DHCP snooping, ağdaki yetkisiz adres atama sunucularının istemcilere yanıt vermesini engelleyen anahtar seviyesi güvenlik özelliğidir. Adres atama protokolünde istemci bir yayın sorgusu gönderir ve ilk gelen yanıtı kabul eder. Bu tasarım, ağa bağlanan herhangi bir cihazın sahte yanıt vermesine imkân tanır. Sahte bir sunucu, kendini ağ geçidi olarak tanıtarak tüm trafiği üzerine çekebilir. Bu özellik, bu senaryoyu engeller. Koruma anahtar seviyesinde uygulanır.

Mekanizma, anahtar portlarını güvenilir ve güvenilmez olarak sınıflandırır. Meşru sunucunun bağlı olduğu port güvenilir olarak işaretlenir; diğer tüm portlar güvenilmezdir. Güvenilmez portlardan gelen sunucu yanıtları düşürülür. Böylece yalnızca yetkili sunucu adres atayabilir. Yapılandırma basittir. Etkisi doğrudandır.

DHCP Snooping Nedir?

DHCP snooping, anahtar üzerinde tanımlanan güvenilir portlar dışından gelen adres atama yanıtlarını düşürerek yetkisiz sunucuların ağda çalışmasını engelleyen güvenlik özelliğidir.

Özellik ayrıca bir bağlama tablosu oluşturur. Bu tablo, hangi portta hangi adresin hangi donanım adresiyle ilişkilendirildiğini kaydeder. Tablo, başka güvenlik özelliklerinin de temelini oluşturur. Dinamik adres denetimi ve kaynak koruma bu tabloyu kullanır. Bu nedenle özellik bir ön koşul niteliğindedir. Diğer korumalar buna dayanır.

Hangi Saldırıyı Engeller?

Sahte adres atama sunucusu kuran bir saldırgan, istemcilere kendi adresini ağ geçidi olarak bildirebilir. Bu durumda tüm çıkış trafiği saldırgan üzerinden geçer. Sonuç, ortadaki adam saldırısı konumudur. Ayrıca sahte ad çözümleme sunucusu da bildirilebilir. İki müdahale birlikte güçlü bir konum üretir. Özellik bu senaryoyu keser.

İkinci senaryo, adres havuzunun tüketilmesidir. Saldırgan çok sayıda sahte istek göndererek havuzdaki tüm adresleri alabilir. Bu durumda meşru istemciler adres alamaz ve ağa bağlanamaz. Port başına istek sınırlaması bu saldırıyı engeller. Özellik bu sınırlamayı da sunar. Yapılandırılmalıdır.

• Yetkisiz adres atama sunucularının engellenmesi
• Sahte ağ geçidi bildirimlerinin önlenmesi
• Adres havuzu tüketme saldırılarının sınırlanması
• Bağlama tablosunun oluşturulması
• Diğer koruma özelliklerine temel sağlanması

Bağlantılı Korumalar

Bağlama tablosu, dinamik adres denetimi özelliğinin girdisidir. Bu özellik, adres çözümleme mesajlarını tabloyla karşılaştırır ve uyumsuz olanları düşürür. Böylece ARP zehirlenmesi saldırıları engellenir. İki özellik birlikte yapılandırılmalıdır. Tek başına eksik kalırlar. Sıralama önemlidir.

Kaynak koruma özelliği de aynı tabloyu kullanır. Bir portun yalnızca kendisine atanmış adresle paket göndermesine izin verilir. Bu kontrol, adres sahteciliğini port seviyesinde engeller. Üç özellik birlikte güçlü bir katman oluşturur. Yapılandırma şablonuna eklenmelidir. Yeni kurulumlarda otomatik uygulanır.

Statik adresli cihazlar için istisna tanımlanması gerekir. Bu cihazlar adres atama protokolünü kullanmadığı için tabloda yer almaz. Elle tanım yapılması gerekir. Bu tanımlar belgelenmelidir. Bakım gerektirir. Envanterle senkron tutulur.

Yapılandırma Adımları

İlk adım, özelliğin ilgili sanal ağlarda etkinleştirilmesidir. Ardından meşru sunucunun bağlı olduğu port güvenilir olarak işaretlenir. Anahtarlar arası bağlantı portları da güvenilir olmalıdır; aksi hâlde meşru yanıtlar düşürülür. Bu ayrıntı sık atlanır ve kesintiye yol açar. Tasarım önceden yapılmalıdır. Test edilir.

İkinci adım, port başına istek sınırının tanımlanmasıdır. Bu sınır, havuz tüketme saldırılarını engeller. Değer, normal kullanım gözlenerek belirlenir. Aşırı düşük sınırlar meşru istemcileri etkiler. Ölçüm yapılmalıdır. Ayar buna göre yapılır.

Üçüncü adım, bağlama tablosunun kalıcı saklanmasıdır. Anahtar yeniden başladığında tablo kaybolursa, bağlı cihazlar bağlantı sorunu yaşar. Tablonun kalıcı bir konumda saklanması bu sorunu önler. Yapılandırma seçeneği çoğu cihazda bulunur. Etkinleştirilmelidir. Kontrol edilir.

Kablosuz Ağlarda Uygulama

Kablosuz ağlarda da aynı risk bulunur. Ağa katılan bir cihaz, sahte adres atama sunucusu çalıştırabilir. Kablosuz denetleyiciler benzer koruma özellikleri sunar. Bu özelliklerin etkinleştirilmesi gerekir. Varsayılan yapılandırmada kapalı olabilirler. Kontrol edilmelidir.

İstemci izolasyonu da tamamlayıcı bir kontroldür. Aynı kablosuz ağdaki cihazların birbirini görmemesi, birçok yerel ağ saldırısını engeller. Konuk ağlarında bu ayar zorunlu olmalıdır. Kurumsal ağlarda ise bazı uygulamalar etkilenebilir. Değerlendirme yapılır. Karar buna göre verilir.

Kablosuz ağlarda ayrıca yetkisiz erişim noktalarının tespiti gerekir. Ağa bağlanan bir sahte erişim noktası, hem adres atama hem trafik yönlendirme riski üretir. Sahte erişim noktası tespiti için kablosuz izleme kullanılır. Düzenli tarama yapılır. Bulgular incelenir.

İzleme ve Olay Tespiti

Özelliğin ürettiği kayıtlar da değerlidir. Güvenilmez bir porttan gelen sunucu yanıtı, bir saldırı girişimini gösterir. Bu olay uyarı üretecek biçimde yapılandırılmalıdır. Yanlış pozitif oranı düşüktür çünkü meşru durumda bu olay oluşmaz. Kural kolayca yazılır. Değeri yüksektir.

Bağlama tablosundaki değişiklikler de izlenebilir. Bir portta beklenmedik sayıda adres görülmesi, sahtecilik girişimine işaret edebilir. Bu metrik ağ izleme sistemlerine aktarılır. Eşik tanımlanır. Uyarı üretilir. İnceleme başlatılır.

Kayıtların merkezî toplanması, ağ olaylarının diğer kaynaklarla ilişkilendirilmesini sağlar. Anahtar kayıtları çoğu ortamda toplanmaz. Bu boşluk, ağ katmanı olaylarının görünmez kalmasına yol açar. Log yönetimi kapsamı bu kaynakları da içermelidir. Hacim yönetilebilirdir. Değer üretir.

Yapılandırma Kontrol Listesi

İlk madde, özelliğin tüm kullanıcı sanal ağlarında etkin olmasıdır. İkinci madde, yalnızca meşru sunucu portlarının güvenilir işaretlenmesidir. Üçüncü madde, anahtarlar arası bağlantı portlarının güvenilir tanımlanmasıdır. Dördüncü madde, port başına istek sınırının belirlenmesidir. Beşinci madde, bağlama tablosunun kalıcı saklanmasıdır. Altıncı madde, uyarıların merkezî platforma aktarılmasıdır.

Bu maddelerin bir yapılandırma şablonuna dönüştürülmesi önerilir. Şablon, yeni kurulan anahtarlara otomatik uygulanır. Böylece tutarlılık sağlanır ve unutma riski ortadan kalkar. Şablon sürüm kontrolünde tutulur. Değişiklikler incelenir. Uygulama doğrulanır.

Yapılandırmanın dönemsel denetimi de gereklidir. Zamanla yapılan elle değişiklikler şablondan sapma üretir. Otomatik denetim araçları bu sapmaları raporlar. Düzeltme süreci tanımlanır. Denetim takvime bağlanır. Sonuçlar izlenir.

Privia Security olarak anahtar seviyesi güvenlik özelliklerinin yapılandırmasını altyapı ve mimari gözden geçirme kapsamında denetliyoruz.