DNS Hijacking Nedir ve Nasıl Tespit Edilir?

DNS, internetin görünmez altyapısıdır: alan adlarını IP adreslerine çevirir, e-posta sunucularını doğru yere yönlendirir, güvenlik katmanlarını devreye sokar. Bu altyapıya yapılan müdahaleler, kullanıcıların farkına varmadan yanlış sunuculara bağlanmasına yol açabilir. DNS hijacking tam olarak bunu yapar; meşru sorguların sessizce başka bir hedefe yönlendirilmesidir.

Saldırı yüzeyi üç farklı katmanda açılabilir: alan adı kayıt şirketi (registrar), DNS çözümleyicisi veya BGP yönlendirme altyapısı. Her birinin imzası farklıdır, ancak kullanıcıya yansıyan sonuç aynıdır. Doğru URL'yi yazıyorsunuz, yanlış sayfaya düşüyorsunuz.

Aşağıda üç saldırı türünü teknik olarak ele alıyoruz. Ardından WHOIS sorgusu ve dig komutuyla gerçek hayatta nasıl tespit edileceğini adım adım gösteriyoruz.

DNS Hijacking Nasıl Çalışır?

DNS çözümleme süreci kısaca şöyle işler: tarayıcınız bir alan adı girişi aldığında önce yerel önbellekten bakar, bulamazsa recursive resolver'a sorar, o da authoritative nameserver'dan yanıtı alır. Hijacking, bu zincirin herhangi bir halkasını kırar.

En temel anlatımıyla: meşru yanıt yerine saldırganın belirlediği IP adresi döndürülür. Kullanıcı https://bankaniz.com yazabilir, tarayıcı doğru SSL sertifikasına sahip olan ya da olmayan sahte bir IP'ye ulaşabilir. Bağlantı görünürde sorunsuz göründüğünde kullanıcıların büyük çoğunluğu fark etmez.

Saldırı üç farklı katmanda gerçekleşebilir: registrar hesabının ele geçirilmesi, DNS resolver'ının zehirlenmesi veya BGP yolu manipülasyonu. Bu üçü tamamen farklı araçlar gerektirir ve tamamen farklı iz bırakır.

Registrar Düzeyinde Ele Geçirme

En doğrudan saldırı türüdür. Saldırgan, alan adı kayıt şirketindeki hesaba erişim sağlar ve nameserver kayıtlarını değiştirir. Bu noktadan itibaren tüm DNS yanıtları saldırganın kontrolündeki sunucudan gelir.

Registrar hesabına erişim çoğunlukla kimlik avı veya şifre sızdırma yoluyla gerçekleşir. Bazen kayıt şirketinin kendi altyapısı hedef alınır; 2019 yılında Sea Turtle operasyonunda ülke düzeyindeki alan adlarının nameserver'ları bu şekilde değiştirilmiştir. Registrar düzeyindeki müdahale, DNSSEC olmayan alan adlarında tamamen sessiz kalır.

WHOIS kaydındaki nameserver değişimi bu saldırının en net göstergesidir. Hesabınızda değişiklik yapmadıysanız ve WHOIS çıktısındaki nameserver bilgileri tanıdık değilse, bu durum acil inceleme gerektirir. Alan adı portföyünüzü düzenli takip altında tutmanız bu nedenle önemlidir; domain portföyü yönetimi yazısında hangi kontrol adımlarının otomasyona alınabileceğini ele alıyoruz.

Resolver Düzeyinde Yönlendirme

DNS resolver, sorguları yetkili sunuculara ileten ve yanıtları önbelleğe alan sistemdir. İki farklı senaryo bu katmanı hedef alır: önbellek zehirleme (cache poisoning) ve sahte resolver kurulumu.

Önbellek zehirlemede saldırgan, resolver'a gerçekmiş gibi görünen sahte yanıtlar enjekte eder. Resolver bunu önbelleğe alır ve TTL süresi dolana kadar yanlış IP'yi tüm istemcilere sunar. DNSSEC ile imzalı zone'larda bu yöntem çalışmaz; resolver, imzayı doğrulayamadığı yanıtı reddeder.

Sahte resolver senaryosu daha basittir: kullanıcının cihazı veya ağı, meşru DNS sunucusu yerine saldırganın sunucusuna yönlendirilir. Bu çoğunlukla router ele geçirmesi, kötü amaçlı DHCP yanıtları veya kurumsal ağdaki yapılandırma manipülasyonu yoluyla gerçekleşir. Halka açık Wi-Fi ağlarında bu saldırı türü özellikle yaygındır.

TTL değeri, önbellek zehirlemesinin ömrünü doğrudan belirler. Zehirlenen kayıt TTL süresi dolana kadar resolver'da kalır ve bu süre boyunca o resolver'a bağlı tüm istemciler yanlış IP'ye yönlendirilir. Kısa TTL (60-300 saniye) zararın süresini sınırlar; ancak çok kısa değerler her sorgu için authoritative sunucuya gidilmesini zorunlu kılar ve resolver performansını düşürür. Alan adı için risk profili belirlenirken bu denge göz önünde bulundurulmalıdır.

BGP Tabanlı DNS Saldırıları

En karmaşık ve en geniş etkili türdür. BGP hijacking internet üzerindeki yönlendirme tablolarını yönetir; hangi IP bloğunun hangi otonom sistem üzerinden ulaşılacağını belirler. Saldırgan, hedef IP bloğuna ait yanlış bir BGP duyurusu yaparsa trafik başka bir ağa yönlenebilir.

Bu saldırı DNS'e özgü değildir, ancak DNS altyapısını hedef aldığında etkisi çok geniştir. Birden fazla resolver'a hizmet eden bir DNS sunucu bloğu için sahte BGP yolu duyurulduğunda, o resolver'lara yapılan tüm sorgular saldırganın görebileceği bir noktadan geçer.

BGP hijacking tespiti bireysel kullanıcı düzeyinde mümkün değildir; bu saldırı BGP izleme servisleri veya RPKI (Resource Public Key Infrastructure) altyapısıyla izlenir. Saldırının DNS tarafındaki yansıması ise, beklenmedik nameserver yanıtları veya coğrafya dışı IP adresleri olarak dig ile yakalanabilir.

Gerçek Bir Saldırının İmzaları

Tespit başlamadan önce nelere bakılacağını bilmek gerekir. DNS hijacking genellikle şu belirtilerle kendini gösterir:

• Alan adınızın A kaydı değiştirilmeden önce bilginiz dışında nameserver değişikliği yapılmış olur.
• MX kayıtları farklı bir sunucuya işaret etmeye başlar; e-postalar yanlış yere iletilir veya teslim edilemez duruma gelir.
• SSL sertifikası uyarısı alırsınız; saldırgan meşru sertifikaya sahip değilse tarayıcı uyarı verir.
• Farklı coğrafyalardan sorgu attığınızda aynı alan adı farklı IP'lere çözümlenir.
• DNS propagasyonu beklenmeden nameserver değişimi WHOIS'e yansımıştır.

E-posta kayıtlarındaki değişim özellikle kritiktir. MX veya SPF kaydı manipüle edildiğinde gelen postalar sahte sunucuya düşer, giden postalar meşru olarak tanınmaz ve spam engellerine takılır. DNS kaynaklı deliverability sorunları yazısında bu tablonun nasıl ilerlediğini inceleyebilirsiniz.

Sertifika değişimi ayrı bir sinyal taşır. Meşru sertifikanın süre dolmadan değiştirilmesi veya sertifikanın başka bir kayıt otoritesinden verilmesi, alan adınız için bir müdahale yapıldığına işaret edebilir. Certificate Transparency kayıtları bu denetimi mümkün kılar.

WHOIS ve dig ile Tespit

Şüphelendiğiniz bir durumda ilk araçlar WHOIS ve dig'dir. İkisi birlikte okunduğunda tutarsızlıklar hemen görünür hale gelir.

WHOIS ile nameserver kontrolü:

whois example.com | grep -i "name server"

Bu komutun çıktısını, alan adını kayıt şirketinizin kontrol paneliyle karşılaştırın. WHOIS'te görünen nameserver bilgisi panelinizde kayıtlı olan bilgiyle eşleşmiyorsa, dışarıdan bir değişiklik yapılmıştır.

dig ile A kaydı sorgusu:

dig A example.com +short
dig A example.com @8.8.8.8 +short
dig A example.com @1.1.1.1 +short

Üç farklı resolver'dan sorgu atın. Farklı IP adresleri dönüyorsa hijacking veya çözümlenmemiş propagasyon sorunu var demektir. Propagasyon durumundan emin olmak için son değişiklik tarihiyle TTL süresini karşılaştırın.

Nameserver'a doğrudan sorgu:

dig NS example.com +short
dig A example.com @ns1.beklenen-nameserver.com +short

Alan adının NS kaydını alın, ardından o nameserver'a doğrudan sorgu atın. Beklediğiniz IP döndürülmüyorsa authoritative zone manipüle edilmiştir.

MX kaydı doğrulama:

dig MX example.com +short

Çıktıyı e-posta servis sağlayıcınızın belgelediği MX değerleriyle karşılaştırın. Google Workspace için aspmx.l.google.com, Microsoft 365 için *.mail.protection.outlook.com beklenir. Google Workspace DNS kayıtları ve Microsoft 365 MX ve SPF yapılandırması yazılarında bu değerlerin referans listesi yer alıyor.

SOA kaydı ile zone değişim zamanı:

dig SOA example.com +short

SOA kaydındaki serial numarası zone güncellemelerini izler. Bilginiz dışında artan bir serial, zone dosyasının değiştirildiğine işaret eder.

Ele Geçirmeyi Önlemenin Yolları

Tespit sonrası müdahale hızı kritiktir, ancak ön alınan tedbirler saldırıyı çok daha güç hale getirir.

Registrar güvenliği için ilk adım iki faktörlü doğrulamadır (2FA). SMS tabanlı değil, TOTP veya donanım anahtarı kullanan yöntemler tercih edilmelidir. Buna ek olarak, kayıt şirketinin sunduğu Registry Lock veya Domain Lock özelliği etkinleştirilmelidir; bu kilit aktifken nameserver değişikliği için kayıt şirketiyle manuel doğrulama adımı gerekmektedir.

DNSSEC, zone'un imzalanmasını ve her yanıtın kriptografik olarak doğrulanmasını sağlar. Resolver'a enjekte edilen sahte yanıtlar imza doğrulamasını geçemeyeceği için cache poisoning bu konfigürasyonda işe yaramaz. Ancak DNSSEC doğru yönetilmezse, özellikle anahtar rotasyonu atlandığında, alan adı çözümlenemez hale gelir; bu teknik borcun göz ardı edilmemesi gerekir.

DNS izlemesi hem anlık hem de periyodik yapılmalıdır. Nameserver değişimleri için WHOIS değişim uyarıları, A/MX/NS kayıtları için periyodik sorgu karşılaştırmaları otomasyona alınabilir. .tr uzantılı domain transferlerinde açıklanan nameserver geçiş süreciyle bu izleme rutini birleştirildiğinde, yetkisiz değişimler çok daha hızlı fark edilir.

DNS hijacking sessiz bir saldırıdır. Kullanıcı doğru URL'yi yazdığına inanır, saldırgan ise meşru trafiği görür. Bu asimetri, zamanında tespitin değerini artırır.

WHOIS ve dig çıktılarını düzenli aralıklarla kayıt altına almak ve yeni değerlerle karşılaştırmak, en basit ama en etkili tespit mekanizmasıdır. Özellikle büyük trafik almayan alan adları uzun süre izlenmeden kalabilir; bunlar için bile periyodik bir kontrol rutini kurmak mümkündür. SOA serial takibi de bu rutine eklenirse zone düzeyindeki yetkisiz değişimler çok daha erken fark edilir.

Saldırı gerçekleştikten sonra yapılacak ilk şey registrar panelinize erişim sağlamak, nameserver kayıtlarını doğrulamak ve hesap erişim kayıtlarını incelemektir. Şifre değişikliği ve 2FA aktivasyonu müdahalenin ikinci adımıdır; hasarı sınırlamak için bu sırayı korumak önemlidir.