DNS Amplification Saldırısı Nedir? Yansıtma Taşkınları ve Korunma Yolları

DNS Amplification (DNS Yansıtma ve Büyütme Saldırısı), internet üzerindeki açık özyinelemeli (open recursive) DNS sunucularını istismar ederek küçük sorgulardan onlarca kat büyük veri paketleri üreten ve bu trafiği kurbanın üzerine yönlendiren volümetrik bir DDoS saldırısı türüdür. Saldırgan kendi sistem kaynaklarını tüketmeden, UDP protokolünün bağlantısız yapısından faydalanarak hedef sunucunun ağ erişim hattını ve port kapasitesini gigabitler hatta terabitler seviyesindeki sahte yanıt paketleriyle kilitler.

DNS amplification saldırısı nasıl çalışır: UDP ve yansıtma mimarisi

Saldırının temel mekanizması iki ana zafiyete dayanır: UDP başlıklarında kaynak IP doğrulamasının bulunmaması (IP Spoofing) ve internete açık özyinelemeli DNS sunucularının herkes adına çözümleme yapması. Süreç birbirini izleyen dört aşamada ilerler:

1. Kaynak IP sahteciliği (IP Spoofing)

UDP protokolü, TCP'deki gibi üçlü el sıkışma doğrulaması yapmaz. Bu durum istemcinin paketin kaynak IP başlığına dilediği adresi yazabilmesine yol açar. Saldırgan gönderdiği DNS isteklerinin kaynak adresine kendi gerçek IP'sini değil, hizmetini kesmek istediği hedef kurbanın IP adresini yazar.

2. Açık özyinelemeli (Open Recursive) DNS sunucularının kullanılması

İnternet üzerinde yanlış yapılandırılmış ya da erişim kısıtlaması bulunmayan binlerce DNS sunucusu bulunur. Bu sunucular gelen her sorguyu kabul eder ve yanıtı paketteki kaynak adrese döner. Saldırgan bu sunucuları birer yansıtıcı (reflector) aracı olarak kullanır; böylece saldırının asıl kaynağı gizlenir ve meşru DNS altyapıları saldırı trafiğinin üreticisi konumuna düşer.

3. Çarpan etkisi (Amplification faktörü)

Saldırgan açık sunuculara çok kısa bir sorgu iletir (örneğin 40–60 baytlık bir alan adı isteği). Ancak talep edilen sorgu türü, sunucunun yanıt olarak 3.000 ila 4.000 baytlık devasa bir paket döndürmesini sağlayacak şekilde seçilir. Paket boyutundaki bu 50 ila 70 katlık büyüme oranı, saldırganın 1 Gbps'lik çıkış gücüyle hedefe 50–70 Gbps volümetrik trafik yağdırmasını mümkün kılar.

4. Hedef bant genişliğinin kilitlenmesi

Dünya geneline dağılmış yüzlerce veya binlerce açık DNS sunucusu, hazırladıkları devasa yanıtları aynı anda sahte kaynak olarak gösterilen hedef IP'ye gönderir. Hedef sunucunun internet portu ve bağlı bulunduğu anahtarlama altyapısı bu yoğun veri akışı altında saniyeler içinde doygunluğa ulaşarak meşru kullanıcılara kapılarını kapatır.

EDNS0, DNSSEC ve ANY sorgularının çarpan etkisindeki rolü

Klasik DNS mimarisinde UDP üzerinden taşınan paketler en fazla 512 bayt ile sınırlandırılmıştır. 512 baytı aşan yanıtların güvenli biçimde iletilmesi için TCP protokolüne geçiş yapılması zorunludur. Ancak modern alan adı altyapılarında bu sınırı genişleten ve kriptografik doğrulamayı sağlayan iki temel mekanizma, yansıtma saldırılarında çarpan etkisini artıran unsurlar haline gelmiştir:

• EDNS0 (Genişletilmiş DNS): İstemcinin UDP üzerinden 4.096 bayta kadar veri kabul edebileceğini belirten bir mekanizmadır. Bu genişletme sayesinde tek bir UDP paketinde çok daha büyük veriler taşınabilir hale gelmiştir.
• DNSSEC (Alan Adı Güvenlik Eklentileri): Alan adı kayıtlarının sahteciliğe karşı korunması için yanıtlara RRSIG, DNSKEY ve NSEC3 gibi büyük boyutlu dijital imzalar ekler. Bir alan adına DNSSEC bayrağıyla sorgu atıldığında dönen veri miktarı standart bir yanıta göre katbekat artar.
• Minimal Yanıt Yaklaşımı: Geçmişte saldırganlar tek bir alan adına ait tüm kayıtları aynı anda döken ANY sorgularını kullanarak devasa paketler üretiyordu. Modern alan adı yönetim standartlarında ANY sorgularına karşı gereksiz büyüklükteki yanıtların engellenmesi benimsenmiştir. Bu kapsamda yetkili sunucular ANY isteklerine yalnızca minimal bir bilgi kaydı veya tek bir adres döndürerek yansıtma çarpanını 1:1 seviyesine indirir.

DNS Amplification ile yetkili DNS taşkınları arasındaki farklar

Ağ güvenliğinde DNS protokolünü hedef alan farklı saldırı türleri bulunur. Saldırının niteliğine göre savunma yaklaşımı da değişiklik gösterir:

Özellikle SYN flood nedir ve nasıl engellenir başlıklı yazımızda incelediğimiz TCP durum tablosu kilitlenmelerinden farklı olarak, UDP tabanlı bu taşkınlar sunucunun işletim sistemine ulaşmadan önce fiziksel hattı doldurur.

DNS sunucularında yerel güvenlik yapılandırmaları

Kendi bünyesinde DNS sunucusu barındıran sistem yöneticilerinin, sunucularının birer yansıtma aracı olarak kötüye kullanılmasını önlemek için alması gereken somut yapılandırma adımları şunlardır:

1. Dış ağa açık özyinelemenin (Open Recursion) kapatılması

Yalnızca yetkili (authoritative) alan adı barındıran sunucuların dış dünyadan gelen özyinelemeli çözümleme isteklerine yanıt vermemesi gerekir. BIND 9 yapılandırma dosyasında genel seçenekler bölümünde özyineleme kapatılmalı veya yalnızca güvenilen yerel ağ istemcilerine izin verilmelidir:

options {
    recursion no;
    allow-query { any; };
    allow-recursion { none; };
};

2. BIND 9 Response Rate Limiting (RRL) ve SLIP parametresi

Yetkili DNS sunucuları meşru sorgulara yanıt vermek zorundadır; bu nedenle özyineleme kapalı olsa dahi yetkili olunan bölgeler yansıtma amacıyla kullanılabilir. BIND 9 bünyesindeki Yanıt Hız Sınırlaması (Response Rate Limiting - RRL), aynı istemci IP bloğundan aynı alan adına gelen aşırı sorgu yanıtlarını sınırlar.

RRL mekanizmasında en kritik ayar slip parametresidir. Yansıtma saldırısında sunucu aşırı istekleri doğrudan düşürmek yerine her iki yanıttan birini TC=1 (kesilmiş/truncated) bayrağıyla döner (slip 2). Bu sayede sahte IP kullanan saldırganlar büyük UDP verisi elde edemezken, gerçek istemciler kesilen sorguyu TCP portu üzerinden yeniden deneyerek aksamadan yanıt almaya devam eder:

rate-limit {
    responses-per-second 5;
    window 5;
    slip 2;
};

3. Kaynak adres doğrulama (BCP 38) ve yerel güvenlik duvarlarının sınırları

İnternet servis sağlayıcıları düzeyinde uygulanan kaynak adres doğrulama kuralları, sahte IP ile ağdan paket çıkışını engeller. Ancak internet genelindeki tüm operatörler bu kuralları uygulamadığı için yansıtma saldırıları küresel ölçekte devam etmektedir.

Yerel bir sunucunun içine kurulan iptables, nftables veya yerel güvenlik duvarı kuralları, sunucuya ulaşan yanıt paketlerini filtreleyebilir; fakat gelen trafik 10 Gbps veya 100 Gbps seviyesine ulaştığında sunucunun fiziksel bağlantı hattı dolduğu için yerel filtreleme kuralı hiçbir fayda sağlayamaz. Bu nedenle gerçek savunma ancak sunucuya giden hattın önündeki küresel koruma ağlarında yapılabilir.

TREAS TRSHIELD ile Anti-Amplification ve DNS DDoS koruması

TREAS, müşterilerinin internet erişimini ve sunucu altyapılarını güvenceye almak için altyapıya entegre olarak çalışan TRSHIELD (DDoS Koruması) teknolojisini sunar. TRSHIELD, Performans VPS, Ekstrem VDS ve fiziksel sunucu paketlerinin tamamında standart ve ek ücretsiz olarak yer alır.

• 12 Tbps DDoS Koruma Kapasitesi ve Anycast Ağ: TRSHIELD anycast mimarisi üzerinde çalışır. Küresel açık DNS sunucularından kurbana yönlendirilen terabitler seviyesindeki devasa UDP taşkınları, doğrudan sunucunun erişim hattına ulaşmadan sınır PoP noktalarında karşılanır ve dağıtılır. Temiz trafik sunucuya 1 ms altı ek gecikmeyle ulaştırılır.
• Anti-UDP-Flood ve Anti-Amplification Profilleri: Genel UDP servisleri için geliştirilen yerleşik koruma algoritmaları, anormal boyuttaki yansıtma paketlerini, geçersiz bayrak kombinasyonlarını ve asimetrik veri akışlarını anında tespit ederek eler.
• Yetkili DNS Koruması: Alan adı sunucusu çalıştıran sistemler için özel DNS koruma profili, gelen sorguların desenini analiz eder, sahte ve yinelemeli istekleri filtreleyerek meşru çözümleme trafiğinin aksamadan akmasını sağlar.
• Yüksek İşlem Gücü: Performans VPS paketlerinde paylaşımlı vCore kaynaklı AMD Ryzen 9 7950X, Ekstrem VDS paketlerinde ise ayrılmış vCore kaynaklı AMD Ryzen 9 9950X işlemcilerle desteklenen sunucu altyapısı, ağ yoğunluğu anlarında dahi yüksek paket işleme performansı sunar.
• Sürekli Geliştirilen Savunma: TRSHIELD bilinen bütün saldırı vektörlerine karşı koruma sağlar ve sürekli geliştirilen filtreleme mimarisiyle yeni tehdit modellerine karşı güncel kalır.