Açıklıklar ve Tehditler
Hatalı veya güncel olmayan DNS kayıtları saldırganlara kuruluşların e-posta sistemleri üzerinde şaşırtıcı güçler verebiliyor.
Nate Nelson, Katkıda Bulunan Yazar
Alan adı sistemi DNS kayıtlarındaki basit ihmaller, devlet kurumlarını her türlü taklit, casusluk ve benzeri risklere açıyor.
SH Consulting kurucusu Alex Shakhov’un 25.000’den fazla devletle ilgili alan adı üzerinde yaptığı yeni araştırmada, DNS kayıtları yanlış yazılmış, süresi dolmuş ya da başka şekilde yeniden kullanılmış alan adlarına referans veren onlarca alan adı bulundu. Sayıları az olsa da bu açıklar ABD’deki kasaba, şehir, ilçe, düzenleyici kurullar ve benzeri pek çok kurumu kapsıyor.
Hatalı kayıtların birçoğu saldırganların ele geçirebileceği ya da zaten ele geçirdiği alan adlarına işaret ediyor. Hatanın niteliğine göre saldırganlar savunmasız devlet kurumları adına e-posta gönderebilir ya da alabilir, DNS kayıtlarını yeniden yapılandırabilir, güvenlik kayıtlarını okuyabilir ve daha fazlasını yapabilir.
Shakhov Dark Reading’e şunları söyledi: “DNS’teki yazım hataları çok tehlikelidir, çünkü teknik olarak kuruluş, sistemlerine kimse girmeden hacklenmiş olur. Yıllardır kurulmuş bir itibara sahip bir alan adınız var. DNS’e istediğiniz IP’leri koyarsınız, bir e-posta sunucusu kurarsınız ve o itibar ile kullanıcıların güvenini sömürerek e-posta gönderirsiniz. Bu saldırılar tespit edilmesi çok zordur, çünkü saldırganlar hiçbir şeyi kırmadı. Sadece DNS’te kimsenin varlığından haberi olmadığı bir alan adı kaydetti.”
Tek bir alan adı yazım hatası saldırganların içeri girmesine nasıl olanak tanır
Bir web sitesinin güvenliği için DNS kayıtlarından daha önemli bir şey yoktur. Bu kayıtlar sitenin IP alanında nerede yaşadığına dair talimatları içerir A/AAAA, alan adı CNAME, e-postanın nasıl işleneceği MX, TXT ve bunların ilk etapta kimin karar verdiği NS. Sonuçta bu, düz metin halinde herkesin görebileceği tamamen açık bir bilgi kümesidir. Bu talimatların herhangi birindeki basit bir yazım hatası şaşırtıcı derecede ciddi sonuçlar doğurabilir.
Livingston County, Michigan ve Pikeville şehri, Kentucky’yi ele alalım. Bu iki kamu kuruluşunun günlük e-posta ihtiyaçları için Amazon’un Simple Email Service SES hizmetini yetkilendirmiş görünüyor ve bu nedenle TXT kayıtları bunu güvenilir üçüncü taraf sağlayıcı olarak gösteriyor. Listelenen alan adlarında ise yazım hataları var: “amzonses[.]com” ve “amasonses[.]com”. Bu hatalar sayesinde söz konusu kurumlar e-postaları kendi adlarına Amazon dışı bir kuruluşa gönderme izni vermiş oldu.
Peki bunun amacı ne? Shakhov iki kurumun Sender Policy Framework SPF izin listelerini kontrol ettiğinde Pikeville’in 75 IP adresini, Livingston’ın ise resmi alan adları adına posta göndermeye yetkili 32.000’den fazla farklı IP adresini listelediğini buldu. Bunun sonucunda Pikeville’in resmi devlet alan adı URI kara liste sitesi URIBL’de yer aldı ve Shakhov “alan adının kötüye kullanım için hâlâ kullanıldığı varsayımı makul” değerlendirmesinde bulundu.
Livingston County örneğinde “dahil edilen” SPF listesi 2021’den bu yana her üç ila sekiz günde bir döndürülüyordu. Bu durum saldırganın “snowshoe” operasyonu gerçekleştirdiğini gösteriyordu: yeni gönderim IP’lerine geçmek, istenmeyen ya da kötü amaçlı e-postalar göndermek ve bu IP’ler kötü bir itibar kazandığında yenileriyle değiştirmek.
Bu bilgiler tek başına saldırganların Livingston County e-posta alan adını kötüye kullandığını ya da ne kadar kullandığını kanıtlamıyor. Ancak kullanabileceklerini kanıtlıyor. Shakhov bu ihlalin arkasındaki aktörü, süresi dolmuş CNAME kayıtları sayesinde Oracle ve CNN Money gibi büyük şirketlerin web sitelerinin yanı sıra California Üniversitesi Los Angeles, Davis, San Diego ve Santa Cruz UCLA, UC Davis, UC San Diego ve UC Santa Cruz gibi üniversitelerin ve Connecticut eyalet hükümetinin kötüye kullanıldığı daha önce belgelenmiş bir grupla ilişkilendirdi.
Daha fazla DNS hatası devlet kurumlarını açığa çıkarıyor
Neredeyse her DNS kaydı bir yazım hatası içeriyorsa ya da başka bir nedenle yanlış bir alan adına referans veriyorsa kötüye kullanılabilir. Kötüye kullanımın niteliği söz konusu kayda bağlıdır. Saldırganlar sözde “asılı” satın alınabilir bir alan adı kaydettiğinde posta mesajlarını engelleyebilir MX kaydı sorunu varsa, spam içerik sunabilir CNAME veya NS’teyse, SPF ile meşru bir göndericiden geliyormuş gibi kimlik avı yapabilir ya da Domain-based Message Authentication, Reporting and Conformance DMARC üzerinden güvenlik istihbaratı toplayabilir.
Örneğin Idaho’daki Rupert şehrinin web sitesi şu anda komşusu Heyburn’ün eski alan adı heyburnidaho[.]org’a referans veriyor. Bu alan adı kötü niyetli bir aktör tarafından satın alındı ve ad sunucusu NS kayıtları şüpheli kumar sitesine işaret edecek şekilde yeniden düzenlendi. Aktör ayrıca @heyburnidaho.org ekiyle e-posta gönderip alabilmeyi de sağladı.
Daha az ciddi bir maruziyet, saldırganların bir DMARC raporlama alanını ele geçirmesi halinde ortaya çıkabilir. DMARC bir e-posta güvenlik protokolüdür ve TXT kaydının bir parçası posta sunucusuna raporların nereye gönderileceğini söyleyebilir. Bu raporlar bir kuruluşun e-posta altyapısı hakkında hassas bilgiler içerebilir. Shakhov bu tür bilgi hırsızlığı riski altında olan 11 yerel devlet kurumunu tespit etti; bunların arasında Jennings County, Indiana’dan dört ilçe ve kolluk kuvveti kurumu da var.
Bu durumları kullanmak hacker’ların seçebileceği en kolay işlerden biridir. Shakhov açıklıyor: “Saldırganlar sürekli olarak DNS kayıtlarını açıklar ve yanlış yazılmış alan adları için tarar, çünkü birinin altyapısına girmek için en kolay ve en ucuz yollardan biridir.”
“Kök alan adı kayıtları MX, NS, SPF, DMARC, CAA vb. herkes tarafından sorgulanabilir” diye devam ediyor. “Alt alan adlarını bulmak daha zordur, ancak Sertifika Şeffaflığı günlükleri bunların çoğunu ortaya çıkarır. Dolayısıyla saldırganlar DNS’i toplu olarak tarar ve istediklerini alır. Devlet alan adları için bu daha da kolaydır, çünkü taranacak yalnızca yaklaşık 26.000 alan adı vardır ve saldırganlar bunu neredeyse hiç maliyetle günde birden fazla kez yapabilir. CISA .gov alan adlarının tam listesini bile yayınlıyor, böylece saldırganların onları bulmasına gerek kalmıyor.”
Doğru DNS hijyeni nasıl olmalı
Shakhov DNS’in neredeyse yarım asırdır var olmasına rağmen “Kuruluşlarda genellikle DNS yönetiminde sorumlu biri bulunmuyor. Sonuç olarak zamanla önceki satıcılardan kalan süresi dolmuş alan adları, satın almalar ve birleşmeler sonrasında unutulan eski kurumsal alan adları ya da birinin kaydı kopyalayıp yapıştırmak yerine elle yazması nedeniyle oluşan yazım hatalarından oluşan bir mezarlığa dönüşüyor” diye yakınıyor.
Doğru DNS hijyeni için kuruluşların en azından birkaç temel süreçten geçmesi gerektiğini söylüyor. Öncelikle “Yöneticiler ve BT ekipleri DNS kayıtlarını elle yazmayı bırakmalı. Bu yıl taradığımız milyonlarca alan adında SPF ve DMARC kayıtlarında bulduğumuz kayıtlı olmayan alan adlarının %47’si yazım hatasıydı; ya kuruluşun kendi alan adının ya da bir sağlayıcının alan adının hatalı yazımıydı.”
İkinci olarak kuruluşların DNS altyapılarının bir haritasına sahip olması ve her DNS kaydının nereden geldiğini bilmesi gerekiyor. Duruma göre bu söylenenden daha zor olabilir. “Üniversitelerde öğrencilerin bir projeyi GitHub’a koyması ve IT ekibinin bunu üniversite alan adı altında yaşatması için bir CNAME eklemesini istemesi oldukça yaygındır” diye açıklıyor Shakhov. “Öğrenci mezun olur, ancak CNAME kalır. GitHub hesabı terk edilir ve kaldırılır, böylece aynı isimle hesap oluşturan herkes üniversitenin DNS’i altında zaten duran bir CNAME’e sahip olur.”
Kuruluşlar ayrıca saldırganların daha sonra ele geçirmesini önlemek için kendi alan adlarının yanlış yazılmış sürümlerini kaydetmeyi de düşünmelidir.
Ve son olarak “Düzenli DNS denetimleri şarttır” diyor Shakhov. “Çoğu durumda bu, DNS’inizde geçersiz alan adlarını ya da hedefleri tarayan ve bunları işaretleyen basit bir betiktir. Her şeyi güncel tutmak için üç ayda bir DNS incelemesi yapmak hiç de zor olmamıştır.”
