Bu bir DNS yazısıdır

İnternet’i kullanılabilir hale getiren ve bir anlamda belkemiğini oluşturan DNS (Domain Name Server – Alanadı Sunucuları) saldırganlar için de önemli hedeflerdir.

Aşağıdaki ekran görüntüsünde görülebileceği gibi örnek olarak ele aldığım yerlerden birisi web sayfasını basit port taramalarına karşı korumaktadır. NMAP’in hiç bir parametre kullanılmadan yapılan taramalarda kullandığı 1000 port filtreli durumda ve sadece internet sayfasının hizmet verebilmesi için ihtiyaç duyduğu portlar görece açık.

Filmlerde gösterilenin aksine hackerlar kolay yolu ararlar, bu durumda bu portları filtreleyen güvenlik cihazını atlatmaya uğraşmaktansa daha kolay istismar edebilecekleri saldırı yüzeyleri arayacaklardır. Sistem yöneticisi olarak kapatamadığımız 3 ana nokta, doğal alarak saldırganların başlıca tercihleri olacaktır bunlar;

E-posta hizmeti: Sosyal mühendislik saldırıları için önemli vektörlerdir. E-posta sunucularının doğru konfigüre edilmediği durumlarda ise saldırganlar, kurum e-posta kaynaklarını kullanarak hem üçüncü şahıslara saldırabilir (istenmeyen e-posta gönderimi ve oltalama saldırıları), hem de kurumsal ağ, sistemler ve yapı hakkında bilgi elde edebilirler. 

Web sayfaları (web uygulamaları): Web sayfaları üzerindeki zafiyetleri istismar eden saldırganlar kurum bilgilerini ele geçirebilir, itibar ve para kaybına yol açabilir. 

DNS Tehditleri

Saldırganlar DNS sunucularını kullanarak 4 temel saldırı türünü gerçekleştirebilir.

Bilgi Toplama: Özünde bir saldırı olmasa da hedef hakkında bilgi toplamak geçerli saldırıları belirlemek, planlamak ve yürütmek için önemlidir. Saldırganlar hedefin dışarıya bakan ağını nasıl düzenlediği ve yönettiğini DNS üzerinden bilgi toplayarak anlayabilir.

Hizmet dışı bırakma: Alanadı sunucusuna kapasitesinin çok üstünde talep gönderen saldırganlar hedef DNS sunucusunun iş görmez hale gelmesine neden olabilir.

Sahte kaynaktan talep gönderme: Yanlış ayarlanmış bir alanadı sunucusu başka bir hedefe hizmet dışı bırakma saldırısı düzenlenmek için kullanılabilir. Saldırganların hedef ağdan geliyor gibi düzenleyip göndereceği paketlere cevap veren alanadı sunucusu istemeden karşıdaki sunucuyu hizmet veremez hale getirebilir.

Kayıt yönlendirme: Kurumdan çıkan DNS taleplerini kendi kontrolündeki bir sunucuya yönlendiren saldırgan bu sayede kullanıcıları zararlı içerik barındıran bir siteye veya sosyal mühendislik saldırılarına uygun olarak hazırladığı başka bir siteye yönlendirebilir.

Yukarıda portlarını koruduğunuz bildiğimiz hedefin Alanadı Sunucusuna saldırgan gözüyle bakacak olursak aşağıdaki bilgileri elde edebildiğimizi görebiliriz.

DNSSEC kurulu değil

DNSSEC kullanılmadığı durumlarda saldırganlar DNS trafiğini yakalayıp değiştirebilirler. Aşağıdaki 4 grafik DNSSEC kullanmayan bir sunucuya yönelik düzenlenebilecek etkili bir saldırıyı özetlemektedir.

Adım 1: Kurban tarayıcının adres çubuğuna gitmekistediğimsite.com yazar ve tarayıcı bu sitenin IP adresini tespit edebilmek için DNS sunucusuna bir sorgu gönderir.

Adım 2: DNS sunucusu gerekli bilgilendirmeyi yaparak kurbanı gitmek istediği siteye yönlendirir.

Adım 3: DNSSEC olmamasından faydalanan saldırgan DNS sorgularına müdahale eder.

Adım 4: Kurban gitmekistediğimsite.com adresini yazmasına rağmen farkında olmadan saldırgan tarafından hazırlanmış siteye yönlendirilir.

 Cisco ve Lync kullanımı

Aşağıdaki ekran görüntüsünde görüldüğü gibi örnek olarak ele aldığım şirket Cisco video konferans sistemi olduğunu tahmin ettiğim (vcse. İle başlayan alandı ve 5060/5061 portlarını ipucu olarak değerlendirerek yürüttüğüm bir tahmin) ve Microsoft LYNC’i haberleşme için kullanıyorlar.

İlginç altalanadları

Smtp., test. Vpn. Gibi saldırgan açısından ilgi çekici olabilecek bir kaç altalanadının yanında hedefin kullandığı IP adresleri aralıkları hakkında da bilgi sahibi olduk.

DNS güvenliği konusunda ülke olarak ne durumda olduğumuzu anlamak için 21 Bakanlık DNS sunucuları üzerinde yaptığım çalışmada gördüğüm şunlar oldu;

21 Bakanlık içerisinde;

20 tanesinde DNSSEC kullanılmadığını,

5 tanesinin DNS sunucusunun dışarıdan gelen isteklere cevap verdiği için başka hedeflere karşı hizmet dışı bırakma saldırılarında kullanılabileceğini,

3 tanesinde Microsoft Lync kullanıldığını,

8 tanesinin internet üzerinden telefon görüşmesi yaptığını sadece DNS sorguları aracılığıyla tespit etmek mümkün olmuştur.

DNS güvenliği için öneriler:

Alanadı sunucunuzun güvenliğini sağlamak için kullanabileceğiniz tek bir hap ne yazık ki yoktur. Bilgi güvenliğiyle ilgili diğer bütün konularda olduğu gibi gizlilik, bütünlük ve erişilebilirlik başlıkları ayrı olarak değerlendirilmelidir. Güvenlik seviyesini hızlıca arttırmanızı sağlayacak bazı öneriler şunlar olabilir;

DNS sunucunuz sadece kurumunuza hizmet etmelidir ve DNS sunucunuza sadece yetkisi olanlar erişebilmelidir.

DNS taleplerinin trafiğinin denetlenmesi gereklidir: Bu sayede hem DNS’e gelebilecek saldırıları fark eder hem de  saldırganların DNS tüneli benzeri yöntemlerle kurum dışına veri kaçırdığını tespit edebilirsiniz.

DNS sunucularınız güncel tutulmalıdır: Diğer bütün sistemlerde olduğu gibi DNS yazılımları için güvenlik güncellemeleri ve yamaları yayınlanır, bunların zamanında kurulması çok önemlidir.

DNS sunucunuz üzerinde çalışan servisleri sınırlayın: DNS sunucunuz üzerinde FTP, HTTP, SMTP gibi hizmetleri kaldırmakta fayda var.

GSM Şebekesi Dinlemek

NSA’in dünyanın pek çok ülkesinde cep telefonlarını dinlemek için yürüttüğü “Auroragold Harekatının” gün ışığına çıkmasının şokunu daha yeni atlatırken, Almanya’da bilgi güvenliği alanında faaliyet gösteren bir araştırmacı, dünya genelinde isteyenin telefonları dinleyip SMSleri okumasına imkan sağlayabilen bir zafiyet açıkladı.

Auroragold Harekatı (Operation Auroragold)

NSA’yin Libya’ya askeri müdahalenin yapıldığı 2011 yılında harekat öncesi askeri unsurlara gerekli istihbaratı sağlamak için Libya’nın GSM şebekelerini hacklediği ortaya çıktı. Libya’da yürütülen bu operasyon aslında NSA’yin dünya genelinde GSM şebekelerine erişim sağlayan daha geniş bir harekatın parçası olduğu Edward Snowden tarafından yayınlanan belgelerde görülmektedir.

GSM operatörleri tarafından görüşmelerin gizliliğini sağlamak için kullanılan şifreleme yöntemlerinin de bu operasyon kapsamında NSA tarafından “sabote” edilerek zayıflatıldığı dikkat çekiyor. Yayınlanan belgelerde NSA’yin dünya genelindeki GSM şebekelerinin %70’i (tahmini 985 şebekeden 701 tanesi) hakkında detaylı teknik bilgi topladığı görülmektedir. Toplanan bilgiler daha sonra NSA’yin “sinyal geliştirme” olarak adlandırılan birimine aktarılıp şebeke dinlemeleri için gerekli “çalışmaların” yapılması sağlanmıştır.

Bir NSA sözcüsü bu konuda; “ulusal çıkarları korumak amacıyla ve uluslararası istihbarat gereksinimleri çerçevesinde sinyal işleme operasyonlarının yapıldığı” yönünde bir açıklama yaparak sürecin varlığını teyit etmiştir.

NSA’yin GSM şebekelerinde yaygın olarak kullanılan şifreleme protokolü A5/1’i kırmayı başardığı, yeni ve daha gelişmiş bir şifreleme yöntemi olan A5/3’ü kırmak yerine “Auroragold” operasyonu kapsamında kendi açısından tamamen şefaf hale getirecek yöntemler üzerinde yoğunlaşmıştır.

Yayınlanan gizli belgelerin içinde aşağıdaki dikkat çekicidir;

Görüldüğü üzere Eylül 2009’da NSA A5/3 şifreleme yöntemine saldıracak bir donanımı test etmiştir.

2010 yılına ait aşağıdaki belgede ise NSA mühendislerinin ve analistlerinin 4G şebekesi üzerindeki iletişimi ele geçirebildikleri duyurulmaktadır. (meraklısına: bu belgenin gizliliğinin kaldırılması için belirlenmiş tarih 2032'dir)

 SS7 zafiyeti

NSA tarafından önemli kaynaklar kullanılarak yürütülen bu operasyonlara gerek duymadan da bir saldırganın telefon görüşmelerini dinleyip SMS’leri okuyabilmesi mümkün olabilir.

Gelişmiş GSM şebekeleri de dahil olmak üzere pek çok Telekom altyapısında bulunan SS7 (Signal System 7) sistemi görüşmeleri ve SMSleri yönlendirmek için kullanılmaktadır. 1980’li yıllarda geliştiren SS7 sistemlerinin güvenlik açısından ciddi zafiyetler içerdiği Ağustos ayında Washington Post gazetesinde yayınlanan bir makalede zaten ortaya çıkmıştı. Yazıda SS7 sistemindeki bir zafiyeti istismar eden saldırganların dünyanın herhangi bir yerindeki cep telefonlarının yerini tespit edebildikleri açıklanmıştı.

3G ve 4G şebekelerinin güçlü şifreleme yöntemlerine rağmen şebekelerin altyapısında kullanılan SS7 sistemleri saldırganlara önemli fırsatlar sunmaktadır.

Söz konusu zafiyetin detayları henüz açıklamayan araştırmacılar bu konuda Ocak ayında Almanya’da yapılacak bir konferansta konuşacaklarını belirtiyorlar.

Amerika Sivil Özgürlükleri Birliği (American Civil Liberties Union – ACLU) tarafından bu kunda yapılan bir açıklamada; NSA bünyesinde 4G ve A5/3 gibi gelişmiş teknolojileri araştıran birimlerin olduğu gibi SS7 benzeri daha temel, görece eski ve basit teknolojileri istismar etmek için yöntemler araştıran birimler olabileceğine dikkat çekiliyor.

Ne yapmalı?

Görüldüğü gibi kiminle ne konuştuğumuzu merak edenler sadece istihbarat örgütleriyle sınırlı değil. GSM şebekesinin gittikçe IP tabanlı hale gelerek telefon dünyasından ziyade internet dünyasına kayması hackerların da iştahını kabartmıştır. Yeri gelmişken, bunu kendimizi kandırmayı bırakmak için de bir fırsat olarak görüp elimizdeki cihazların “akıllı telefon” değil, “cep bilgisayarı” olduğunu kabul etmemiz de yerinde olacaktır. Cihazlar bilgisayardır ve bilgisayarlar için geçerli olan bazı güvenlik tedbirleri alınmalıdır. Cihaz güvenliği konusunda bazı ipuçlarını http://www.alperbasaran.com/2014/09/akll-telefon-guvenligi.html adresinden ulaşabileceğiniz yazımda derlemiştim.

Bu yazının genel fikrine daha uygun olarak, kullanıcı ve veri gizliliği için aşağıdaki önerilerde bulunabilirim;

• Konum bilgisini kullanmanız gerekmiyorsa kapatın.
• Yüklediğiniz uygulamaların talep ettiği izinleri düşünün. Basit bir oyunun ve el feneri uygulamasının çağrı yönetimine, mesajlara veya rehbere ulaşması gerekli mi?
• Eposta ile gelenlere dikkat edin: Dediğim gibi, elinizdeki bir bilgisayar ve eposta yoluyla virüs geliyor
• Şifreleme yazılımı kullanın: Telefondaki bilgileri şifreleyen yazılımları kullanabilirsiniz.
• İletişimi şifreleyin: Dikkatli olun, bu tehlikeli olabilir. Görüşmelerinizi ek bir şifreleme katmanından geçirmeniz gerekiyorsa unun için kullanacağınız uygulamanın güvenilir olması çok önemlidir.
• Eski usullere dönün: Öyle ya, bir arkadaşınızla özel bir konu konuşacaksanız bunu yüz yüze yapın. Bahaneyle görüşüp bir de kahve içersiniz.