E-posta Phishing Saldırılarını DNS ile Nasıl Tespit Edebilirsiniz?

Phishing saldırıları artık yalnızca belirgin yazım hatalarıyla değil, kurumsal markaya neredeyse birebir benzeyen domain adlarıyla gerçekleşiyor. Bir e-posta, gözle bakıldığında güvenilir görünse de arkasındaki domain altyapısı çok farklı bir hikaye anlatır. DNS kayıtları, bu hikayeyi okuyabileceğiniz en erişilebilir kaynaklardan biridir.

Lookalike domain (benzer görünümlü alan adı) saldırıları, hedef kurumun domain adına yakın bir isim kaydettirerek çalışır; kayıt verisi alan adı sorgusunda erken görünür. paypa1.com, micros0ft-support.net veya kurumunuzun adından yalnızca tek harf farkı olan bir uzantı. Saldırganların bu aşamada yaptığı DNS yapılandırması çoğunlukla aceledir ya da kasıtlı olarak minimalisttir; bu durum tanımlayıcı izler bırakır. SPF kaydının yokluğu, MX'in kimliği belirsiz bir sunucuya işaret etmesi ya da TTL değerinin olağandışı kısalığı, bu izlerin başında gelir.

Teknik bir güvenlik ekibiniz olmasa da temel DNS sorgulamasını bilen herkes bu sinyalleri okuyabilir. Doğrudan özel bir platform veya lisanslı yazılım gerekmez. dig veya tarayıcıdan erişilebilen herhangi bir DNS sorgulama hizmeti yeterlidir. Aşağıdaki bölümlerde bu izleri nasıl takip edeceğinizi açıklıyoruz.

Lookalike Domain Nedir ve DNS'in Bu Tespitteki Yeri

Lookalike domain, mevcut bir markanın adını çağrıştıracak biçimde kayıtlı bir alan adıdır. Görsel benzerlik sağlamak için kullanılan teknikler farklılık gösterir: harf ekleme veya çıkarma, karakter değiştirme (l-1, 0-o, rn-m gibi), aynı markanın farklı TLD'si veya coğrafi ek. Saldırgan bu domain'den e-posta gönderdiğinde, alıcı adres çubuğuna dikkat etmeyebilir; birçok e-posta istemcisi gönderen ismini domain'in önüne koyar.

DNS, her domain için kamusal olarak sorgulanabilen bir veritabanı işlevi görür. Sahte domain için yapılandırılan veya yapılandırılmayan kayıtlar, o domain'in ne amaçla kurulduğuna dair güçlü ipuçları verir. Özellikle MX, SPF, DKIM ve DMARC kayıtlarının birlikte analizi, e-posta göndermek için kurulmuş bir altyapıyı, yalnızca varlık göstergesi olan bir altyapıdan ayırt etmenizi sağlar.

Bir phishing kampanyasında hedef organizasyonun domain'ine benzer yeni bir domain kaydedildiğinde DNS yapılandırması farklı senaryolara göre değişir. Kısa ömürlü girişimlerde saldırganlar yalnızca MX kaydı ekleyip SPF bırakabilir. Daha özenli saldırılarda SPF ve hatta DKIM kurulumu yapılabilir; ancak DMARC neredeyse her zaman eksik kalır. Bu eksiklik tek başına bir kanıt değildir, ama diğer sinyallerle birleşince tablo netleşir.

MX Kaydı Analizi: Sahte Altyapının Gönderim Yapısı

MX (Mail Exchanger) kaydı, bir domain için gelen e-postaların hangi sunucuya iletileceğini tanımlar. Phishing açısından ilginç olan şu: MX kaydı, saldırganın hangi altyapıyı kullandığını doğrudan gösterir.

Meşru bir kurumsal domain, genellikle kendi bünyesindeki veya anlaşmalı bir büyük sağlayıcıya ait MX kayıtları içerir. Yeni kayıtlı şüpheli bir domain'de ise farklı bir tablo görülür:

• Ucuz veya ücretsiz geçici e-posta sağlayıcılarına işaret eden MX sunucuları
• Birden fazla MX kaydının bulunmaması (gerçek işletmeler çoğunlukla yedek MX ekler)
• MX kaydının hiç olmadığı durumlar: domain yalnızca gönderim için yapılandırılmıştır
• MX sunucu adının domain adıyla tutarsızlığı

MX olmayan bir domain, SMTP sunucu yapılandırmasıyla doğrudan gönderim yapabilir. Phishing kampanyalarında sahte domain bazen yalnızca gönderme altyapısına sahip olup hiç MX kaydı içermez; bu durum, domain'in e-posta almak için değil yalnızca göndermek için kurulduğuna işaret eder.

Bir domain'in MX kaydını sorgulamak için:

nslookup -type=MX suphecidomain.com

Veya Linux/macOS ortamında:

dig MX suphecidomain.com

Çıktıdaki sunucu adını kopyalayıp bağımsız olarak inceleyin. O sunucunun ait olduğu organizasyon ve kayıt geçmişi, kendi başına değerli bir sinyal taşır.

SPF Kaydı: Kim Gönderiyor, Kimin Adına?

SPF (Sender Policy Framework), bir domain adına e-posta göndermeye yetkili sunucuları listeleyen bir TXT kaydıdır. Alıcı tarafındaki e-posta sunucusu, gelen iletinin kaynağını bu kayıtla karşılaştırır. Phishing tespitinde SPF'in önemi çift yönlüdür: hem sahte domain'in kendi SPF kaydını hem de taklit edilen meşru domain'in SPF kaydını incelemeniz gerekir.

Sahte domain'in SPF kaydı yoksa bu, kötü yapılandırılmış veya aceleyle kurulmuş bir altyapıya işaret eder. Var ama çok geniş kapsamlıysa, yani -all yerine ?all kullanılmışsa, kasıtlı olarak esnek bırakılmış olabilir. Bu esneklik, gönderim sunucusunu sık sık değiştiren saldırganların tercihidir.

nslookup -type=TXT suphecidomain.com

Çıktıda v=spf1 ile başlayan satırı arayın. Örneğin:

v=spf1 include:mailgun.org ~all

Bu kayıt, mailgun.org altyapısını gönderim için yetkilendiriyor. Meşru bir servis olmakla birlikte phishing e-postalarının gönderimi için de kullanılabilir; asıl soru, bu domain'in başka göstergelerle birlikte nasıl konumlandığıdır.

DNS yapılandırması zayıf domain'lerin spam filtreleriyle ilişkisi ayrı bir konu olmakla birlikte, SPF politikasının kalitesi o ilişkiyi doğrudan etkiler. Taklit edilen kurumun kendi SPF kaydını da kontrol edin: meşru kurumun SPF'i doğru yapılandırılmışsa ve -all ile bitiyorsa, o domain adına başka sunuculardan gönderim yapmak SPF başarısızlığına yol açacaktır. Alıcı tarafın bu başarısızlığı DMARC politikasıyla nasıl işlediği ise ayrı bir katman oluşturur.

DMARC ve DKIM Yokluğu Nasıl Sinyal Verir?

DMARC (Domain-based Message Authentication, Reporting and Conformance) kaydı, SPF ve DKIM doğrulamalarının sonucuna göre başarısız e-postalarla ne yapılacağını tanımlar. Meşru kurumsal domain'lerin büyük çoğunluğu bugün en azından p=none düzeyinde bir DMARC politikası yayınlar. Phishing için kurulmuş domain'lerde ise DMARC kaydı çok sık eksik kalır.

DMARC kaydını sorgulamak için:

nslookup -type=TXT _dmarc.suphecidomain.com

Çıktı boş geliyorsa veya "can't find" yanıtı dönüyorsa domain DMARC kullanmıyor demektir. Birçok küçük işletme de DMARC yapılandırmamıştır; bu nedenle tek başına yeterli bir kanıt değildir. Ancak diğer bulgularla bir araya geldiğinde tablo kuvvetlenir.

DKIM (DomainKeys Identified Mail) tespiti biraz farklı çalışır. DKIM anahtarı bir selector (seçici) altında yayınlanır ve bu selector'ı önceden bilmeden doğrudan sorgulamak zordur. Ele geçirilmiş veya şüpheli bir e-postanın başlık kısmındaki DKIM-Signature alanı selector bilgisini içerir. Oradan alınan selector değeriyle:

nslookup -type=TXT selector._domainkey.suphecidomain.com

Sorgusu yapılabilir. Sonuç boşsa DKIM yayınlanmıyor; dolu gelirse anahtarın bit uzunluğu kontrol edilebilir (minimum 1024, tercih edilen 2048 bit).

DMARC yapılandırmasının aşamalı kurulumu meşru kullanımlar için de kritik bir konudur; sahte domain'lerle karşılaştırma yaparken bu temeli bilmek farkı görmeyi kolaylaştırır.

DNS Sorgusuyla Lookalike Tespit Akışı

Elinizdeki şüpheli domain adı için sistematik bir sorgu akışı şu şekilde çalışır. Aşağıdaki sıralama, en hızlı kararı vermenizi sağlayan bir öncelik düzenidir:

1. Domain yaşını kontrol edin. Yeni kayıtlı domain'ler, son 30-90 günde kaydedilmiş olanlar, phishing için daha yaygındır. WHOIS sorgusu bu bilgiyi verir, ancak gizlilik hizmetleri kaydı maskeler. Bununla birlikte kayıt tarihi çoğu zaman görünür kalır.
2. A kaydına bakın. Domain herhangi bir IP'ye çözülüyor mu? Çözülen IP, bilinen kötü amaçlı altyapı listelerinde mi? Bir IP'nin paylaşımlı hosting üzerinde onlarca farklı domain'e hizmet verip vermediğini inceleyin.
3. MX kaydını sorgulayın. Yukarıda açıklandığı şekilde gönderim yapılandırmasını inceleyin.
4. SPF kaydını okuyun. include: direktiflerinin işaret ettiği servislere dikkat edin.
5. DMARC kaydını kontrol edin. _dmarc. alt domain'i altında sorgu yapın.
6. NS (nameserver) kayıtlarına bakın. Domain'in hangi nameserver üzerinde barındırıldığını görün. Belli sağlayıcılar kötüye kullanım kayıtlarıyla daha sık ilişkilendirilir.

Bu akışı bir şüpheli domain üzerinde uyguladığınızda elde ettiğiniz tablo, birden fazla zayıf noktayı yan yana koyar. Tek bir eksik kayıt değil, bir eksiklikler kümelenmesi sizi uyarmalıdır.

Kendi domain'inizin lookalike versiyonlarını düzenli aralıklarla aramak, savunma tarafının önemli bir adımıdır. Marka adınıza yakın, son 90 günde kaydedilmiş domain'lerin MX ve SPF durumu, erken uyarı sağlar.

TTL Değeri ve Kayıt Yaşı: Geçici Altyapının İzleri

TTL (Time to Live), bir DNS kaydının önbellekte ne kadar süre tutulacağını saniye cinsinden belirtir. Kısa TTL sinyali verir. Standart bir kurumsal yapılandırmada TTL genellikle 3600 (1 saat) veya 86400 (1 gün) değerinde olur; ancak phishing altyapısında 300 saniye veya daha az değerlerle karşılaşılabilir; bu, saldırganın altyapısını sık değiştirmeye hazırlandığına işaret eder.

Saldırganlar IP değiştirerek kara liste atlatmayı ya da kapanma riski taşıyan sunucuları hızla değiştirmeyi hedefler. Kısa TTL bu stratejinin teknik ayak izidir. Yalnızca kısa TTL, phishing kanıtı sayılmaz; birçok meşru servis de dinamik altyapı için düşük TTL kullanır. Yeni kayıtlı bir domain'de kısa TTL ile MX veya DMARC eksikliğinin aynı anda bulunması ise farklı bir hikaye anlatır.

Kayıt yaşını TTL ile karıştırmamak gerekir. Kayıt yaşı WHOIS'tan alınan ve domain'in ne zamandan beri var olduğunu gösteren bilgidir; TTL ise DNS önbellek süresidir. İkisini birlikte değerlendirin: hem yeni kayıtlı hem de kısa TTL'li bir domain, aktif bir kampanyanın büyük olasılıkla devam ettiğine işaret eder.

Domain portföy yönetimi konusunda savunma odaklı çalışan ekipler, kendi marka adlarına yakın domain'lerin kayıt takibini düzenli yaparak bu sinyalleri erken yakalayabilir. Yeni kayıtlı lookalike domain'leri tespit etmek, aktif bir phishing kampanyasını başlamadan önce fark etme şansı verir.

Meşru Altyapı Referansı: Karşılaştırma Değeri

Şüpheli bir domain'i analiz ederken referans alınacak nokta, taklit edildiği düşünülen kurumun gerçek DNS yapılandırmasıdır. Meşru bir kurumsal e-posta altyapısı tipik olarak şunları içerir:

• Birden fazla öncelik değeriyle tanımlanmış MX kayıtları
• Sınırlandırılmış ve -all ile biten SPF politikası
• Aktif bir DKIM selector ve yeterli anahtar uzunluğu (minimum 1024 bit, tercihen 2048 bit)
• En az p=none seviyesinde DMARC kaydı ve raporlama adresi

Microsoft 365 için MX ve SPF yapılandırması veya Google Workspace için DNS kayıt kurulumu gibi konular, meşru altyapının nasıl görünmesi gerektiğini detaylıca gösterir. Bu referans noktasını bilerek sahte domain'e baktığınızda farklar çok daha hızlı göze çarpar.

Karşılaştırma yaparken şunu da göz önünde bulundurun: saldırgan bazen meşru bir e-posta servisi üzerinde hesap açarak gönderim yapabilir. Bu durumda SPF veya DKIM geçebilir; ancak gönderici alanındaki domain adresinin hedef kurumun adına benzeyip benzememesi, alıcının gözünden kaçabilecek asıl tuzaktır. DNS kontrolü burada sizi doğrulama kirliliğinden değil, domain kimliği sahteciliğinden korur.

Phishing DNS analizinin bir sınırı vardır. DNS sorgulaması, mevcut bir kampanyanın teknik izlerini görmenizi sağlar; ancak saldırganın niyet kanıtını vermez. Bir domain'in kötü yapılandırılmış olması onun phishing amacıyla kurulduğunu kesin olarak göstermez; küçük işletmelerin DNS kayıtları da zaman zaman eksik kalır. Asıl değer, tek bir sinyalde değil, birden fazla tutarsızlığın aynı anda bulunmasındadır.

Teknik tespiti raporlamak için domain kayıt şirketlerine ve ilgili güvenlik birimlerine bildirim yapılabilir. Bulguları belgelerken sorgu çıktılarını zaman damgasıyla kaydedin; DNS kayıtları değişkendir ve birkaç saat sonra aynı sonuçla karşılaşmayabilirsiniz.

Kendi domain'inizin DNS yapılandırmasını eksiksiz tutmak, sizi taklit etmek isteyen saldırganların işini güçleştirir. SPF ile kimlerin göndereceğini tanımlamak, DMARC ile başarısız gönderimler için politika belirlemek ve bunu düzenli kontrol etmek bu güçlüğü artırır. Savunma ile tespit birbirini tamamlar; kendi altyapınızı doğru okumak, sahte olanı tanımayı da kolaylaştırır.