DNS Spoofing Nedir? Tespit ve Önleme Yöntemleri

Şunu hayal edin: Bankanızın web sitesini tarayıcınıza yazıyorsunuz, ancak güvenilir finans kurumunuza ulaşmak yerine, giriş bilgilerinizi çalmak için tasarlanmış ikna edici sahte bir siteye giriyorsunuz. Bu kabus senaryosu, bilgisayarınızın çevrimiçi web sitelerini bulma şeklini manipüle eden bir siber saldırı olan DNS sahtekarlığı yoluyla gerçekleşir.

DNS önbellek zehirlenmesi olarak da bilinen bu tehdit, DNS önbelleğini bozarak şüphelenmeyen kullanıcıları kötü amaçlı web sitelerine yönlendirir. Alan Adı Sistemi, İnternet’in telefon rehberi olarak işlev görür. Web sitesi sahipleri ve işletmeler için DNS sahtekarlığı saldırılarını anlamak, müşteri güvenini ve hassas verileri DNS altyapısındaki zayıflıklardan yararlanan siber suçlulardan korumak için çok önemlidir.

Bu makale DSN sahteciliğini tüm açılardan incelemektedir. Nasıl çalıştığını ve buna karşı nasıl korunacağınızı açıklıyoruz. Hadi başlayalım!

---

İçindekiler

1. DNS Nedir ve Nasıl Çalışır?
2. DNS Spoofing nedir?
3. DNS Spoofing Saldırılarının Türleri
4. DNS Spoofing Saldırıları Nasıl Belirlenir?
5. DNS Spoofing’in Riskleri ve Sonuçları
6. DNS Sahtekarlığı Nasıl Önlenir

---

DNS Nedir ve Nasıl Çalışır?

Alan Adı Sistemini İnternet’in dizin hizmeti olarak düşünün. “example.com” gibi bir web sitesi adresi yazdığınızda, kullanıcınızın bilgisayarı bu kelimeleri anlamaz; sayılara ihtiyacı vardır. İşte bu noktada DNS devreye girer ve alan adlarını bilgisayarların anlayabileceği IP adreslerine çevirir.

DNS çözümleme işlemi şu şekilde çalışır: Cihazınız DNS isteklerini bir DNS çözümleyicisine gönderir (genellikle İnternet Servis Sağlayıcınız tarafından sağlanır). Çözümleyici daha sonra önce DNS önbelleğini kontrol ederek doğru IP adresini arar. Eğer orada değilse, çözümleyici kök sunuculardan başlayarak ve hedeflediğiniz web sitesine özel DNS kayıtlarını bulmak için çalışarak diğer DNS sunucu bilgisayarlarını sorgular.

Bu sistem, internetin ilk günlerinden kalma bir tasarım tercihi olan güvenlik yerine hız ve kullanılabilirliğe öncelik vermektedir. Geleneksel DNS sorguları ve DNS yanıtları ağlar arasında şifrelenmeden seyahat ederek saldırganlar için fırsatlar yaratır. DNS sistemi aldığı her bilgiye güvenir, bu da suçluların bu sürece sahte DNS bilgileri ekleyebileceği anlamına gelir. Ancak HTTPS üzerinden DNS (DoH) ve TLS üzerinden DNS (DoT) gibi daha yeni standartlar artık çoğu modern cihaz ve tarayıcıda bu trafiği şifrelemektedir.

---

DNS Spoofing nedir?

DNS sahtekarlığı, bir bilgisayar korsanının DNS kayıtlarını değiştirerek trafiği meşru bir web sitesinden sahte bir web sitesine yönlendirdiği bir siber saldırıdır. Bu, veri hırsızlığı, kimlik avı veya kötü amaçlı yazılım yüklemesine yol açabilir. Saldırganlar DNS protokollerindeki zayıflıklardan faydalanır veya kullanıcıları kandırmak için önbellek zehirlenmesini kullanır.

Doğrudan sistemlere giren diğer siber saldırıların aksine, DNS sahtekarlığı web sitesi iletişiminin güvene dayalı doğasından yararlanır. Alan Adı Sistemi Güvenliği başlangıçta gerçekliği doğrulamak için tasarlanmamıştır; sadece bilgileri kabul eder ve iletir.

Bu güvenlik açığı, saldırganların cihazınız ile ulaşmaya çalıştığınız web sitesi arasındaki iletişim zincirine sahte IP adresi verileri eklemesine olanak tanır.

İşte size gerçek dünyadan bir benzetme: Bir iş telefon numarası için rehber yardımını aradığınızı, ancak birinin aramanızı engellediğini ve bunun yerine size bir dolandırıcının numarasını verdiğini düşünün. Doğru yere ulaştığınıza inanarak güvenle ararsınız. DNS sahteciliği dijital dünyada bu şekilde çalışır. Suçlular sizinle hedefiniz arasında konumlanır ve kötü niyetli sitelerine yönlendiren yanlış bilgiler verir.

Mekaniği, DNS önbellek girdilerinin çeşitli noktalarda zehirlenmesini içerir. Bir saldırgan, meşru yanıtları geçersiz kılan yanlış yanıtlar oluşturarak DNS çözümleyicisinin alan adları ile gerçek konumları arasında yanlış eşlemeler almasına neden olur. Bu spoofing saldırılarını tehlikeli kılan şey görünmez olmalarıdır. Hassas bilgilerinizi toplayan sahte bir web sitesinde olmanız dışında her şey normal görünür.

DNS manipülasyonu ile ilgili kamuoyuna yansıyan ilk olaylardan biri 1990’ların sonunda bir araştırmacının protesto amacıyla trafiği yeniden yönlendirmesi ve DNS’in ne kadar kolay suiistimal edilebileceğini ortaya koymasıdır. 2008 yılına gelindiğinde, güvenlik uzmanı Dan Kaminsky daha da ciddi güvenlik açıklarını ortaya çıkararak DNS önbellek zehirlenmesinin İnternet altyapısını saniyeler içinde nasıl tehlikeye atabileceğini gösterdi.

---

DNS Spoofing Saldırılarının Türleri

Siber suçlular DNS verilerini bozmak ve trafiği kendi etki alanlarına yönlendirmek için çeşitli teknikler kullanmaktadır. Her yöntem farklı güvenlik açıklarını hedef alır, ancak küçük ve orta ölçekli işletmeler, minimum kaynak gerektiren ancak maksimum hasara neden olan saldırılardan kaynaklanan özel risklerle karşı karşıyadır.

Ortadaki Adam (MITM) DNS Sahtekarlığı

MITM saldırıları, cihazınız ile DNS çözümleyici arasındaki DNS sorgularını engeller. Örneğin, bir kafenin Wi-Fi ağına bağlanır ve bankanızı ararsınız. Ağ trafiğini kontrol eden saldırgan, gerçek yanıt gelmeden önce kendi IP adresiyle sahte bir DNS yanıtı gönderir. Tarayıcınız “yourbank.com” adresini görüntüler, ancak aslında suçlunun giriş bilgilerinizi çalan sahte web sitesindesinizdir.

MITM DNS sahtekarlığı genellikle güvensiz halka açık Wi-Fi, ARP sahtekarlığı veya hileli erişim noktalarına dayanır. Ettercap veya Wireshark gibi araçlar saldırganlara sahte DNS yanıtlarını gerçek zamanlı olarak izleme ve enjekte etme konusunda yardımcı olabilir.

DNS Önbellek Zehirlenmesi

DNS önbellek zehirlenmesi sunucularda depolanan DNS kayıtlarını bozar. İşte tipik bir senaryo: Saldırganlar bir şirketin DNS sunucusunu“paypal.com” için binlerce sahte yanıtla doldurur. Bir tanesi önbelleğe alındığında, PayPal’a erişen her çalışan saatlerce veya günlerce sahte bir web sitesine yönlendirilir. Paylaşımlı barındırma veya bütçeye uygun DNS yazılımı kullanan KOBİ’ler, bu DNS önbelleği zehirleme saldırı yöntemleri nedeniyle daha yüksek risklerle karşı karşıyadır.

Bu saldırı, saldırganların DNS çözümleyicilerine nasıl sahte veri enjekte edebileceklerini gösteren 2008 Kaminsky güvenlik açığı ile ün kazanmıştır. Sorgu kimliklerinde zayıf rastgeleleştirme veya DNSSEC (Alan Adı Sistemi Güvenlik Uzantıları) eksikliği zehirlenmeyi kolaylaştırır.

DNS Sunucu Korsanlığı

Suçlular DNS sunucu altyapısını doğrudan da tehlikeye atabilir. Bilgisayar korsanları küçük bir işletmenin sunucu bilgisayarındaki eski DNS güvenliğinden faydalanarak DNS veri bütünlüğünü değiştirebilir ve böylece“companywebsite.com” kötü niyetli sitelerini işaret edebilir. Meşru siteye ulaşmaya çalışan her müşteri bunun yerine saldırganın sayfasına ulaşır.

Ele geçirme genellikle çalınan kimlik bilgileri, yanlış yapılandırılmış yönlendiriciler veya yamalanmamış DNS yönetim panellerinden yararlanmayı içerir. Saldırganlar, 2FA (İki Faktörlü Kimlik Doğrulama) kullanılmazsa kayıt şirketi düzeyinde DNS kayıtlarını bile değiştirebilir.

Peki, DNS hijacking ve DNS poisoning arasındaki fark nedir? DNS zehirlenmesi bir çözümleyiciyi kandırarak sahte DNS verilerini depolarken, DNS ele geçirme trafiği yeniden yönlendirmek için DNS ayarlarının kontrolünü ele geçirir. Zehirlenme önbelleği hedef alırken, ele geçirme yapılandırmaları değiştirir.

DNS Yanıt Değişikliği

Saldırganlar meşru DNS yanıtlarını geçişin ortasında değiştirir. Kurumsal bir ağda Adres Çözümleme Protokolü sahtekarlığı kullanan suçlular, yanıtları değiştirerek “office365.com” adresini kimlik avı sitelerine yönlendirebilir ve hassas bilgileri toplayabilir.

Bu teknik, bilgisayar korsanlarının dahili trafiğe erişebildiği LAN ortamlarında etkilidir. DNS yanıt modifikasyonunu SSL sıyırma araçlarıyla birleştirmek, saldırganların sertifika uyarıları olmadan ikna edici HTTP siteleri sunmasını sağlar.

İlaçlama

Pharming, DNS zehirlenmesini sosyal mühendislik ile birleştirir. Örnek: Bir kullanıcının bilgisayarındaki kötü amaçlı yazılım yerel DNS ayarlarını değiştirerek bankacılık sitelerini kalıcı olarak aynı görünümlü sahte web sitesi kopyalarına yönlendirir. Aktif müdahale gerektiren diğer saldırıların aksine, pharming yeniden başlatmalardan sonra da kalıcı yönlendirmeler yaratır.

Pharming, sistemin hosts dosyasını veya yönlendirici düzeyindeki DNS ayarlarını sessizce düzenleyerek ağdaki her cihazı etkileyen Truva atları aracılığıyla gerçekleştirilebilir. URL normal göründüğü için kurbanlar genellikle farkında olmazlar.

Önbellek zehirlenmesi ve pharming KOBİ’ler için en büyük tehditleri oluşturmaktadır. Uygulanmaları ucuz, tespit edilmeleri zordur ve tek bir savunmasız DNS çözümleyicisi aracılığıyla tüm müşteri tabanlarını tehlikeye atabilirler.

---

DNS Spoofing Saldırıları Nasıl Belirlenir?

Web sitesi sahipleri genellikle DNS sahtekarlığı saldırılarını ancak müşteriler yanlış sitelere ulaşmaktan veya garip içerikler görmekten şikayet ettikten sonra keşfederler. İşletmenizi ve müşterilerinizi korumak için bu saldırıları erkenden tespit etmeniz gerekir.

Analizlerinizi düzenli olarak kontrol edin. Barındırma hizmetiniz sorunsuz çalışırken trafik aniden düşerse, birisi DNS kaçırma yoluyla ziyaretçilerinizi yeniden yönlendirebilir. İzinsiz DNS kaydı değişikliklerine karşı sizi uyarması için bir DNS izleme hizmeti kullanın. Manuel kayıt şirketi kontrolleri yararlıdır, ancak çok geç olabilir.

DNS Sağlığınızı Test Etme

Birkaç ücretsiz araç, sorunları hızlı bir şekilde yakalamanıza yardımcı olur:

• DNS Checker, alan adınızın dünya çapında doğru IP adresine işaret edip etmediğini gösterir.
• MXToolbox, DNS yanıtlarınızı farklı konumlarda izler.
• Alan adınızın nerede çözümlendiğini kontrol etmek ve doğru IP’yi gösterdiğini doğrulamak için nslookup veya dig komutlarını kullanın.
• DNSSEC Analyzer, Alan Adı Sistemi Güvenliğinizin düzgün çalışıp çalışmadığını size bildirir.

Aktif Saldırıları Tespit Etme

Müşterileriniz sitenizde SSL hataları mı görüyor? Bu büyük bir kırmızı bayraktır. Diğer işaretler şunlardır:

• Sahte web sitesi benzerlerine yönlendiren sayfalar
• Hassas veriler isteyen giriş formları
• DNS çözümleme süreci sonsuza kadar sürer
• Gizemli trafik artışlarını gösteren sunucu bilgisayar günlükleri

Cloudflare, Detectify gibi araçları veya değişiklikleri gerçek zamanlı olarak izleyen diğer platformları kullanarak otomatik DNS izleme uyarıları ayarlayın. Ziyaretçilerin sorunları bildirmesini beklemeyin. Birisi DNS önbellek zehirlenmesini fark ettiğinde, bilgisayar korsanları çoktan veri çalmış veya ziyaretçilere kötü amaçlı yazılım bulaştırmış olabilir.

---

DNS Spoofing’in Riskleri ve Sonuçları

DNS sahtekarlığı işletmeleri sert ve hızlı bir şekilde vurur. Saldırganlar kullanıcıları sahte web sitelerine yönlendirdikten sonra, hasar hızla birden fazla cepheye yayılır.

Finansal ve Veri Kayıpları

Sahte sitelere ödeme bilgilerini giren müşteriler, suçlulara veri hırsızlığı için ihtiyaç duydukları her şeyi verir. Tek bir DNS saldırısı binlerce kredi kartı numarasını ve giriş bilgilerini açığa çıkarabilir. Küçük işletmeler olay başına ortalama 50.000 $ kayıp bildirirken, daha büyük ihlaller milyonlara mal olmaktadır. Çalınan veriler genellikle saatler içinde dark web pazarlarında ortaya çıkar ve daha fazla dolandırıcılığı körükler.

Kalıcı İtibar Hasarı

Müşteriler alan adınız üzerinden dolandırıldıklarını fark ettiklerinde güven anında yok olur. Siz de bir kurban olsanız bile, kızgın müşteriler zayıf DNS güvenliği nedeniyle işletmenizi suçlar. Çevrimiçi yorumlar azalır, sosyal medya şikayetlerle dolar ve ağızdan ağıza yayılan sözler zehirli hale gelir. İtibarın yeniden kazanılması yıllar alır ve bazı işletmeler asla tam olarak iyileşemez.

Kötü Amaçlı Yazılım Çoğaltma Etkisi

DNS zehirlenmesi sadece veri çalmakla kalmaz. Saldırganlar, kurumsal ağlar üzerinden yayılan kötü amaçlı yazılım enfeksiyonlarını itmek için sahte siteler kullanır. Güvenliği ihlal edilmiş alan adınızı ziyaret eden bir çalışan tüm şirkete virüs bulaştırabilir. Sunucu bilgisayarları daha fazla saldırı için bir fırlatma rampası haline gelir ve işletmeniz için sorumluluk sorunları yaratır.

Güvenlik Güncellemeleri Durduruldu

İşte gizli bir tehlike: DNS zehirlenmesi kritik güvenlik yamalarını engelleyebilir. Sunucu bilgisayarınız güncellemeleri indirmeye çalıştığında, sahte DNS yanıtları bunun yerine saldırganların kontrolündeki sunuculara gönderir. En son yamaların sizi koruduğunu düşünürsünüz, ancak aslında savunmasız DNS yazılımı çalıştırıyorsunuzdur ve web trafiğinizi aylarca ek istismarlara maruz bırakırsınız.

Gerçek Dünya Kayıpları

2019 yılında, saldırganlar DNS çözümleyici hizmetlerini zehirlediğinde birkaç kripto para borsası milyonlar kaybetti. Küçük e-ticaret siteleri, DNS önbellek zehirleme saldırı planları yoluyla düzenli olarak müşteri veri tabanlarını kaybetmektedir.

Sağlık hizmeti sağlayıcıları, hasta verileri sahte portallar aracılığıyla sızdırıldığında HIPAA ihlalleriyle karşı karşıya kalır. Uygun DNS güvenlik uzantıları olmadan, işletmeniz temel web trafiği sistemlerindeki zayıflıklardan yararlanan suçlular için kolay bir hedef olmaya devam eder.

---

DNS Sahtekarlığı Nasıl Önlenir

DNS güvenliğinizi nasıl sıkılaştıracağınız ve işletmenizi DNS sahtekarlığından nasıl koruyacağınız aşağıda açıklanmıştır:

DNSSEC’i Zorla

İşletmenizi DNS sahteciliğinden korumak, Alan Adı Sistemi Güvenlik Uzantılarını uygulamakla başlar. Bu kriptografik kalkan, kök sunuculardan TLD (Üst Düzey Etki Alanı) sunucularına ve yetkili DNS sunucularınıza kadar DNS yanıtlarını doğrular.

Birçok İSS varsayılan olarak DNSSEC’i etkinleştirmese de, alan adı kayıt kuruluşunuz aracılığıyla etkinleştirebilirsiniz. Siber güvenlik uzmanları, DNS yanıtlarını taklit etmeye veya kurcalamaya çalışan saldırganlara karşı ilk savunmanız olarak bunu önermektedir

HTTPS üzerinden DNS kullanma

HTTPS üzerinden DNS (DoH), uygulamalar (tarayıcılar gibi) ve özyinelemeli DNS sunucuları arasındaki sorguları şifreleyerek gizli dinleme veya kurcalamaya karşı koruma sağlayan başka bir koruma katmanı ekler.

İş ağınızı Cloudflare DNS (1.1.1.1) veya Google Public DNS (8.8.8.8) ile değiştirin; bunların her ikisi de DoH’yi destekler ve bilinen kötü amaçlı etki alanlarını engeller.

Chrome ve Firefox gibi modern web tarayıcıları basit ayar değişiklikleriyle DoH’u etkinleştirerek, saldırganların ARP (Adres Çözümleme Protokolü) sahtekarlığı ve diğer yerel ağ saldırılarını kullanarak şifrelenmemiş trafiğe müdahale edebildiği halka açık Wi-Fi’de bile ekibinizi korur.

VPN ve SSL edinin

VPN (Sanal Özel Ağ) tüm internet trafiğini şifreleyerek DNS korumasının ötesinde ekstra bir kalkan ekler. Güvenilir Sertifika Yetkililerinden SSL sertifika doğrulaması ile eşleştirildiğinde, çalışanlarınız sahte web sitesi girişimlerini hızlı bir şekilde tespit edebilir.

Personeli, özellikle güvenli olmayan ağlarda uzaktan çalışırken hassas bilgileri girmeden önce HTTPS asma kilitlerini ve “Güvenli Değil” uyarılarını kontrol etmeleri için siber güvenlik farkındalığı konusunda eğitin.

Diğer Hususlar

Küçük işletmeler ayrıca olağandışı DNS trafiği modellerini izleyen web güvenlik duvarları ve saldırı tespit sistemleri kullanmalıdır. Zehirlenmenin etkisini sınırlamak için, kritik DNS kayıtları için daha kısa TTL’ler (Time to live) ayarlamayı düşünün; sadece eklenen sorgu hacmine dikkat edin.

Tüm DNS yazılımları ve sunucu bilgisayar sistemleri için haftalık güncellemeler planlayın, eski sürümler saldırganlara kolay giriş noktaları sağlar. Bu birleşik önlemler, saldırganları hayal kırıklığına uğratan ve müşterilerinizin verilerini koruyan çoklu engeller oluşturur.

---

Web Sitenizi En Önemli Yerde Güvence Altına Alın

Güvenlik kökte, yani alan adınızda başlar. SSL Dragon ‘da, sahteciliği izinde durdurmaya yardımcı olan güvenilir sertifikalar sunuyoruz. Küçük ve orta ölçekli işletmelere yardımcı olma konusundaki yılların deneyimiyle, en son güvenlik zorluklarını anlıyoruz.

Şimdi DNS kurulumunuzu gözden geçirmenin ve sitenizin güvenini ve şifrelemesini güçlendirmenin tam zamanı. Yardıma mı ihtiyacınız var veya sorularınız mı var? Ekibimiz sizin için burada. Bugün SSL Dragon ile iletişime geçin ve sizi daha güvenli, daha emniyetli bir çevrimiçi varlığa doğru yönlendirelim.