DNSSEC, ad çözümleme yanıtlarının kriptografik imzalarla doğrulanmasını sağlayan güvenlik uzantısıdır. Protokolün özgün tasarımında yanıtların kaynağı doğrulanmaz; bu boşluk sahte yanıt yerleştirme saldırılarına imkân verir. Uzantı, her kaydın imzalanmasını ve doğrulanmasını sağlayarak bu boşluğu kapatır. Böylece alınan yanıtın gerçekten yetkili sunucudan geldiği ve değiştirilmediği garanti edilir. Bu garanti, önbellek zehirlenmesi saldırılarını etkisiz kılar. Koruma kriptografik temellidir.

Uzantı gizlilik sağlamaz; yalnızca bütünlük ve özgünlük sunar. Sorgular ve yanıtlar hâlâ açık olarak taşınır ve yol üzerindeki taraflar tarafından okunabilir. Gizlilik için şifreli çözümleme yöntemleri kullanılır. İki mekanizma farklı sorunları çözer ve birlikte kullanılabilir. Bu ayrım sıkça karıştırılır. Netleştirilmesi gerekir.

DNSSEC Nedir?

DNSSEC, ad çözümleme kayıtlarının dijital imzalarla korunmasını ve çözümleyiciler tarafından doğrulanmasını sağlayan güvenlik uzantısıdır.

Sistem, bir güven zinciri üzerine kurulur. Kök bölgeden başlayarak her seviye bir alt seviyenin anahtarını imzalar. Çözümleyici, bu zinciri takip ederek yanıtın geçerliliğini doğrular. Zincirin herhangi bir halkasında imzalama yoksa doğrulama yapılamaz. Bu nedenle yaygın benimseme önemlidir. Kapsam zamanla genişlemektedir.

Nasıl Uygulanır?

Uygulama iki tarafta da yapılmalıdır. Alan adı sahibi kayıtlarını imzalar ve gerekli anahtar bilgilerini üst seviyeye bildirir. Çözümleyici tarafı ise doğrulama yapacak biçimde yapılandırılır. Yalnızca bir taraf uygulandığında koruma tam sağlanmaz. Kurum her iki tarafı da ele almalıdır. Kendi alan adını imzalamalı ve doğrulayan çözümleyiciler kullanmalıdır.

İmzalama işlemi, alan adı barındırma sağlayıcısı tarafından desteklenmelidir. Birçok sağlayıcı bu özelliği tek tıkla sunar. Kendi sunucusunu işleten kurumlarda ise anahtar üretimi ve imzalama süreçleri kurulmalıdır. Otomasyon önemlidir. Elle yürütülen süreçler hata üretir. Risk yüksektir.

Doğrulama tarafında ise çözümleyici sunucuların ilgili özelliği etkinleştirilmelidir. Bu ayar çoğu modern sunucuda varsayılan olarak açıktır. Kontrol edilmesi yine de önerilir. Doğrulama başarısız olan yanıtların nasıl ele alınacağı da yapılandırılır. Varsayılan davranış genellikle reddetmedir. Bu davranış doğrudur.

• Alan adı kayıtlarının imzalanması
• Anahtar bilgilerinin üst seviyeye bildirilmesi
• Çözümleyicilerde doğrulamanın etkinleştirilmesi
• Anahtar yenileme süreçlerinin otomatikleştirilmesi
• İzleme ve uyarı mekanizmalarının kurulması

Anahtar Yönetimi Riskleri

Uygulamanın en kritik riski anahtar yönetimidir. Anahtarların süresi dolduğunda ya da yenileme hatalı yapıldığında alan adı tamamen çözümlenemez hâle gelir. Bu durum, kurumun tüm hizmetlerinin erişilemez olması anlamına gelir. Bu risk, uzantının benimsenmesini yavaşlatan temel etkendir. Otomasyon bu riski büyük ölçüde ortadan kaldırır. Elle süreçler kaçınılmalıdır.

Anahtar yenileme takviminin izlenmesi de gereklidir. Süre dolmadan yenileme yapılmalı ve yeni anahtar yayılmadan eski kaldırılmamalıdır. Bu geçiş süreci dikkat gerektirir. Sağlayıcı otomatik yönetiyorsa risk düşüktür. Kendi yönetiminde ise izleme kurulmalıdır. Uyarı tanımlanır.

Ayrıca doğrulama hatalarının izlenmesi önerilir. Kendi alan adınız için doğrulama başarısız oluyorsa, kullanıcılar erişemez hâle gelir. Dış izleme servisleri bu kontrolü sağlar. Erken uyarı, kesinti süresini kısaltır. Kurulum basittir. Maliyeti düşüktür.

Sınırları

Uzantı yalnızca yanıtların özgünlüğünü doğrular; içerik hakkında bir güvence vermez. İmzalanmış bir kayıt zararlı bir adrese işaret ediyorsa, doğrulama başarılı olur. Bu nedenle uzantı bir zararlı adres koruması değildir. Bu ayrım net tutulmalıdır. Ek kontroller gereklidir. Filtreleme ayrıca uygulanır.

Ayrıca kapsam yaygınlığa bağlıdır. İmzalanmamış alan adları için doğrulama yapılamaz ve koruma sağlanmaz. Benimseme oranı zamanla artmaktadır ama tam değildir. Bu nedenle uzantı tek başına yeterli bir koruma sayılmamalıdır. Katmanlı yaklaşım geçerlidir. Diğer önlemler sürdürülür.

Yanıt boyutlarının büyümesi de bir yan etkidir. İmzalar yanıt boyutunu artırır ve bu artış bazı ağlarda sorun yaratabilir. Ayrıca güçlendirme saldırılarında kullanılabilecek yanıt boyutunu da büyütür. Bu etki yapılandırmayla sınırlanabilir. Hız sınırlama uygulanmalıdır. Sunucu ayarları gözden geçirilir.

Şifreli Çözümleme ile İlişkisi

Bu uzantı bütünlük sağlar ama gizlilik sunmaz; sorgular hâlâ açık taşınır. Gizlilik için şifreli çözümleme protokolleri kullanılır. Şifreli DNS sorguların yol üzerinde okunmasını engeller. İki mekanizma farklı sorunları çözer. Birlikte kullanılabilirler. Karıştırılmamalıdır.

Kurumsal ortamda şifreli çözümleme, görünürlük açısından bir zorluk oluşturur. İstemcilerin dış şifreli çözümleyicilere erişmesi, kurum içi izlemeyi devre dışı bırakır. Bu nedenle politika belirlenmelidir. Kurum içi şifreli çözümleyici kullanımı dengeli bir çözümdür. Hem gizlilik hem görünürlük korunur. Yapılandırma tarayıcı politikalarını da kapsar.

İki mekanizmanın birlikte kullanılması en güçlü sonucu verir. İmzalama yanıtın doğruluğunu, şifreleme ise gizliliğini sağlar. Modern çözümleyiciler ikisini de destekler. Yapılandırma birlikte planlanır. Kapsam belirlenir. Uygulama kademeli yapılır.

Benimseme Durumu ve Gerekçe

Uzantının benimsenmesi, teknik zorluk ve algılanan risk nedeniyle yavaş ilerlemiştir. Anahtar yönetimi hatalarının tam kesinti üretmesi, kurumları temkinli davranmaya itmiştir. Otomasyon araçlarının olgunlaşmasıyla bu risk azalmıştır. Sağlayıcıların tek tıkla sunduğu çözümler benimsemeyi hızlandırmaktadır. Karar artık daha kolaydır. Riskler yönetilebilirdir.

Kurumlar için gerekçe, marka ve müşteri koruması üzerinden kurulabilir. Alan adının taklit edilmesi ve kullanıcıların yanlış yönlendirilmesi doğrudan itibar riskidir. Marka izleme çalışmalarıyla birlikte değerlendirilir. İki çalışma birbirini tamamlar. Bütünsel koruma sağlanır. Yatırım gerekçelendirilir.

Kamu ve finans sektörlerinde bazı düzenlemeler bu uzantıyı zorunlu kılmaktadır. Bu durumda karar zaten verilmiştir ve uygulama planlanır. Diğer sektörlerde ise risk temelli değerlendirme yapılır. Kritiklik ölçütü belirleyicidir. Kurumun profili dikkate alınır. Karar belgelenir.

Uygulama Öncesi Hazırlık

Uygulamaya geçmeden önce mevcut ad çözümleme altyapısının envanteri çıkarılmalıdır. Hangi alan adlarının kimin yönetiminde olduğu, hangi sağlayıcının kullanıldığı ve kaç kayıt bulunduğu belirlenir. Bu envanter, çoğu kurumda unutulmuş alan adları ortaya çıkarır. Bu alan adları da kapsama alınmalıdır. Aksi hâlde koruma eksik kalır. Envanter ilk adımdır.

Sağlayıcının bu özelliği destekleyip desteklemediği de kontrol edilmelidir. Desteklemeyen sağlayıcılarda geçiş gerekebilir. Geçiş planı ayrıca hazırlanır. Bu karar, sözleşme dönemlerine göre zamanlanır. Aceleye getirilmemelidir. Kesinti riski vardır.

Ayrıca çözümleyici tarafındaki hazırlık da yapılmalıdır. Kurum içi çözümleyicilerin doğrulama yapacak biçimde yapılandırılması gerekir. Bu ayar çoğu modern sunucuda varsayılan açıktır. Yine de kontrol edilmelidir. Ad çözümleme altyapısının bütünü değerlendirilir. İki taraf birlikte ele alınır.

İzleme ve Doğrulama

Uygulama sonrasında doğrulamanın gerçekten çalıştığı sınanmalıdır. Dış izleme servisleri, alan adının doğru imzalanıp imzalanmadığını kontrol eder. Bu kontrol düzenli tekrarlanmalıdır. Anahtar süresi dolmadan uyarı üretilmesi sağlanır. Erken uyarı kesintiyi önler. Kurulum basittir.

İç tarafta ise doğrulama başarısızlıklarının izlenmesi gerekir. Doğrulanamayan yanıtların sayısı ve kaynağı kaydedilir. Ani artış, bir yapılandırma sorununa ya da saldırı girişimine işaret edebilir. Bu metrik izleme panellerinde yer almalıdır. Eşik tanımlanır. Uyarı üretilir.

Kayıtların merkezî platforma aktarılması da önerilir. Ad çözümleme kayıtları, diğer kaynaklarla ilişkilendirildiğinde çok daha değerli olur. SIEM bu birleştirmeyi sağlar. Korelasyon kuralları yazılır. Tespit kalitesi artar.

Privia Security olarak ad çözümleme altyapısının güvenlik yapılandırmasını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.