IP spoofing, ağ paketlerinin kaynak adres alanının gerçek dışı bir değerle doldurulmasıdır. Alıcı taraf, paketin başka bir adresten geldiğini düşünür.

Protokol tasarımı kaynak adresi doğrulamadığı için bu işlem teknik olarak basittir. Paketi üreten taraf istediği değeri yazabilir.

Ancak sahtelenen adrese yanıt döneceği için, saldırgan çift yönlü iletişim kuramaz. Bu sınır, yöntemin kullanım alanını belirler.

IP Spoofing Nedir?

IP spoofing, gönderilen paketlerin kaynak adres bilgisinin kasıtlı olarak değiştirilmesiyle paketlerin başka bir kaynaktan geliyormuş gibi görünmesini sağlayan tekniktir.

Teknik tek başına bir saldırı değil, başka saldırıların bir bileşenidir. Genellikle izleri gizlemek ya da yansıtma etkisi yaratmak için kullanılır.

Çift yönlü iletişim gerektirmeyen senaryolarda özellikle etkilidir. Bu nedenle bağlantısız protokoller üzerinde daha yaygın görülür.

Hangi Saldırılarda Kullanılır?

En yaygın kullanım alanı yansıtma ve güçlendirme saldırılarıdır. Saldırgan kaynak adresi kurbanın adresi olarak yazar ve yanıtlar kurbana yönlendirilir.

Bu yöntemle küçük bir istekten çok daha büyük bir yanıt üretilebilir. Yansıma ve güçlendirme saldırıları bu mekanizmaya dayanır.

İkinci kullanım, adres tabanlı erişim kontrollerinin aşılmasıdır. Yalnızca belirli adreslerden erişime izin veren sistemler bu teknikle kandırılabilir.

Üçüncü kullanım, izlerin gizlenmesidir. Saldırı kayıtlarında görünen adres gerçek kaynağı göstermez ve inceleme yanlış yöne gider.

• Yansıtma ve güçlendirme ile hizmet reddi saldırıları
• Adres tabanlı erişim kontrollerinin aşılması
• Saldırı kaynağının gizlenmesi
• Yerel ağda güven ilişkilerinin kötüye kullanılması
• Oturum tahmin saldırılarında kaynak taklidi

Nasıl Önlenir?

İlk önlem, çıkış filtrelemedir. Ağdan çıkan paketlerin kaynak adresinin o ağa ait olması denetlenir; olmayanlar engellenir.

Bu filtreleme her kurumun kendi ağında uygulaması gereken temel bir sorumluluktur. Yaygın uygulanması, güçlendirme saldırılarının kaynağını kurutur.

İkinci önlem, giriş filtrelemedir. Dışarıdan gelen ve iç ağ adreslerini taşıyan paketler kabul edilmemelidir.

Üçüncü önlem, adres tabanlı güvene dayanmamaktır. Erişim kararları kaynak adrese değil, kriptografik kimlik doğrulamaya dayanmalıdır.

Neden Hâlâ Mümkün?

Filtrelemenin etkili olması için ağ operatörlerinin geniş çapta uygulaması gerekir. Uygulamayan ağlar bulunduğu sürece teknik geçerliliğini korur.

Ayrıca bazı meşru kullanım senaryoları filtrelemeyi karmaşıklaştırır. Çok yollu yönlendirme ve bazı bulut mimarileri istisna gerektirebilir.

Bu nedenle savunma, tek bir noktada değil katmanlı biçimde kurulur. Kaynak doğrulama, hız sınırlama ve kimlik doğrulama birlikte kullanılır.

Yerel Ağda ve İnternette Farkı

İnternette yapılan sahtecilikte saldırgan yanıtları göremez çünkü yanıtlar sahtelenen adrese gider. Bu sınır, çift yönlü iletişim gerektiren saldırıları imkânsız kılar. Yerel ağda ise saldırgan trafiği zaten dinleyebildiği için yanıtları da görebilir. Bu durumda sahtecilik çok daha güçlü bir araca dönüşür. Yerel ağ senaryoları bu nedenle ayrıca değerlendirilir.

Yerel ağda sahtecilik genellikle adres çözümleme zehirlenmesiyle birlikte kullanılır. ARP zehirlenmesi trafiği saldırgana yönlendirir, sahtecilik ise kaynak kimliğini gizler. İkisi birlikte, güven ilişkilerine dayanan sistemleri kandırabilir. Bu nedenle iç ağda adres tabanlı güven kullanılmamalıdır. Kimlik doğrulama her zaman kriptografik olmalıdır.

Bulut ortamlarında ise sağlayıcılar genellikle sahteciliği ağ düzeyinde engeller. Sanal makinelerin kendilerine atanmış adres dışında bir kaynak adresle paket göndermesine izin verilmez. Bu koruma varsayılan olarak etkindir. Ancak bazı özel ağ yapılandırmalarında devre dışı bırakılabilir. Bu durumda etkileri değerlendirilmelidir.

Hizmet Reddi Saldırılarındaki Rolü

Güçlendirme saldırılarında saldırgan, kaynak adresini kurbanın adresi olarak yazar ve açık servislere sorgu gönderir. Servisler yanıtı kurbanın adresine gönderir ve kurban çok sayıda istenmeyen paketle karşılaşır. Küçük bir istekten çok daha büyük bir yanıt üretilebildiği için etki katlanır. Bu mekanizma, en yüksek hacimli saldırıların temelini oluşturur. Sahtecilik olmadan bu saldırı türü mümkün değildir.

Bu nedenle çıkış filtrelemesi yalnızca kurumu değil interneti korur. Her ağın kendi çıkışında filtreleme yapması, güçlendirme saldırılarının kaynağını kurutur. Bu, kolektif bir sorumluluktur. Filtreleme uygulanmayan ağlar, farkında olmadan saldırılara aracılık eder. Kurumun kendi ağında bu kontrolü uygulaması temel bir hijyen maddesidir.

Ayrıca kurumun kendi sunucularının güçlendirme aracı olarak kullanılmaması gerekir. Açık ad çözümleme ve zaman senkronizasyon sunucuları bu amaçla istismar edilir. Yansıma ve güçlendirme saldırıları çoğunlukla bu tür yanlış yapılandırılmış sunuculardan beslenir. Envanter çıkarılarak bu servisler kapatılmalıdır.

Filtrelemenin Uygulanması

Çıkış filtrelemesi, sınır yönlendiricisinde tanımlanan basit kurallarla uygulanır. Kural, ağdan çıkan paketlerin kaynak adresinin ilgili ağ blokuna ait olmasını şart koşar. Uyumsuz paketler sessizce düşürülür. Kuralın performans etkisi modern donanımlarda ihmal edilebilir düzeydedir. Uygulama maliyeti düşük, kazancı yüksektir.

Giriş filtrelemesi ise dışarıdan gelen ve iç adres bloklarını taşıyan paketleri engeller. Bu paketler meşru olamaz çünkü iç adresler internette yönlendirilmez. Aynı kural, özel kullanım için ayrılmış adres blokları için de geçerlidir. Bu filtre, güven ilişkilerine dayanan saldırıları engeller. Sınır cihazlarında standart olarak tanımlanmalıdır.

Kuralların dönemsel olarak doğrulanması gerekir. Ağ blokları değiştiğinde ya da yeni bağlantılar eklendiğinde kurallar güncellenmelidir. Güncel olmayan kurallar meşru trafiği engelleyebilir. Bu nedenle kural yönetimi bir süreç olarak ele alınır. Değişiklik yönetimiyle bağlantılı yürütülür.

Privia Security olarak ağ sınır yapılandırmalarını ve filtreleme kurallarınıaltyapı ve mimari gözden geçirme kapsamında inceliyoruz.