IP Sahtekarlığı: Uygulamaları, Sonuçları ve Tanımlama ve Karşı Önlem Yöntemleri

Ağ yöneticileri ve güvenlik ekipleri için IP sahtekarlığı hakkında bilgi sahibi olmak neden hayati önem taşıyor?

Bu soru ağ yöneticileri, site yöneticileri, DevOps ve güvenlik ekipleri için kritik öneme sahiptir. Aşağıda bunu hem teknik hem de pratik bir şekilde açıklıyoruz. IP Sahtekarlığı Nedir?Bu durumun hangi kavramsal yöntemlerden oluştuğu, hangi senaryolarda meşru kullanımının olduğu, nasıl tespit edilip önlenebileceği ve ağ ve işletme için ne gibi sonuçlar doğurduğu.

Ayrıca, veri merkezlerinde kimlik avına karşı alınan önlemlere, pratik savunma stratejilerine ve koruma amaçlı Linux yapılandırmalarına da değiniyoruz.

Tanım ve temel kavramlar

IP Sahtekarlığı Nedir?

IP Sahtekarlığı IP paket başlığındaki kaynak adresinin değiştirilmesi işlemine; yani paketin göndericisi olan alanın değiştirilmesine denir. Kaynak IP Bu, paketin farklı bir IP adresinden geliyormuş gibi görünmesini sağlar. Ağ katmanı açısından bakıldığında, bu işlem IP başlığındaki Kaynak IP alanını değiştirerek kolayca yapılır.

Kimlik avı (spoofing) ile diğer ağ saldırıları arasındaki fark

IP sahtekarlığı başlı başına bir Temel teknik Bu, Yansıtma/Yükseltme DDoS saldırıları, sahte kaynaklarla SYN Flood saldırıları, BGP ele geçirme (yönlendirme seviyesinde) veya saldırganın izini gizleme gibi saldırılarda kullanılabilir.

Bu durum ayrıca rölelerin, proxy'lerin veya virüs bulaşmış sunucuların kullanılmasının da sonucu olabilir.

IP Sahtekarlığının Yasal ve Yasadışı Kullanımları

Meşru kullanımlar

• Sızma testi ve ağ dayanıklılığı değerlendirmesi (ağ sahibinin açık izniyle ve izole bir laboratuvar ortamında).
• Trafik simülasyonu, izleme sistemlerini ve DDoS koruma çözümlerini test etmek için kullanılır.
• Dahili ağlarda dağıtılmış veya çoklu yayın protokollerinin manuel başlık ayarlaması gerektiren özel durumları (nadir).
• Kontrollü bir ortamda ağ araştırmaları ve akademik uygulamalar.

Önemli açıklama: Kontrollü bir ortam dışında veya sahibinin açık izni olmadan yapılan her türlü kullanım suç sayılabilir.

Yasadışı ve kötü amaçlı kullanımlar

• Gerçek kaynakları gizleyerek DDoS saldırıları gerçekleştirmek.
• Saldırının etkisini artırmak için yansıtma/güçlendirme yöntemlerinin uygulanması (örneğin DNS, NTP).
• Güvenlik duvarlarını veya izinsiz giriş tespit sistemlerini kandırarak yetkisiz erişime izin vermek.
• Siber saldırıların kaynağını gizlemek veya ağ saldırılarını taklit etmek.

IP Sahtekarlığı Uygulama Yöntemleri — Kavramsal Açıklama

Bu bölümde, doğru savunmayı anlamayı mümkün kılmak için yalnızca teknik yapıları ve yolları kavramsal olarak açıklayacağız. Saldırının gerçekleştirilmesini kolaylaştırmak için adım adım talimatlar veya araçlar sağlanmayacaktır.

IP başlığındaki Kaynak IP alanını değiştirme

Saldırgan bunu kullanıcı katmanında veya ham soketler kullanarak yapabilir (ham soketlerIP başlığını değiştirerek kaynak adresini taklit edin. Bu yöntem, düşük seviyeli ağ erişimine sahip veya güvenlik açığı bulunan sistemler kullanan makinelerde daha sık görülür.

Virüs bulaşmış sunucuları kullanmak (Botnet)

Günümüzdeki birçok DDoS saldırısı, trafiği göndermek için çok sayıda virüslü cihaz kullanmaktadır. Bu durumda, cihazların gerçek kaynak adresleri gerçek olabilir, ancak saldırgan hedefi aşırı yüklemek için bunları kontrol eder.

Yansıma/Amplifikasyon

Saldırgan, sahte bir kaynak adresi (hedef adres) içeren bir paketi halka açık bir servise (DNS veya NTP gibi) gönderir; bu servis, sahte adrese daha büyük bir yanıt gönderir ve bu da hedefe gelen yanıtların birikmesi nedeniyle bir aksamaya yol açar.

BGP yönlendirme seviyesinde ele geçirme ve manipülasyon

Ağlar arası düzeyde, saldırılar BGP rotalarını değiştirebilir veya trafiği yanlış hedefe yönlendirmek için ön ekleri taklit edebilir. Bu, taklit etme/yeniden yönlendirmenin başka bir biçimidir.

Sonuçlar ve riskler

Altyapı ve işletmeler için

• Hizmet kesintisi ve gelir kaybı (özellikle finans ve oyun hizmetleri için).
• IP aralıklarını engellemek ve gerçek kullanıcıların erişimini kısıtlamak.
• Trafik temizliğinin dışarıdan yaptırılması ve zemin temizleme hizmetlerinin kullanılmasının maliyeti.
• İtibar ve hizmet seviyesi anlaşmalarına (SLA) verilen zarar.

Yasal ve etik

İzinsiz kimlik avı (spoofing) yasal işlemlere yol açabilir. Ağ kurallarının ve veri merkezi sözleşmelerinin ihlali, hizmet kesintisine ve sunucu sahibinin yargılanmasına neden olabilir.

Hangi veri merkezleri "spoofing" (kimlik sahtekarlığı) desteği sunuyor? ve yaygın politikalar neler?

Genel Veri Merkezi Politikaları

Çoğu saygın veri merkezi ve bulut hizmeti sağlayıcısı, kimlik sahtekarlığına karşı koruma politikaları izler:

• Uygulamak BCP38/BCP84 (Giriş filtreleme) Ağ kenarından sahte kaynaklı paketlerin gönderilmesini önlemek için kullanılır.
• Yönlendiricilerde ve erişim/uç anahtarlarında sahtekarlık önleme özelliğini etkinleştirin.
• Paylaşımlı sanal makinelerden harici kaynak IP adresine sahip paket gönderme özelliğini kısıtlayın.

Veri merkezleri hakkında pratik bir ipucu

Meşru ve tanınmış veri merkezleri (saygın bulut sağlayıcıları ve büyük sunucular gibi) genellikle erişim katmanında IP sahtekarlığını engeller ve DDoS saldırılarına karşı koruma ve güvenli BGP hizmetleri sunar.

Bazı küçük sağlayıcılar veya daha az dikkatli internet servis sağlayıcıları katı kurallara sahip olmayabilir, ancak bu tür hizmetlerin araştırma veya saldırı amaçlı kullanılması önerilmez ve yasal sorumluluklar doğurur.

Şirket politikalarımız

Şirketimiz, 85'ten fazla küresel lokasyonda sıkı kimlik avı önleme politikaları, DDoS saldırılarına karşı koruma hizmetleri, BGP filtreleme, CDN ve yüksek hızlı ağ bağlantısı içeren altyapı sunmaktadır.

Adli ve araştırma amaçlı testler için, destek ekibiyle koordinasyon sağlayarak testler için izole edilmiş ve lisanslı bir ortam temin edebilirsiniz.

IP Sahtekarlığı Tespiti ve Teknik Göstergeler

Davranışsal ve ağ göstergeleri

• Alışılmadık bir fark TTL Doğal rotaya göre paketler.
• Fark TCP zaman damgası ve aynı IP adresinden geldiği anlaşılan paketler arasındaki sıralama kalıpları.
• Katman 2 ağında, gelen trafik bir IP adresinden geliyor ancak ARP/MAC eşleştirmesi başka bir IP adresine ait.
• Çok sayıda kaynaktan veya yansıma modelinden gelen trafiğin aniden artması (örneğin, aynı adrese çok sayıda DNS yanıtı).

Tanımlama için kullanılan araçlar ve kayıtlar

Tespit için kullanılan yaygın araçlar ve günlükler arasında tcpdump/tshark, Zeek/Bro, Suricata veya Snort, NetFlow/sFlow ve arpwatch yer almaktadır.

Pcap dosyasını yakalamak ve TTL ile TCP zaman damgasını kontrol etmek için savunma amaçlı örnek:

tcpdump -n -i eth0 'ip' -w suspicious.pcap

Karşı Önlemler ve Savunmalar — Pratik Linux ve Ağ Yapılandırmaları

Linux çekirdek ayarları

Aşağıdaki değerleri bulabilirsiniz. /etc/sysctl.conf Önce koyun, sonra da... sysctl -p Etkinleştirmek için dokunun.

net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.log_martians = 1

Açıklama: rp_filter (ters yol filtreleme), tutarsız dönüş yollarına sahip paketlerin girmesine izin vermez ve birçok basit sahtekarlığı engeller.

Dahili ağları filtrelemek için iptables/nftables kuralları

İnternete bağlı olan eth0 giriş arayüzü için, özel portlardan geldiğini iddia eden paketlerin girişini aşağıdaki kurallar engeller:

iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j DROP
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12 -j DROP

Uç noktada/yönlendiricide filtreleme uygulama

• Uç yönlendiricilerde uRPF'nin uygulanması ve BGP oturumlarına dayalı ön ek filtrelerinin uygulanması.
• Kullanımı RPKI/ROA Önek duyurularını doğrulamak ve BGP ele geçirilmesini önlemek için.
• Ayar maksimum önek ve eşler için rota filtreleri.

DDoS Saldırılarına Karşı Koruma ve Veri Temizleme Hizmetleri

Uç nokta temizleme hizmetleri veya CDN'ler, trafiği temizleyebilir ve yansıtılmış veya sahte trafiği sağlıklı trafikten ayırabilir. Bir CDN ve birden fazla coğrafi bölge kullanmak, trafiği dağıtır ve sahte saldırı riskini azaltır.

Ne işe yarar? Ne zaman kullanılmalı (veya kullanılmamalı)?

Uygun olanlar

• Kontrollü araştırma ve testler (izin alınarak).
• Savunmayı güçlendirmek için saldırı simülasyonu (ilkesel kırmızı takım çalışması).
• İzole bir ortamda izleme ve otomatik yanıt sistemlerinin test edilmesi.

Uygunsuz/tehlikeli

• Herkese açık internet ortamlarında izinsiz kullanım.
• Üçüncü taraf hizmetlerine zarar verebilecek işlemler gerçekleştirmek (örneğin, yansıtma için kamu hizmetlerini kullanmak).
• Üretim ağlarında koordinasyon olmadan kullanımın yasal ve ticari sonuçları vardır.

Tavsiye: Herhangi bir test, sahibinin açık izniyle izole bir ortamda yapılmalı ve testin riskleri ve kapsamı önceden belirlenmelidir.

Kuruluşlar ve hizmet yöneticileri için en iyi uygulamalar

• Uygulama BCP38 Ağın uç noktalarında yer alarak ve internet servis sağlayıcılarıyla işbirliği yaparak, paketlerin sahte kaynaklardan gönderilmesini önlüyoruz.
• Acil durumlar için DDoS saldırılarına karşı koruma ve CDN hizmetlerinin sağlanması ve etkinleştirilmesi.
• Olay müdahale prosedürünüz, pcap dosyalarının toplanmasını, NetFlow kayıtlarının incelenmesini ve logların analiz edilmesini içermelidir.
• Yetkilendirilmiş testlerin kullanımı ve testler için izole edilmiş laboratuvar ortamlarının kurulması konusunda ekipleri eğitmek.
• Kullanımı RPKIBGP düzeyinde önek filtreleme ve güvenli eşleştirme anlaşmaları.

Çözüm

IP sahtekarlığı, hem test ve araştırma amaçlı meşru kullanımları olan hem de kötü amaçlı saldırılarda kullanılabilen temel bir ağ tekniğidir.

Kimlik avı saldırılarına karşı savunma, uç filtrelerin, çekirdek ve güvenlik duvarı ayarlarının uygulanmasını, DDoS karşıtı çözümlerin kullanılmasını ve yönlendirme konusunda en iyi uygulamaların izlenmesini gerektirir (RPKI/BCP38Tespit, TTL, TCP zaman damgaları, NetFlow ve IDS/IPS araçlarının analizine dayanarak mümkündür.

Altyapı perspektifinden ilgili hizmetler

85'ten fazla küresel lokasyonda faaliyet gösteren şirketimiz, IP sahtekarlığıyla ilişkili riskleri doğrudan azaltmaya yardımcı olan hizmetler sunmaktadır:

• Yansıma saldırılarının etkisini azaltmak için DDoS önleme sunucusu ve veri temizleme hizmeti.
• BGP ağı ve RPKI desteğiyle gelişmiş filtreleme.
• İstikrarı ve düşük pingi korumak için sahtekarlık önleme politikalarına sahip, özel işlem VPS'si ve özel oyun VPS'si.
• CDN ve 85'ten fazla konum, trafiği dağıtmak ve saldırıları absorbe etmek için kullanılıyor.
• Yüksek performanslı bulut altyapısı, grafik sunucuları (GPU'lar) ve araştırma projeleri için izole bir ortamda (koordinasyon ve izinle) barındırma hizmetleri.
• rp_filter, iptables/nftables ve en iyi sahtekarlık önleme yapılandırmalarının kurulumu konusunda rehberlik sağlayabilen teknik destek ekibi.