DNS Amplification Saldırısı Nedir, Nasıl Önlenir?

DNS Amplification Saldırısı Nedir?

DNS amplification saldırısı, siber saldırganların açık DNS sunucularını kullanarak küçük boyutlu DNS sorgularını çok daha büyük DNS cevaplarına dönüştürdüğü ve bu büyük boyutlu trafiği hedef sisteme yönlendirdiği bir Dağıtık Hizmet Engelleme (DDoS) saldırı türüdür. Bu saldırıda saldırgan, kaynak IP adresini hedef sistemin adresiyle değiştirir (spoofing) ve DNS sunucularından gelen büyük yanıtlar doğrudan hedefe akar. Böylece nispeten düşük bant genişliğiyle, hedefin bant genişliğini hızla tüketmek mümkün olur.

DNS Amplification'ın Temel İşleyişi

Bu saldırı türünde, saldırgan önce internet üzerinde açık recursive DNS sunucuları tespit eder. Ardından, hedefin IP adresini kaynak olarak gösteren çok sayıda DNS sorgusu gönderir. Bu sorgular genellikle ANY tipi gibi büyük cevap üreten sorgulardır. DNS sunucusu, cevap paketini hedef IP'ye yansıtır. Böylece, saldırganın gönderdiği küçük veri paketleri hedef sisteme çok daha büyük veri olarak ulaşır. Amplification (büyütme) oranı, bu saldırıyı DDoS içinde etkili ve tehlikeli hale getirir.

DDoS Saldırıları Arasındaki Yeri

DNS amplification, UDP tabanlı ve yansıtmalı (reflection) bir saldırı olduğu için, uygulama katmanından ziyade ağ (network) ve taşıma (transport) katmanlarında ciddi yük oluşturur. Özellikle internet altyapısında açık recursive DNS sunucularının yaygınlığı, bu saldırıların etkili olmasını sağlar.

DNS Amplification Saldırısının Belirtileri ve Zararları

Saldırı Anında Gözlenen Trafik Artışları

DNS amplification saldırısı sırasında, hedef sunucunun veya ağın bant genişliğinde aniden ve orantısız bir artış gözlenir. Trafik hacmi kısa sürede normalin onlarca katına çıkabilir. Ağ yöneticileri bu dönemde özellikle UDP 53 portuna gelen yoğun trafiği fark eder.

Web Siteleri ve Sunucular Üzerindeki Etkiler

Bu saldırılar; web sitelerinin, uygulama sunucularının veya tüm ağ altyapısının yavaşlamasına, yanıt veremez hale gelmesine veya tamamen erişilemez olmasına neden olabilir. Yoğun bir DNS amplification saldırısı, sadece hedef sunucuyu değil, aynı ağı paylaşan diğer servisleri de etkileyebilir.

DNS Amplification Saldırılarında Kullanılan Yöntemler

Açık Recursive DNS Sunucuları

Saldırganlar genellikle internetten erişilebilen ve kimlik doğrulama istemeyen (açık) recursive DNS sunucularını kullanır. Bu sunucular, herhangi bir kaynağa gelen sorgulara cevap verdikleri için saldırılar için uygun araç görevi görür.

IP Sahteciliği ve Trafik Yansıtma

Saldırının temelinde IP spoofing yer alır. Saldırgan, DNS sorgularında kaynak IP olarak hedefin adresini kullanır. Böylece yanıtlar doğrudan hedefe yönlendirilir. Reflection (yansıtma) tekniğiyle, saldırganın gerçek adresi gizli kalır ve saldırı trafiği dağıtılmış olur.

DNS Amplification Saldırısı Nasıl Önlenir?

DNS Sunucusu Güvenlik Ayarları

• Açık recursive DNS sunucularının internetten erişime kapatılması ya da yetkisiz sorgulara yanıt vermemesi sağlanmalıdır.
• Rate limiting (oran sınırlama) ile bir IP'den gelen sorgu sayısı sınırlandırılabilir.
• Gereksiz DNS sunucuları devre dışı bırakılmalı, sadece gerekli olanlar yayında tutulmalıdır.

Ağ Katmanında Alınabilecek Önlemler

• Firewall ve router üzerinde UDP 53 portunda gelen trafiğin izlenmesi ve kısıtlanması mümkündür.
• Şüpheli ve beklenmeyen DNS trafiği tespit edildiğinde otomatik uyarı veya engelleme uygulanabilir.

Kaynak IP Sahteciliğini Engelleme (BCP 38)

Network Ingress Filtering olarak bilinen BCP 38 önerisi, internet servis sağlayıcılarının kendi ağlarından çıkan paketlerin kaynak IP adreslerini doğrulamasını ve sahte kaynak IP ile gelen trafiği engellemesini önerir. BCP 38 yaygın olarak uygulanırsa, DNS amplification gibi reflection saldırılarının etkisi ciddi şekilde azalır.

Güçlü DDoS Korumasının Rolü

DDoS Flood Saldırılarına Karşı Trafik Filtreleme

DNS amplification saldırıları, büyük hacimli trafik ürettiği için geleneksel firewall çözümleriyle tamamen engellenemeyebilir. Trafiğin analiz edilip zararlı DNS flood paketlerinin filtrelenmesi, saldırının etkisini azaltmada önemli rol oynar.

Otomatik Saldırı Algılama ve Müdahale

Modern DDoS koruma sistemleri, anormal trafik paternlerini otomatik olarak algılar ve saldırı başladığında devreye girerek hedefi korumak için filtreleme uygular. Bu sayede hizmet kesintilerinin önüne geçilebilir.

Sıkça Sorulan Sorular ve Yanlış Bilinenler

DNS Amplification ile Diğer DDoS Saldırıları Arasındaki Farklar

DNS amplification saldırısı, reflection (yansıtma) ve amplification (büyütme) özellikleriyle klasik volumetrik DDoS saldırılarından ayrılır. Saldırganlar, çok daha az kaynakla yüksek hacimli trafik oluşturabilir ve hedefi zor durumda bırakabilir.

WAF Çözümleri ve DNS Saldırıları Hakkında

Web Application Firewall (WAF) çözümleri, uygulama katmanındaki (ör. SQL injection, XSS) saldırıları hedef alır. DNS amplification ise ağ ve taşıma katmanında gerçekleşir; bu nedenle WAF sistemleri bu tip saldırılara karşı etkili değildir. DNS amplification saldırılarına karşı ağ seviyesi DDoS koruması gereklidir.

DNS amplification gibi hacimsel DDoS saldırılarına karşı proaktif koruma için DDoS Koruma hizmetimizi inceleyebilirsiniz. Güncel tekniklerle trafik filtreleme ve 7/24 izleme desteği sunulmaktadır.