Alt Alan Adı Ele Geçirme: Siber Güvenlikte Kritik Zafiyetler ve Savunma Stratejileri

Bu blog yazısında alt alan adı ele geçirme zafiyetlerini, CNAME kayıtlarını ve savunma stratejilerini derinlemesine inceleyeceğiz. Siber güvenlikte riskleri anlamak için kritik bilgileri öğrenin.

Giriş ve Konumlandırma

Alt Alan Adı Ele Geçirme: Siber Güvenlikte Kritik Zafiyetler ve Savunma Stratejileri

Siber güvenlik alanında, "alt alan adı ele geçirme" (subdomain takeover) önemli ve sıklıkla göz ardı edilen bir zafiyet türüdür. Bu zafiyet, bir organizasyonun kontrolleri altındaki bir alt alan adının (subdomain) sahipsiz hale gelmesi durumunda ortaya çıkar. Ele geçirilmiş bir alt alan, yalnızca basit bir URL değil; aynı zamanda kötü niyetli bir aktör için ciddi bir güvenlik açığıdır. Alt alan adının kontrolünü alan, hedef kurumsal ağ üzerinde farklı siber saldırılar gerçekleştirebilir ve bu durum, kurumsal itibarın yanı sıra veri güvenliğini de tehdit eder.

Zafiyetin Önemi

Alt alan adı ele geçirme zafiyetinin önemini anlamak için, öncelikle bu zafiyetin nasıl ortaya çıktığını bilmek gereklidir. Bir subdomain, genellikle CNAME (Canonical Name) kayıtları aracılığıyla belirli bir alan adına veya bulut hizmet sağlayıcısına yönlendirilir. Eğer bir subdomain, yasal olan alan adı altında var olup, bağlı olduğu kaynak silindiyse, DNS üzerinde "boşta" veya "asılı" kalır. Bu durumda, kötü niyetli kişiler bu subdomain'i ele geçirerek, sahipsiz kaynağın yönetimini alabilir.

Örneğin, silinmiş bir Amazon S3 Bucket için alt alan adı "files.example.com" gibi bir kaynak hala DNS kayıtlarında bulunuyorsa, bu CNAME kaydı kötü niyetli bir kişi tarafından ele geçirilebilir. Potansiyel etkileri arasında veri çalma, kimlik avı saldırıları düzenleme ya da kurumsal sisteme yetkisiz erişim sağlama gibi senaryolar yer alır.

Keşif ve Hedefleme

Bir siber güvenlik uzmanı veya pentester, alt alan adı ele geçirme zafiyetlerini keşfetmek için çeşitli araçlar ve teknikler kullanmaktadır. Hedeflenen subdomain'lerin CNAME kayıtları sorgulanarak, bu kayıtların hâlâ geçerli bir kaynağa mı, yoksa sahipsiz bir kaynağa mı işaret ettiği tespit edilir. Bu aşamada kullanılan bazı yaygın komutlar ve yöntemler şunlardır:

dig CNAME dev.target.com +short

Bu komut, dev.target.com alt alan adının CNAME kaydını sorgulayarak nereye yönlendirildiğini gösterir. Yanıt olarak, eğer bir hata mesajı veya 404 Not Found gibi bir çıkış alırsanız, bu durum subdomain’in sahipsiz olabileceğine işaret eder. Burada dikkat edilmesi gereken bir diğer kritik nokta ise, bu tür kayıtlarda ortaya çıkan "hata parmak izleri"dir. Hata mesajları, kullanılan bulut servis sağlayıcıları hakkında önemli bilgiler sunar. Örneğin, "NoSuchBucket" mesajı, Amazon S3 üzerinde silinmiş bir kaynak olduğunu gösterirken, "There isn't a GitHub Pages site here" mesajı GitHub üzerinde silinmiş bir proje hakkında bilgi verir.

Savunma Stratejileri

Alt alan adı ele geçirme zafiyetlerine karşı alınabilecek önlemler arasında en kritik olanı, düzenli DNS kaydı temizliği ve yönetimidir. Bir organizasyonun, DNS kayıtlarını güncel tutması ve kullanmadığı alt alan adlarını silmesi büyük önem taşır. Ayrıca, düzenli olarak gerçekleştirilen güvenlik taramaları ile mevcut subdomain’lerin durumunu kontrol etmek, erken tespit ve müdahale imkanı sunar.

Bunun yanı sıra, otomatik araçlar kullanarak potansiyel zafiyetlerin izlenmesi de önerilmektedir. Örneğin, "Subjack" gibi araçlar, belirli bir dizi CNAME kaydını tarayarak, ele geçirilecek sahipsiz subdomain’leri tespit etme yeteneğine sahiptir.

subjack -w subs.txt -t 100 -v -ssl

Sonuç olarak, alt alan adı ele geçirme zafiyeti, hem teorik hem de pratik açıdan dikkate alınması gereken bir konudur. Siber güvenlik alanında yetkin profesyoneller için bu zafiyetin anlaşılması, potansiyel tehditlerin önlenmesi ve korunma stratejilerinin geliştirilmesi açısından hayati önem taşır. Bu bağlamda, alt alan adı ele geçirme tekniklerini ve savunma stratejilerini iyi bir şekilde anlamak, daha güçlü bir güvenlik altyapısı oluşturmanın temelini atmaktadır. Bu yazının devamında, alt alan adı ele geçirme zafiyetinin çeşitli aşamaları ve detaylı savunma yöntemleri ele alınacaktır.

Teknik Analiz ve Uygulama

Keşif: CNAME Kayıtlarını İzleme

Alt alan adı ele geçirme (subdomain takeover), genellikle CNAME kayıtlarının yönetimindeki hatalar nedeniyle ortaya çıkar. Bu kayıtların yönlendirdiği kaynakların durumu, potansiyel zafiyetlerin belirlenmesi için ilk adım olarak kullanılabilir. Bir alt alan adının hangi hedefe yönlendirildiğini anlamak için, DNS sorguları aracılığıyla CNAME kayıtlarını kontrol etmemiz gereklidir. Bunun için dig komutunu kullanabiliriz.

dig CNAME dev.target.com +short

Bu komut, dev.target.com alt alan adının yönlendirdiği hedefi gösterir. Eğer hedef, aslında silinmiş bir kaynak veya aktif olmayan bir servis ise, bu durum alt alan adının ele geçirilmesi için bir fırsat yaratabilir.

Hata Parmak İzleri (Fingerprinting)

Bir alt alan adının sahipsiz olup olmadığını belirlemenin en etkili yöntemlerinden biri, yönlendirilmiş olduğu servisten dönen hata mesajlarını incelemektir. Farklı servislerin hata mesajları, ele geçirme potansiyeli taşıyan durumları keşfetmemize yardımcı olur. Örneğin, Amazon S3'te bir bucket silindiğinde, "NoSuchBucket" mesajı döner.

Bu tür mesajlar, hangi servislerin potansiyel olarak ele geçirilme riski taşıdığını belirlememize olanak tanır. Örneğin, şu hata mesajlarını izleyerek özel bilgiler çıkarımında bulunabiliriz:

GitHub Pages: "There isn't a GitHub Pages site here" - Proje silinmiş.
Azure/Heroku: "404 Not Found" - Uygulama isminin boşta olduğu.

Zafiyetin Tanımı

Alt alan adı ele geçirme, bir kuruluşun yasal alt alan adından sahipsiz bir kaynağı devralarak kontrol sağlama eylemi olarak tanımlanabilir. DNS kayıtlarında "dangling" olarak adlandırılan, artık var olmayan bir kaynağa işaret eden veya düzgün yönlendirilmemiş kayıtlar bu tür zafiyetleri ortaya çıkarır.

HTTPX ile Toplu Fingerprinting

Yüzlerce alt alan adı içinden hangilerinin "takeover" riski taşıdığını anlamak için httpx aracı kullanabiliriz. Bu araç, bir liste halinde verilen URL'lerin HTTP yanıt başlıklarını ve içerik parmak izlerini tarar. Aşağıdaki komut, subs.txt dosyasındaki alt alan adlarını taramak için kullanılabilir:

httpx -l subs.txt -probe -status-code

Bu komut, her bir alt alan adına HTTP istekleri gönderecek ve yanıt kodlarını döndürecektir. Yanıt kodları ile birlikte alınan hata mesajları, ele geçirilebilecek alt alan adlarını belirlemek için kritik öneme sahiptir.

Kritik Terim: Dangling

Siber güvenlik bağlamında "dangling", silinmiş ya da artık var olmayan bir kaynağa işaret eden DNS kayıtlarını ifade eder. Bu kayıtlar sistemde asılı kalır ve potansiyel saldırganlar için bir hedef oluşturur.

Subjack ile Otomatik Tarama

Subjack, CNAME kayıtlarını bilinen bulut hizmetleri ile karşılaştırarak, alt alan adı ele geçirme zafiyetlerini tarayan genel bir araçtır. Aşağıdaki komut ile kullanılabilir:

subjack -w subs.txt -t 100 -v -ssl

Bu komut, subs.txt dosyasında yer alan alt alan adlarını tarar, zafiyet olup olmadığını kontrol eder ve sonuçları gösterir. Eğer "Vulnerable" (Zafiyet var) rapor edilirse, bu durumu manuel olarak doğrulamak önemlidir.

Manuel Doğrulama (Proof of Concept)

Automatik tarama araçları bazen yanlış pozitif verebileceğinden, doğrulama süreci kritik önem taşır. Belirtilen serevisten aynı isimle bir kaynak oluşturarak, ele geçirilme durumunu test edebilirsiniz. Bu işlem, "Proof of Concept" (PoC) olarak adlandırılır ve başarıyla sonuçlandığında, alt alan adının gerçekten ele geçirilebileceğine dair güçlü bir dayanak sunar.

Savunma Stratejileri

Alt alan adı ele geçirme zafiyetini önlemek için aşağıdaki stratejilerin uygulanması önerilmektedir:

DNS Kayıt Temizliği (Hygiene): Silinen kaynakların DNS kayıtlarının da silinmesi sağlanmalıdır.
Sürekli İzleme: DNS kayıtlarını ve IP değişikliklerini sürekli izleyen sistemler kullanmak.
Merkezi Envanter Kullanımı: Kullanılan tüm bulut varlıklarının kayıt altına alınması ve düzenli güncellemelerle yönetilmesi gereklidir.
Aşırı Güvenlik İlkeleri: Asla güven ile yaklaşmamak ve her zaman verilerin doğruluğunu kontrol etmek esastır.

CyberFlow Altın Kural

Siber güvenlikte en öncelikli prensip, "Asla güvenme, her zaman doğrula" yaklaşımıdır. Bu prensip, kullanıcı girdilerinden kaynaklanan zafiyetleri en aza indirir ve sistemin güvenliğini artırır. Kayıtların düzenli olarak kontrol edilmesi ve potansiyel zafiyetlerin takip edilmesi, başarılı bir siber savunma stratejisinin anahtarıdır.

Risk, Yorumlama ve Savunma

Riskler ve Yorumlama

Alt alan adı ele geçirme (subdomain takeover) tehdit modeli, özellikle siber güvenlik bağlamında giderek daha fazla dikkate alınması gereken bir mesele olarak ön plana çıkmaktadır. Ele geçirme olayları genellikle bir kuruluşun DNS kayıtlarının hatalı yapılandırması ya da kullanılmayan kaynakların zamansız silinmesi gibi durumlarla ilişkilidir. Sorunun temelinde, CNAME gibi kayıtların boştaki veya silinmiş kaynaklara işaret etmesi yatar. Bu noktada, siber güvenlik profesyonellerinin dikkatle incelemeleri gereken bir dizi gösterge ve risk vardır.

Yanlış Yapılandırma ve Zafiyetler

Bir subdomain’in CNAME kaydını sorgulayarak nereye işaret ettiğini belirlemek, yanlış yapılandırmaları tespit etmenin ilk aşamasıdır. Örneğin, dev.target.com alan adı için bir CNAME kaydı kontrol edildiğinde:

dig CNAME dev.target.com +short

Elde edilen sonuç, potansiyel zafiyetleri ve ele geçirilebilecek kaynakları işaret edebilir. Eğer kayıt, var olmayan bir bulut kaynağına işaret ediyorsa, bu durum sahipsiz bir alanın olduğunu gösterir. Bu, saldırganların o alan adı üzerinde tam kontrol elde etmesine olanak tanır. Genelde, sahipsiz kalan kaynakların göstergeleri arasında hata mesajları yer almaktadır.

Örneğin, Amazon S3'te "NoSuchBucket" hata mesajı şu anlama gelir:

Amazon S3 - Depolama alanının silindiğini ama DNS kaydının durduğunu mühürler.

Bu hata mesajı, DNS yapılandırmasının düzenlenmemiş olduğunu veya temizlik yapılmadığını gösterir. Benzer şekilde, GitHub Pages üzerinde "There isn't a GitHub Pages site here" mesajı, belirli bir alanın silinmiş olduğunu ve tekrar kullanılabileceğini belirtmektedir.

Sızan Veriler ve Servis Tespiti

Alt alan adı ele geçirme senaryolarında en kritik varlık, sızan verilerdir. Ele geçirilen bir subdomain, sadece bir web sitesi değil, aynı zamanda bir güven köprüsüdür. Saldırganlar, kullanıcıların bu alt alan adı üzerinden giriş yapmalarını sağlamak için sahte sayfalar oluşturabilirler. Bu bağlamda, sızan verilerin türü ve hangi servislerin etkilendiği konuları büyük önem arz etmektedir.

Siber güvenlik bağlamında bu tür durumları tespit etmek için HTTP yanıt başlıkları ve içerik parmak izleri taranmalıdır. Örneğin:

httpx -l subs.txt -probe -status-code

Bu komut, alt alan adı listesi üzerinden olası ele geçirme durumlarını tespit etmede yardımcı olur. Herhangi bir "vulnerable" (zafiyet var) sonucu alındığında, bu sonucun manuel olarak doğrulanması gerekmektedir.

Savunma Stratejileri

Ele geçirme riskinin önlenmesi için bir dizi savunma stratejisi uygulanmalıdır:

DNS Kayıt Temizliği: Kullanılmayan veya silinmiş kaynakların DNS üzerindeki kayıtlarının kaldırılması.
Sıkı Envanter Takibi: Tüm bulut varlıklarının merkezi bir envanterde izlenmesi, böylece hangi kaynakların aktif ve hangi kayıtların pasif olduğu belirlenebilir.
Dangling Kayıt Yönetimi: Kullanıcıların CNAME ve diğer kayıtları üzerinde yanlış yapılandırma ve lazer gibi "dangling" yani boşta kalan DNS kayıtlarını düzeltecek bir sistem geliştirilmelidir.
Otomatik İzleme Araçları: Amass gibi araçlarla DNS kayıtlarının ve IP değişikliklerinin sürekli izlenmesi ve güncellenmesi, varsayılan durumların gözden geçirilmesi açısından kritik önem taşır.
Eğitim ve Farkındalık: Manuel doğrulamaların yanı sıra ekiplerin sürekli olarak siber güvenlik konularında eğitilmesi, bu tür tehditlerle mücadelede etkili bir yöntemdir.

Sonuç

Alt alan adı ele geçirme riski, siber güvenlikte göz ardı edilmemesi gereken bir durumdur. Yanlış yapılandırmalar ve pasif durumlar, kuruluşların büyük veri sızıntıları ve güvenlik ihlalleri ile karşı karşıya kalmasına neden olabilir. Yukarıda belirtilen savunma stratejileri ve düzenli analizlerle, bu tür zafiyetlerin önlenmesi mümkün hale gelecektir. Siber güvenlik profesyonellerinin, sistemlerin ve kayıtların düzenli bir şekilde izlenmesini sağlamak için gerekli adımları atmaları gerekmektedir.