DNS, insanların kullandığı alan adlarını sistemlerin kullandığı ağ adreslerine çeviren dağıtık bir ad çözümleme sistemidir. Bir kullanıcı tarayıcısına bir adres yazdığında, önce bu çeviri yapılır ve ardından bağlantı kurulur. Bu nedenle sistem, neredeyse tüm internet iletişiminin ön koşuludur. Erişilemez olduğunda hiçbir hizmete ulaşılamaz. Bu kritiklik, hem erişilebilirlik hem güvenlik açısından önem taşır. Sistem, saldırganların da öncelikli hedefidir.

Sistem hiyerarşik ve dağıtık bir yapıya sahiptir. Kök sunuculardan başlayarak üst düzey alan sunucularına, oradan da yetkili sunuculara doğru bir sorgu zinciri işler. Çözümleyici sunucular bu zinciri takip eder ve sonucu önbelleğe alır. Önbellekleme, sorgu sayısını azaltır ve yanıt süresini kısaltır. Aynı önbellek, zehirlenme saldırılarının hedefidir. İki yön birlikte değerlendirilir.

DNS Nedir?

DNS, alan adlarını ağ adreslerine çeviren, hiyerarşik ve dağıtık biçimde çalışan ad çözümleme sistemidir.

Sistemde farklı kayıt türleri bulunur. Adres kayıtları alan adını bir ağ adresine eşler, posta kayıtları e-posta sunucusunu belirtir, metin kayıtları ise doğrulama bilgileri taşır. SPF kaydı ve benzeri güvenlik tanımları bu türde saklanır. Kayıt türleri farklı amaçlara hizmet eder. Yönetimleri birlikte yapılır.

Güvenlik Açısından Kritikliği

Sistemin ele geçirilmesi, tüm hizmetlerin yönlendirilmesi anlamına gelir. Alan adı yönetim hesabına erişen bir saldırgan, kullanıcıları kendi sunucularına yönlendirebilir. Bu senaryoda hiçbir teknik önlem sonucu değiştirmez. Bu nedenle alan adı yönetim hesabı en kritik hesaplardan biridir. Çok faktörlü doğrulama ve kayıt kilidi zorunludur. Erişim kısıtlanmalıdır.

Sorguların izlenmesi de değerli bir tespit kaynağıdır. Zararlı yazılımların komuta iletişimi çoğu zaman bu katmanda iz bırakır. DNS log analizi birçok olayda ilk ipucunu üretir. Kayıtların merkezî toplanması gerekir. Bu yatırım düşük maliyetlidir. Getirisi yüksektir.

• Adres kayıtları: alan adının ağ adresine eşlenmesi
• Posta kayıtları: e-posta sunucusu tanımı
• Metin kayıtları: doğrulama ve politika tanımları
• Ad sunucusu kayıtları: yetkili sunucu tanımı
• Sertifika otoritesi yetki kayıtları

Yaygın Riskler

Birinci risk, önbellek zehirlenmesidir. Çözümleyici önbelleğine sahte kayıt yerleştirilmesi, kullanıcıların yanlış sunuculara yönlendirilmesine yol açar. DNS zehirlenmesi bu saldırının adıdır. Önlem, imzalama ve şifreli çözümlemedir. Yapılandırma gerekir.

İkinci risk, alt alan adı devralmadır. Artık kullanılmayan bir alt alan adının hâlâ bir kaynağa işaret etmesi, o kaynağın başkasına geçmesi durumunda sorun yaratır. Saldırgan bu kaynağı alarak kurumun alan adı altında içerik yayımlayabilir. Kayıt temizliği bu riski ortadan kaldırır. Envanter tutulmalıdır. Düzenli gözden geçirilir.

Üçüncü risk, bilgi sızıntısıdır. İç ad alanının dışarıdan sorgulanabilmesi, kurumun iç yapısı hakkında bilgi verir. İç ve dış çözümlemenin ayrılması bu riski önler. Bölge transferinin kısıtlanması da gereklidir. Bu ayar sık atlanır. Kontrol edilmelidir.

Sorgu Akışı

Bir sorgu, istemcinin yapılandırılmış çözümleyicisine gönderilmesiyle başlar. Çözümleyici önbelleğinde yanıt varsa doğrudan döner; yoksa kök sunuculardan başlayarak yetkili sunucuya kadar zinciri takip eder. Her adımda bir yönlendirme yanıtı alınır ve sorgu ilerletilir. Sonuç elde edildiğinde önbelleğe alınır ve istemciye iletilir. Bu akış milisaniyeler içinde tamamlanır. Önbellekleme sonraki sorguları hızlandırır.

Önbellek süresi, kayıt üzerinde tanımlanan yaşam süresiyle belirlenir. Kısa süreler değişikliklerin hızlı yayılmasını sağlar ama sorgu yükünü artırır. Uzun süreler ise tersini yapar. Kritik hizmetlerde kısa süre tercih edilir çünkü acil yönlendirme değişikliği gerekebilir. Bu ayar önceden planlanmalıdır. Kriz anında değiştirilemez.

Çözümleyici seçimi de önemlidir. Kurum içi çözümleyiciler kullanıldığında sorgular kayıt altına alınabilir ve filtreleme uygulanabilir. Dış çözümleyicilere doğrudan erişim, bu görünürlüğü ortadan kaldırır. Bu nedenle doğrudan erişim engellenmelidir. Politika tanımlanır. Uygulama güvenlik duvarında yapılır.

Kurumsal Yapılandırma

İç ve dış ad alanlarının ayrılması temel bir tasarım kararıdır. İç ad alanı yalnızca kurum içinden çözümlenebilmelidir. Bu ayrım, iç topoloji bilgisinin dışarı sızmasını önler. Bölge transferinin kısıtlanması da aynı amaca hizmet eder. Bu ayarlar sık atlanır. Denetimde bulgu üretir.

Sunucuların yalnızca kurum içinden sorgu kabul etmesi de gereklidir. Açık çözümleyiciler, güçlendirme saldırılarında aracı olarak kullanılır. Bu yapılandırma hem kurumu hem interneti korur. Dış tarama bu durumu tespit eder. Düzeltme basittir. Etkisi geniştir.

Privia Security olarak ad çözümleme altyapısını ve alan adı yönetimi güvenliğini altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.