DNS zehirlenmesi (DNS cache poisoning)

DNS zehirlenmesi nedir?

DNS zehirlenmesi (DNS poisoning veya cache poisoning), bir DNS çözümleyicisinin önbelleğine sahte kayıt yerleştirilerek kullanıcıların bir alan adı için yanlış IP adresine yönlendirilmesidir. Kullanıcı doğru adresi yazsa bile saldırganın sunucusuna ulaşır.

Saldırı kullanıcının cihazına dokunmadan, alan adı çözümleme sürecine müdahale ederek çalışır. Sahte sayfa gerçeğine benzetildiğinde kimlik avı ve parola hırsızlığı için kullanılabilir.

Nasıl çalışır?

Çözümleyiciler, aldıkları yanıtları belirli süre önbellekte tutar. Saldırgan, çözümleyici bir sorgu gönderdiğinde ona gerçek yanıttan önce sahte bir yanıt ulaştırabilirse, sahte kayıt önbelleğe girer. Sonraki tüm kullanıcılar süre dolana kadar sahte adrese yönlendirilir.

Sorgu kimliklerinin ve kaynak portlarının rastgele seçilmesi bu saldırıyı zorlaştırır. DNSSEC ise yanıtların imzayla doğrulanmasını sağlar.

Sunucu ve hosting ortamında

Kendi DNS sunucunuzu çalıştırıyorsanız çözümleyicinizi güncel ve doğru yapılandırılmış tutmanız gerekir. Alan adı sahibi olarak ise DNS kayıtlarınızı barındıran hesabın ve kayıt şirketi paneliniz güvenliğini sağlamalısınız; çünkü doğrudan kayıtları değiştirmek en kolay yoldur.

• Açık (herkese hizmet veren) özyinelemeli çözümleyiciler hem zehirlenmeye hem de DDoS yansıtmasına karşı risklidir.
• DNS yönetim hesaplarında iki aşamalı doğrulama kullanın ve kayıt kilidi (registrar lock) özelliğinden yararlanın.

Nasıl korunulur?

• DNS yazılımını güncel tutun ve kaynak port rastgeleleştirmesini devre dışı bırakmayın.
• Alan adınız için DNSSEC imzalamayı değerlendirin; çözümleyicinizde doğrulamayı etkinleştirin.
• Özyinelemeli çözümlemeyi yalnızca kendi istemcilerinize açın.
• Alan adı kayıt şirketi ve DNS hesabını iki aşamalı doğrulama ile koruyun.
• DNS kayıtlarınızdaki değişiklikleri izleyin ve uyarı alın.
• Tüm hizmetlerde HTTPS kullanın; yanlış yönlendirilen kullanıcı geçersiz sertifika uyarısı görsün.

Sık yapılan hatalar

• Herkese açık özyinelemeli DNS sunucusu çalıştırmak.
• DNS ve alan adı hesabını zayıf parolayla korumak.
• DNS kayıt değişikliklerini izlememek.
• Eski, güncellenmemiş DNS yazılımı kullanmak.