sahiplik ipucudur. org satırı ayrı bir organisation nesnesine işaret eder ve orada kurumun resmî adı durur. status satırı atama türünü söyler.

ASSIGNED PA, adresin barındırma firmasının kendi bloğundan kuruma atandığını gösterir. Kurum firmayı değiştirirse adres firmaya geri döner. ASSIGNED PI ise sağlayıcıdan bağımsız, doğrudan kuruma ayrılmış bir bloktur.

mnt-by kaydı değiştirmeye yetkili bakımcıdır; burada barındırma firmasıdır. abuse-c ise kötüye kullanım bildiriminin gideceği irtibattır. Bir saldırı kaynağını bildirirken bu irtibatı kullanırsın.

Aynı kayıt RDAP ile de okunur. Birinci derste alan adı için kullandığın protokol IP adresleri ve ASN'ler için de çalışır. Sorgu yolu /ip/203.0.113.11 ya da /autnum/64500 biçimindedir ve cevap yine JSON gelir. Doğru RIR sunucusunu IANA'nın ipv4.json, ipv6.json ve asn.json önyükleme dosyaları söyler.

RIR kayıtlarının çoğu kurumlara aittir, bu yüzden alan adı tarafındaki kadar maskeli değildir. Yine de kişisel bir irtibat görürsen onu rapora taşımadan önce gerekliliğini sorarsın. IPv6 blokları aynı veritabanında inet6num nesnesiyle tutulur ve aynı biçimde okunur.

Ad, adres ve bloktan sonra zincirin son halkası otonom sistem numarasıdır, kısaca ASN. ASN, kendi yönlendirme politikasını yöneten bir ağın numarasıdır. Barındırma firmaları, operatörler ve büyük kurumlar kendi ASN'sini taşır.

Her ASN internetin geri kalanına BGP ile hangi adres öneklerine ulaşılabileceğini duyurur. Bir adresin hangi önek altında ve hangi ASN'den duyurulduğunu bilmek, sahiplik sorusunun en sağlam cevabıdır.

Neden önemli? Kurumun kendi ASN'si varsa o ASN'nin duyurduğu bütün bloklar kurumun envanterine girer. ASN bir barındırma firmasına aitse aynı ASN altındaki diğer adresler yabancıdır. Bu ayrımı yapmadan yazılan rapor yanlış yeri gösterir.

$ dig A web01.beyazvadi.example +short
203.0.113.11

$ whois -h whois.cymru.com " -v 203.0.113.11"
AS      | IP               | BGP Prefix          | CC | Registry | Allocated  | AS Name
64500   | 203.0.113.11     | 203.0.113.0/24      | TR | ripencc  | 2021-02-08 | ORNEK-BARINDIRMA - Ornek Barindirma A.S., TR

# RIPEstat network-info veri çağrısının cevabı
{"status":"ok","data":{"asns":["64500"],"prefix":"203.0.113.0/24"}}

İlk komut adı adrese çevirir. İkinci komut Team Cymru'nun hizmetine sorar ve tek satırda yedi bilgi döner. AS sütunu adresi duyuran ağın numarasıdır. BGP Prefix bu adresi kapsayan ve internete duyurulan öneki verir.

CC ülke kodudur, Registry bloğu dağıtan RIR'ı, Allocated ise dağıtım tarihini yazar. AS Name ağın adıdır. Burada ad bir barındırma firmasını gösterir, yani kurumun kendi ASN'si yoktur. Aynı bilgiyi RIPEstat'ın network-info veri çağrısıyla JSON olarak da alırsın.

Toplu işte JSON daha kolay işlenir. Zinciri kurduktan sonra sahipliği ikinci bir kaynakla sınarsın: IP whois kaydı ve ters kayıt (PTR). Ters kaydı dördüncü bölümde ayrıntılı açacaksın.

Shodan ve Censys interneti kendileri tarar ve sonucu sorgulanabilir hale getirir. Sen bir IP sorduğunda cevabı kendi veritabanlarından verir. Hedefe senin adına istek gitmez, bu yüzden sorgu pasif kalır.

Shodan'da her kayıt bir hizmet başlığıdır (banner). Başlık, hizmetin bağlantı anında verdiği cevabı ve onu çevreleyen özellikleri taşır. ip_str adresi, port port numarasını, org bloğu işleten kurumu, timestamp ise tarama anını yazar.

Arama kutusuna yazdığın düz kelime varsayılan olarak yalnız başlığın ham metninde aranır. Daha keskin sonuç için filtre kullanırsın. Filtre ad:değer biçiminde yazılır ve belirli bir özelliği arar.

org:"Beyaz Vadi Lojistik"
net:203.0.113.0/24
hostname:beyazvadi.example
ssl:beyazvadi.example
net:203.0.113.0/24 port:3389
http.favicon.hash:-1843296501

org filtresi blok sahibinin adına göre arar. Kurum kendi bloğunu işletiyorsa işe yarar; barındırma firmasındaysa sonuçta firmanın adını görürsün. net filtresi bir önekteki bütün kayıtları getirir ve kurumun kendi bloğunu izlemenin en temiz yoludur.

hostname Shodan'ın adrese bağladığı adlarda, ssl ise sertifika ve TLS verisinde arar. Bu iki filtre, farklı adreslerde duran ama kurumun sertifikasını taşıyan sunucuları bulur. Filtreler birleşebilir: net ile port birlikte, blokta uzak masaüstü portu açık görünen sistemleri listeler.

http.favicon.hash filtresi sitenin simge dosyasından hesaplanan sayısal özete göre arar. Aynı paneli kullanan sunucular aynı simgeyi taşır. Bu yüzden özet, CDN arkasına saklanmış bir kaynak sunucuyu ya da aynı yazılımın başka kopyalarını bulmaya yarar.

{
  "ip_str": "203.0.113.11",
  "port": 443,
  "org": "Ornek Barindirma",
  "hostnames": ["web01.beyazvadi.example"],
  "timestamp": "2026-09-07T04:12:55.301144",
  "data": "HTTP/1.1 200 OK\r\nServer: nginx/1.18.0\r\n..."
}

Başlığı okurken önce timestamp alanına bak. Bu kayıt 7 Eylül 2026 tarihlidir ve veri tarama anına aittir. Üç hafta önceki tarama, bugün kapatılmış bir portu açık gösterebilir.

Açık görünen port, o hizmete senin bağlanabileceğin anlamına da gelmez. Güvenlik duvarı kaynağa göre kural uygulayabilir; tarayıcıya açık olan port sana kapalı olabilir.

Raporda 'tarama verisine göre 7 Eylül 2026'da açık görünüyor' demek, 'port açıktır' demekten doğrudur. Sürüm bilgisi de temkin ister. Server satırı nginx/1.18.0 yazıyor, ama başlıklar elle değiştirilebilir ve ters vekil sunucular kendi adını yazar. Sürüm bulgusunu olası düzeyinde yaz, doğrulamayı yetkili teste bırak.

Ters kayıt zinciri geriye doğru kapatır. PTR kaydı bir IP adresini bir ada çevirir ve dig -x ile sorulur. Adres, in-addr.arpa altında ters çevrilmiş bir ad olarak saklanır; 203.0.113.11 için bu ad 11.113.0.203.in-addr.arpa olur.

Kurumun kendi yönettiği bir blokta PTR çoğu zaman kurumun adını taşır. Barındırma firmaları ise genelde kendi adlarını içeren kalıp adlar kullanır.

PTR kaydını adresi işleten taraf yazar, bu yüzden kanıt değeri sınırlıdır. Ama ileri yönlü sorguyla birleşince güçlü bir ipucu olur. Aşağıda biri kurumun, diğeri paylaşımlı bir sunucunun adresi için iki ters sorgu var.

$ dig -x 203.0.113.11 +short
web01.beyazvadi.example.

$ dig -x 198.51.100.24 +short
srv-4411.ornek-barindirma.example.

İlk adres kurumun adına döner ve ileri sorguyla tutarlıdır. İkinci adres barındırma firmasının kalıp adına döner. Bu adres paylaşımlı bir sunucuya aittir ve üzerinde yüzlerce ilgisiz site durabilir. Aynı IP'de çok sayıda site varsa bulduğun adres hedefe özel bir sunucu değildir; hedefin kiracı olduğu binadır.

O adrese dair her bulgu komşu siteleri de etkiler. Komşuluk iki yönlü okunur. Kurumun kendi ASN'si varsa bloğundaki diğer adresler de ona aittir ve envanteri genişletir. Kurum paylaşımlı barındırmadaysa komşular bir şey anlatmaz; yan taraftaki site yabancıdır ve kapsam dışıdır.

İçerik dağıtım ağı (CDN) zinciri başka türlü bulanıklaştırır. Kurumun sitesi bir CDN arkasındaysa ad çoğu zaman dağıtım ağının bir adına CNAME ile gider. Çözülen adres CDN'nin ASN'sindedir ve AS Name alanında CDN firmasının adı yazar.

Gerçek kaynak sunucu (origin) arkada durur ve dışarıya görünmez. Gördüğün adres binlerce müşterinin ortak kapısıdır; ona yönelik bir bulgu kuruma bağlanamaz.

Raporda bunu açıkça yazarsın. Bulut sağlayıcılarda da durum benzerdir: adres bulut firmasının ASN'sinde görünür ve kurumun adı geçmez. Bu durumda sahipliği DNS ve sertifikayla kurarsın. Adın kuruma ait olması ve sertifikanın o adı taşıması, adresin o an kurum için çalıştığını gösterir.

Buraya kadar yaptığın iş bir saldırganın keşif adımıdır. MITRE ATT&CK bunu T1590.005 ve T1596.005 başlıklarıyla anlatır: kurbanın IP bilgisini toplamak ve tarama veritabanlarını aramak. Savunma tarafı aynı işi düzenli yapar ve buna saldırı yüzeyi yönetimi (ASM) denir. Ekip kendi bloklarını, alan adlarını ve sertifikalarını bir izleme listesine koyar.

Shodan Monitor ve Censys gibi hizmetler bu listeyi izler. Yeni bir port, yeni bir hizmet ya da bilinen bir zafiyet göründüğünde uyarı yollar. MITRE bu yaklaşımı M1056, yani saldırı öncesi önlemler başlığında toplar. Keşfi tamamen engellemek mümkün değildir; amaç saldırganın gördüğünü ondan önce görmektir.

Uyarı tek başına iş değildir, arkasında bir süreç gerekir. Her uyarı için üç soru sorulur.

Varlık kimin? Açık olması gerekiyor mu? Gerekiyorsa korunuyor mu? Sahibi bulunamayan varlık en tehlikelisidir, çünkü onu kimse yamalamaz.

Beyaz Vadi Lojistik'in ekibi haftalık bir tur kurar. Pazartesi sabahı yeni sertifikalar, yeni alt adlar ve blokta yeni açılan portlar tek tabloya düşer. Her satıra bir sahip atanır ve kapanış tarihi yazılır. Raporun dili de özenlidir.

Tarama verisi tarihiyle yazılır, sürüm bulgusu olası diye işaretlenir, sahiplik en az iki kaynakla kurulur. Tek kaynağa dayanan sahiplik iddiası, raporda en kolay çürütülen cümledir.