Saldırılarda ve savunmada DNS

DNS her bağlantıda o kadar erken devreye girer ki güvenliğin her iki tarafında da karşımıza çıkar: saldırganlar alan adlarının nasıl seçildiğine ve çözümlendiğine güvenir, savunucular ise aynı sistemi bilinen kötü hedefleri engellemek için kullanır. DNS’in üç kullanımını kendi başlarına anlamaya değer.

Kimlik avı ve taklit alan adları

Bir kimlik avı sitesinin DNS’i kırmasına gerek yoktur; yalnızca aceleci bir okuyucuyu kandıracak kadar yakın bir alan adına ihtiyacı vardır. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), tam olarak bu örüntüyü anlatır: “zararlı web siteleri meşru bir siteyle aynı görünebilir, ama URL yazımda bir varyasyon veya farklı bir alan adı (örn. .com yerine .net) kullanabilir.” CISA ayrıca bir bağlantıya güvenmeden önce gerçekte nereye işaret ettiğini kontrol etmeyi önerir: “e-postanın gövdesindeki herhangi bir bağlantının üzerine imlecinizi getirirseniz ve bağlantılar üzerine geldiğinizde görünen metinle eşleşmiyorsa, bağlantı sahte olabilir.”

DNS engelleme

Bir cihaz bir siteye ulaşabilmeden önce bir çözümleyiciye sorduğundan, o çözümleyiciyi kim kontrol ediyorsa bağlantının hiç başlamasını sessizce engelleyebilir. Electronic Frontier Foundation, mekanizmayı açıkça anlatır: “bir İSS, bir kullanıcı engellenmiş bir sitenin veya hizmetin konumunu aramaya çalıştığında, DNS çözümleyicisini yanlış bir yanıt vermesi, ya da hiç yanıt vermemesi için programlayabilir.” Dürüstçe yanıt veren bir çözümleyiciye geçmek erişimi geri getirebilir ve şifrelenmiş DNS kullanmak (önceki ders), “herhangi bir ağ aktörünün DNS trafiğinizi görmesini (ve filtrelemesini) engelleyebildiğinden” başka bir katman ekler. EFF ayrıca bu yaklaşımın sınırlarına da işaret eder: “1.1.1.1 veya 8.8.8.8 gibi popüler şifrelenmiş DNS hizmetlerinden birini kullanıyorsanız, hükümetlerin bu uç noktaları doğrudan hedef alabileceğinin farkında olun.”

DNS tünelleme

DNS trafiğine güvenlik duvarlarından geçişine öylesine rutin olarak izin verilir ki, kendi başına bir kanal olarak kötüye kullanılabilir. Gerçek dünyadaki saldırgan tekniklerinin yaygın olarak kullanılan kataloğu MITRE ATT&CK, bunu DNS tünelleme olarak tanımlar: “düşmanlar, normal, beklenen trafiği taklit ederken aynı zamanda kurban ağı içinde kontrolleri altındaki sistemlerle iletişim kurmak için DNS’i kötüye kullanabilir.” Pratikte bu, komutların veya çalınmış verinin, her cihazın sürekli yaptığı meşru aramalar arasında fark edilmeden geçen DNS sorgularına ve yanıtlarına kodlanması anlamına gelir. Bu, aksi takdirde sıradan, temel bir protokolün içine yerleştirilmiş bir tekniktir; bir ağın bunu tamamen engellemesinin zor olmasının nedenlerinden biri de budur.

Bir çözümleyici seçmek

Basitçe “güvenli” olan tek bir çözümleyici yoktur: her seçim görünürlüğü bir yere taşır. Cloudflare, kendi herkese açık çözümleyicisi 1.1.1.1’in “hem DoT’u hem de DoH’yi desteklediğini” belirtir ve diğer herkese açık çözümleyiciler de aynı şifrelenmiş seçenekleri sunar; hangisini seçerseniz seçin, o işletmeci, önceki görünürlük dersinin anlattığı gibi, aramalarınızı gören taraf haline gelir. Bilinen kötü niyetli alan adlarını da engelleyen bir çözümleyici, bir aramanın doğrulanmış bir kimlik avı veya saldırı alan adına ulaşmasını hiç engelleyebilir, ama bu bir filtredir, her tehlikeli alan adının listesinde olacağının bir garantisi değildir.

Bunların hiçbiri, tek bir ayarın bir cihazı güvenli kıldığına dair bir söz anlamına gelmez: DNS birçok katmandan biridir ve kararlı, iyi kaynaklara sahip saldırganlar herhangi bir tek savunmanın etrafından dolanır. Belirli, ciddi bir tehditle karşı karşıya olan herkese — bir gazeteciye, bir aktiviste, hedefli gözetim altındaki birine — bir kontrol listesinden çok uzman yardımı daha iyi hizmet eder. Access Now Dijital Güvenlik Yardım Hattı, risk altındaki kişilere ve kuruluşlara ücretsiz, doğrudan teknik yardım sunar ve Freedom of the Press Foundation gazetecilere benzer dijital güvenlik rehberliğiyle destek olur.