DNS Tünelleme Nedir? Nasıl Tespit Edilir ve Önlenir?

DNS tünelleme, saldırganın veriyi DNS sorgu ve yanıtlarının içine kodlayarak kurum ağından dışarı sızdırdığı veya içeriye komut taşıdığı bir saldırı tekniğidir. DNS trafiği neredeyse her ağda serbest olduğu için, tünelleme güvenlik duvarlarının yanından "meşru" görünen sorgularla geçer. Tespit edilmediği sürece aylarca sürebilir ve veri sızıntısının en sessiz yollarından biridir.

DNS tünelleme nasıl çalışır?

Tekniğin temeli basittir: DNS sorgusunun kendisi bir veri taşıyıcısına dönüştürülür.

1. Saldırgan, kontrolündeki bir alan adı için (örneğin `ornek-saldirgan.com`) yetkili DNS sunucusunu kendisi işletir.
2. Kurum içindeki ele geçirilmiş cihaz, sızdırmak istediği veriyi küçük parçalara böler ve her parçayı alt alan adı olarak kodlar: `c2FsxYFyaQ.ornek-saldirgan.com` gibi.
3. Bu sorgular kurumun DNS sunucusu üzerinden normal çözümleme zinciriyle saldırganın sunucusuna ulaşır; veri parçası orada kayıt altına alınır.
4. Saldırgan, cihaza göndereceği komutları da DNS yanıtlarının (örneğin TXT kayıtlarının) içine kodlayarak ters yönde bir kanal kurar.

Sonuç: hiçbir olağan dışı port açılmadan, yalnızca DNS trafiğiyle çalışan çift yönlü bir iletişim kanalı. Fidye yazılımı operasyonlarında veri sızdırma ve komuta-kontrol (C2) trafiği için bu kanal aktif olarak kullanılır.

DNS tünellemenin belirtileri nelerdir?

Tünelleme trafiği, normal DNS trafiğinden istatistiksel olarak ayrışır. Dikkat edilecek başlıca sinyaller:

• Anormal uzun sorgu adları: Veri taşıyan alt alan adları, normal sorgulardan belirgin biçimde uzundur ve rastgele karakter dizileri içerir.
• Tek alan adına yüksek sorgu hacmi: Normalde birkaç kez çözülen bir alan adına dakikada yüzlerce benzersiz alt alan adı sorgusu gelmesi.
• TXT ve NULL kayıt kullanımında artış: Bu kayıt türleri büyük veri bloklarını taşıyabildiği için tünelleme araçlarının tercihidir.
• Sorgu zamanlamasında düzenlilik: İnsan davranışına benzemeyen, sabit aralıklı (beacon) sorgu kalıpları.
• Yüksek entropi: Sorgu adlarındaki karakter dağılımının doğal dilden uzaklaşması.

Bu belirtilerin hiçbiri tek başına kesin kanıt değildir; güvenilir tespit, sorgu davranışının bütününe bakan analizle mümkündür.

DNS tünelleme nasıl tespit edilir?

İmza tabanlı tespit

Bilinen tünelleme araçlarının ürettiği kalıplar ve bilinen tünel alan adları tehdit istihbaratıyla engellenir. Hızlıdır; ancak saldırgan aracını veya alan adını değiştirdiğinde yetersiz kalır.

Davranış tabanlı tespit

Sorgu uzunluğu, entropi, alt alan adı çeşitliliği, kayıt türü dağılımı ve zamanlama birlikte değerlendirilerek her alan adı için risk profili çıkarılır. Bu yaklaşım, daha önce hiç görülmemiş tünelleme altyapılarını da yakalayabilir. DGA tespitiyle aynı ailedendir: ikisi de imza değil, davranış arar.

Yapay zekâ destekli sınıflandırma

Makine öğrenmesi modelleri, meşru CDN ve telemetri trafiği gibi "tünellemeye benzeyen ama zararsız" desenleri ayırt etmekte kural tabanlı sistemlerden daha başarılıdır; yanlış alarm oranını düşürür. Modelin kurum içinde çalışması, sorgu verisinin analiz için kurum dışına gönderilmesini de gereksiz kılar.

DNS tünelleme nasıl önlenir?

• DNS trafiğini tek noktadan geçirin: İstemcilerin doğrudan dış DNS sunucularına (8.8.8.8 gibi) çıkmasını güvenlik duvarında kapatın; tüm sorgular kurumun DNS katmanından geçsin. Denetlenmeyen DNS çıkışı, tünelleme için açık kapıdır.
• DNS sorgularını loglayın ve kullanıcıyla eşleştirin: Hangi sorgunun hangi kullanıcıdan geldiğini bilmeden olay müdahalesi yapılamaz. Active Directory eşleşmesi bu yüzden kritiktir.
• Davranış analizini DNS katmanında çalıştırın: Tünelleme ağ katmanında değil, DNS katmanında görünür. Analizin sorguları gerçek zamanlı görmesi gerekir.
• Şüpheli alan adını anında engelleyin: Tespit edilen tünel alan adının tüm kurumda ve tüm şubelerde aynı anda engellenmesi, kanalı tek hamlede kapatır.
• Kararları SIEM'e iletin: Tünelleme tespiti bir olay müdahale sürecini başlatmalıdır; cihazın izole edilmesi ve temizlenmesi DNS engellemesinin devamıdır.

DNS katmanında tespit ve engellemenin uçtan uca nasıl işlediğini Obsolix'in çalışma modeli üzerinden inceleyebilirsiniz.

Sık sorulan sorular

DNS tünelleme yalnızca veri sızdırmak için mi kullanılır?

Hayır. Veri sızdırmanın yanında komuta-kontrol trafiği, kısıtlı ağlarda internet erişimi ve zararlı yazılım güncellemelerinin taşınması için de kullanılır.

Güvenlik duvarı DNS tünellemeyi neden yakalayamaz?

Güvenlik duvarı, DNS trafiğini protokol olarak geçerli gördüğü için izin verir; sorgunun içeriğindeki istatistiksel anomaliyi değerlendirecek bağlama sahip değildir. Tespit, DNS sorgularını bütün olarak analiz eden bir katman gerektirir.

Şifreli DNS (DoH/DoT) tünellemeyi engeller mi?

Hayır; tersine, şifreli DNS kurumun görünürlüğünü azaltarak tünellemenin fark edilmesini zorlaştırabilir. Kurumsal ağda istemcilerin dış DoH sunucularına çıkışının kontrol edilmesi ve çözümlemenin kurumun denetimindeki katmandan geçmesi önerilir.