DNS Güvenliği Neden Kritik?

DNS, alan adlarını IP adreslerine dönüştüren temel bir ağ hizmetidir. Bu nedenle DNS trafiğindeki olağandışı değişiklikler; zararlı yazılım iletişimi, yanlış yapılandırma, veri sızdırma girişimi veya yetkisiz yönlendirme hakkında erken sinyal sağlayabilir. Hedef yalnızca DNS hizmetini çalışır durumda tutmak değil, hangi istemcinin hangi sorguları yaptığını güvenli, ölçülebilir ve gerektiğinde denetlenebilir biçimde anlayabilmektir.

İlk adımda kurumda kullanılan tüm DNS çözücüleri, yetkili sunucular, istemci grupları ve dış DNS bağımlılıkları envantere alınmalıdır. Kullanıcı cihazları, sunucular, misafir ağı, IoT sistemleri, şubeler ve bulut servisleri ayrı değerlendirilmelidir. Her varlık için sahip, ağ bölgesi, beklenen sorgu davranışı ve iş kritiklik seviyesi kaydedilmelidir.

Çözücü Sunucuyu Sertleştirme Kontrol Listesi

Yetkili DNS çözücüsü yalnızca ihtiyaç duyan ağlardan sorgu kabul etmeli, internetten gelen rastgele istemciler için açık çözücü olarak çalışmamalıdır. Yönetim arayüzleri ayrı bir yönetim ağıyla sınırlandırılmalı, işletim sistemi ve DNS yazılımı güncel tutulmalı, gereksiz servisler kapatılmalıdır.

• Özyinelemeli sorgular yalnızca tanımlı iç ağlardan kabul edilmelidir.
• Yetkili DNS ile önbellek çözücüsü mümkünse ayrı roller veya sunucular olarak konumlandırılmalıdır.
• Bölge aktarımı yalnızca açıkça yetkilendirilmiş ikincil sunuculara izin verecek şekilde sınırlandırılmalıdır.
• DNSSEC doğrulaması, kullanılan çözücü ve istemci senaryosuna göre etkinleştirilmeli ve başarısız imza durumları izlenmelidir.
• Yönetici erişimi çok faktörlü kimlik doğrulama, sınırlı kaynak IP adresleri ve kayıtlı oturumlarla korunmalıdır.
• Değişiklikler sürüm kontrollü, onaylı, belgeli ve geri alınabilir olmalıdır.
• Yanıt boyutu, oran sınırlama ve kaynak kullanımına ilişkin güvenli varsayılanlar belirlenmelidir.

Sertleştirme sonrasında hem beklenen sorgular hem de reddedilen istekler incelenmelidir. Bir ayarın uygulanmış görünmesi yeterli değildir; dış ağdan yetkisiz özyineleme ve bölge aktarımı yapılamadığı, yazılı izinli ve kontrollü bir test ortamında doğrulanmalıdır. Test sırasında hizmet sürekliliği, kayıt üretimi ve geri dönüş adımları da kontrol edilmelidir.

Log Analizi ve Normal Davranışın Tanımlanması

DNS logları mümkün olduğunca zaman damgası, istemci kimliği veya kaynak adresi, sorgulanan alan adı, kayıt türü, yanıt kodu, yanıt süresi ve kullanılan çözücü bilgilerini içermelidir. Kişisel veri, erişim yetkisi ve saklama süresi kurum politikalarına ve ilgili mevzuata göre belirlenmelidir. Saat senkronizasyonu sağlanmazsa farklı sistemlerden gelen kayıtları doğru sıraya koymak zorlaşır.

Aşağıdaki göstergeler tek başına saldırı kanıtı değildir; varlığın rolü ve geçmiş davranışıyla birlikte incelenmelidir:

• Kısa sürede çok sayıda benzersiz alan adına yapılan sorgular.
• Olağandışı uzun veya rastgele görünümlü alt alan adları.
• Kısa aralıklarla tekrarlanan NXDOMAIN yanıtları.
• İş rolüyle ilgisiz ülke alanlarına veya yeni gözlemlenen alan adlarına erişim.
• Bir istemcinin normal profilinden belirgin biçimde sapan sorgu hacmi.
• İç ağda kullanılmaması gereken dış DNS çözücülerine doğrudan trafik.

İnceleme sırasında uç noktanın süreç listesi, zamanlanmış görevleri, proxy kayıtları, güvenlik duvarı olayları ve kimlik doğrulama kayıtlarıyla korelasyon yapılmalıdır. Örneğin bir istemcinin kısa sürede çok sayıda rastgele alt alan adı sorgulaması, aynı zaman aralığında bilinmeyen bir süreç başlatması ve dış bağlantı kurması birlikte değerlendirilmelidir. Alan adını yalnızca itibar listelerine göre engellemek yerine olayın zaman çizelgesi ve istemcinin davranış profili de incelenmelidir.

İstemci, Ağ Katmanı ve Politika Uygulaması

İç istemcilerin DNS sorgularını kurumun belirlediği çözücülere yönlendirmek, filtreleme ve kayıt politikalarının tutarlı uygulanmasını kolaylaştırır. Güvenlik duvarında dışarıya doğrudan DNS erişimi sınırlandırılabilir; ancak gerekli istisnalar belgelenmeli, meşru uygulamalar bozulmadan önce test edilmelidir. Şifreli DNS kullanımı değerlendiriliyorsa kurumsal görünürlük, gizlilik, performans, sertifika yönetimi ve merkezi politika uygulaması birlikte ele alınmalıdır.

Misafir, sunucu, kullanıcı ve IoT ağları ayrı politikalarla yönetilmelidir. Sunucuların internete doğrudan DNS erişimine gerçekten ihtiyaç duyup duymadığı uygulama sahibiyle doğrulanmalıdır. Değişiklik öncesinde başarısız çözümleme oranı, ortalama yanıt süresi, istemci başına sorgu hacmi ve yanıt kodları ölçülmeli; değişiklik sonrasında aynı göstergeler karşılaştırılmalıdır. Böylece hizmet kesintileri ve yanlış pozitifler erken fark edilir.

Olay Müdahalesi, Yetkili Test ve Doğrulama

Şüpheli DNS davranışı görüldüğünde önce ilgili istemci, zaman aralığı ve sorgu örnekleri korunmalıdır. İstemcinin ağ erişimi, olayın kapsamını anlamaya yetecek ölçüde ve kurum prosedürlerine uygun olarak sınırlandırılabilir. Kanıt niteliğindeki loglar değiştirilmeden saklanmalı, erişim kayıtları tutulmalı ve saat senkronizasyonu kontrol edilmelidir.

• Alarmın kaynağını, kapsamını ve güvenilirliğini doğrula.
• İstemciyi varlık sahibi, iş etkisi ve kritikliğiyle birlikte sınıflandır.
• DNS, güvenlik duvarı, proxy ve uç nokta kayıtlarını ortak zaman çizelgesinde birleştir.
• Gerekirse alan adı veya istemci için geçici, ölçülebilir ve geri alınabilir bir kontrol uygula.
• Kök nedeni zararlı yazılım, yanlış yapılandırma, üçüncü taraf bağımlılığı veya kullanıcı davranışı olarak ayrıştır.
• Temizlik ve geri dönüş sonrasında aynı davranışın tekrarlanmadığını doğrula.

Kontrolün başarısı yalnızca olayın kapanmasıyla ölçülmemelidir. Tespit süresi, yanlış alarm oranı, etkilenen varlık sayısı, hizmet etkisi ve kalıcı düzeltmenin uygulanma süresi düzenli olarak gözden geçirilmelidir. Tüm güvenlik testleri yazılı izin, belirlenmiş kapsam, iletişim planı ve geri dönüş prosedürü içinde yürütülmelidir.