Kurumların çoğunda dışarıya açık kalan tek protokol DNS'tir. Web trafiği vekil sunucudan geçer, e-posta ağ geçidinden geçer, ama bir bilgisayar herhangi bir adı sorduğunda o sorgu bir şekilde internete ulaşır. Saldırganlar bunu bildiği için DNS'i taşıma kanalı olarak kullanır.
Tünel nasıl kurulur?
Saldırgan kendi kontrolündeki bir alan adının yetkili sunucusunu çalıştırır. İçerideki zararlı yazılım çalmak istediği veriyi küçük parçalara böler, her parçayı kodlayıp bu alanın altına bir etiket olarak yazar ve sorar. Örneğin aGVsbG8gd29ybGQ.t.saldirgan.example gibi bir ad. Kurumun çözümleyicisi bu adı bilmediği için sorguyu saldırganın sunucusuna kadar taşır. Cevabın içine de komut yazılır. Böylece hem veri dışarı çıkar hem komut içeri girer.
Tek bir sorgu masum görünür. Sorun, aynı alan altına dakikada yüzlerce, binlerce benzersiz ad sorulmasıdır.
Tüneli ele veren işaretler
- Aynı kayıtlı alan altında çok sayıda, bir daha hiç sorulmayan benzersiz alt alan
- Uzun, rastgele görünen, sözlükte karşılığı olmayan etiketler
- TXT, NULL gibi normal kullanıcı trafiğinde nadir görülen kayıt tipleri
- Cevapların büyük kısmının NXDOMAIN olması
- Tek bir istemciden gelen, saatlerce süren düzenli sorgu akışı
Akrabaları: DGA ve rastgele alt alan saldırıları
Bazı zararlı yazılımlar komuta sunucusunun adını her gün bir algoritmayla yeniden üretir (DGA). Engel listesine giren ad ertesi gün geçersiz olur. Bu adlar da rastgele görünür, ama tünelden farklı olarak kayıtlı alan adının kendisi rastgeledir.
Rastgele alt alan saldırısında ise amaç veri kaçırmak değil, hedef alanın yetkili sunucusunu boğmaktır. Saldırgan var olmayan binlerce alt alan sorar; her biri önbellekte bulunmadığı için doğrudan hedefe gider.
NameDefence bunları nasıl yakalar?
Defender her sorguyu, cevap dönmeden önce değerlendirir. Tünel tespiti aynı alan altındaki benzersiz ad sayısına, etiket uzunluğuna ve karakter dağılımına bakar. DGA tespiti kelime listesi ve dil modeliyle bir etiketin anlamlı kelimelerden mi oluştuğunu yoksa makine üretimi mi olduğunu ayırır; böylece "kampanyaindirim" gibi uzun ama gerçek adlar yanlışlıkla engellenmez.
Rastgele alt alan koruması kayıtlı alan başına tüm kaynakları birlikte sayar. Eşik ve NXDOMAIN oranı aşıldığında o alan bir süre koruma altına alınır ve sorgular hedefe taşınmaz.
Yakalandıktan sonra ne olur?
Engellenen her sorgu kullanıcı ve bilgisayar adıyla loglanır. Alarm kuralı tetiklenir; isterseniz ServiceNow veya Jira'da bilet açılır, CrowdStrike ya da Microsoft Defender for Endpoint üzerinden cihaz ağdan yalıtılır. Güvenlik ekibi tehdit avı ekranında aynı alana başka kimlerin sorgu attığını tek aramayla görür.
Kısacası
DNS'i kapatamazsınız, ama içinden ne geçtiğini görebilirsiniz. Tünel, DGA ve rastgele alt alan saldırıları DNS katmanında yakalandığında, veri daha ağdan çıkmadan durdurulur.