DNS Güvenliği Nedir? Kurumlar İçin Kapsamlı Rehber

DNS güvenliği, kurumsal ağdaki cihazların yaptığı alan adı sorgularını izleyerek zararlı adresleri daha bağlantı kurulmadan tespit edip engelleyen koruma yaklaşımıdır. Oltalama, fidye yazılımı ve veri sızdırma saldırılarının büyük bölümü ilk adımda bir DNS sorgusu üretir; bu yüzden DNS katmanı, saldırıyı zincirin en başında kesebilen tek noktadır.

DNS neden saldırganların hedefinde?

DNS (Domain Name System), alan adlarını IP adreslerine çeviren ve internetin çalışmasını sağlayan temel protokoldür. Üç özelliği onu saldırganlar için cazip kılar:

• Her yerde açıktır. Hiçbir kurum DNS trafiğini tamamen kapatamaz; e-posta, web ve uygulamaların tamamı DNS'e bağımlıdır. Güvenlik duvarları 53 numaralı portu neredeyse her zaman açık bırakır.
• Genellikle denetlenmez. Çoğu kurum web trafiğini inceler ama DNS sorgularını kaydetmez ve analiz etmez. Saldırganlar bu kör noktayı bilir.
• Şifreli trafikten önce gelir. HTTPS ile şifrelenen bir bağlantının içeriği görünmese bile, o bağlantıdan önce yapılan DNS sorgusu hangi adrese gidilmek istendiğini açık biçimde gösterir. DNS katmanı, şifreli trafik çağında kalan en değerli görünürlük noktasıdır.

DNS katmanında hangi tehditler görülür?

Zararlı alan adları

Oltalama sayfaları, zararlı yazılım dağıtan siteler ve komuta-kontrol (C2) sunucuları alan adları üzerinden çalışır. Bilinen zararlı alan adlarının tehdit istihbaratıyla engellenmesi DNS güvenliğinin temelidir.

DGA ile üretilen alan adları

Modern zararlı yazılımlar, sabit bir adres yerine her gün yüzlerce rastgele alan adı üreten DGA (Domain Generation Algorithm) kullanır. Bu alan adları kara listelere giremeyecek kadar yenidir; ancak yapıları istatistiksel olarak ayırt edilebilir ve davranış analiziyle yakalanabilir.

DNS tünelleme

DNS tünelleme, verinin DNS sorgularının içine gizlenerek kurum dışına sızdırılmasıdır. Güvenlik duvarları DNS trafiğine izin verdiği için, tünelleme fark edilmediği sürece veri kaçağı aylarca sürebilir.

Marka taklidi (lookalike) alan adları

Saldırganlar, kurumun veya tedarikçilerinin alan adına çok benzeyen adresler kaydeder (örneğin harf değişikliğiyle) ve bunları oltalama e-postalarında kullanır. Benzerlik analizi bu alan adlarını daha ilk sorguda işaretleyebilir.

NXDOMAIN ve fast-flux anomalileri

Var olmayan alan adlarına yapılan yoğun sorgular (NXDOMAIN fırtınası) genellikle bir botnet enfeksiyonunun, hızlı IP değiştiren alan adları (fast-flux) ise saldırgan altyapısının işaretidir. İkisi de yalnızca DNS trafiğine bakılarak tespit edilebilir.

DNS güvenliği nasıl sağlanır?

Etkili bir DNS güvenlik katmanı dört bileşeni birleştirir:

1. Tehdit istihbaratı: Bilinen zararlı alan adlarının güncel listelerle anında engellenmesi. Ulusal kaynaklardan beslenen istihbarat, ülkeye özgü saldırı kampanyalarını yakalamak için önemlidir.
2. Davranış analizi: DGA, tünelleme, NXDOMAIN ve fast-flux gibi kalıpların, imza beklemeden sorgu davranışından tespit edilmesi.
3. Yapay zekâ destekli sınıflandırma: Daha önce hiç görülmemiş alan adlarının yapısına ve bağlamına bakarak risk puanı üretilmesi.
4. Politika ve görünürlük: Sorguların kim tarafından yapıldığının bilinmesi (Active Directory eşleşmesi), kullanıcı ve grup bazında kuralların uygulanması, tüm kararların loglanıp SIEM'e iletilmesi.

Mevcut DNS sunucusunun değiştirilmesi gerekmez: DNS güvenlik katmanı sunucunun önünde konumlanır, kararını verir ve temiz sorguları aynen iletir.

Bulut tabanlı ve kurum içi DNS güvenliği arasındaki fark nedir?

Piyasadaki çözümlerin çoğu bulut tabanlıdır: kurumun DNS sorguları üreticinin bulutuna yönlendirilir, analiz ve loglama orada yapılır. Bu model hızlı kurulur; ancak iki sonucu vardır: DNS logları — yani kimin hangi adrese ne zaman gitmek istediği bilgisi — kurum dışına ve çoğunlukla yurt dışına çıkar, internet bağlantısı kesilirse koruma durur.

Kurum içi (on-premise) modelde ise analiz, loglama ve yapay zekâ kurumun kendi sunucularında çalışır. Veri kurum dışına çıkmaz, internete kapalı ağlarda bile koruma sürer. Kamu kurumları, finans, savunma ve kritik altyapı gibi veri konumu mevzuata bağlı sektörlerde bu fark belirleyicidir. İki yaklaşımın ürün bazında karşılaştırması için Obsolix karşılaştırma sayfasına bakabilirsiniz.

Kurumlar için DNS güvenliği kontrol listesi

• DNS sorgularınız kaydediliyor ve analiz ediliyor mu, yoksa DNS hâlâ kör nokta mı?
• Loglarınızda sorguyu yapan kullanıcı görünüyor mu, yalnızca IP adresi mi?
• DGA, tünelleme ve NXDOMAIN anomalileri için davranış analizi var mı?
• DNS logları kurum dışına çıkıyor mu? Çıkıyorsa hangi ülkede saklanıyor?
• İnternet bağlantısı kesildiğinde koruma devam ediyor mu?
• DNS güvenlik kararları SIEM'inize iletiliyor mu?

Sık sorulan sorular

DNS güvenliği güvenlik duvarının yerine mi geçer?

Hayır, tamamlar. Güvenlik duvarı bağlantı kurulduktan sonra trafiğe bakar; DNS güvenliği bağlantıdan önce, hedef adresin kendisine bakar. Zararlı adres daha yola çıkmadan durdurulduğu için güvenlik duvarına ve uç nokta korumasına hiç iş düşmez.

DNS filtreleme ile DNS güvenliği aynı şey mi?

DNS filtreleme, kategori bazlı erişim kontrolüdür (örneğin sosyal medyayı kapatmak). DNS güvenliği bunu kapsar ama ötesine geçer: tehdit istihbaratı, davranış analizi ve yapay zekâ ile bilinmeyen tehditleri de tespit eder.

Küçük bir kurumun da DNS güvenliğine ihtiyacı var mı?

Evet. Oltalama ve fidye yazılımı saldırıları kurum büyüklüğüne bakmaz; DNS katmanı, en az personelle en geniş korumayı sağlayan katmandır çünkü tek bir noktadan tüm cihazları kapsar.