DNS güvenliği: DNSSEC, Unbound, DoT ve DoH
BIND bölgesini DNSSEC ile imzalar, Unbound ile doğrulayan çözümleyici kurar, şifreli DNS’i ve DNS tabanlı tehditleri izlemeyi öğrenirsin.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
DNS tehditleri
- DNS tehditleri: zehirleme, ele geçirme, sızdırma
- Önbellek zehirleme ve kaynak port rastgeleliği
- Bölge aktarımı riskleri ve TSIG
- Kısa görev: bölge aktarımını yalnızca ikincil sunucuya aç
DNSSEC
- DNSSEC: imza zinciri, DNSKEY, DS, RRSIG
- BIND ile bölge imzalamak
- Anahtar döndürme: ZSK ve KSK
- delv ve dig +dnssec ile doğrulama hatalarını çözmek
- Kısa görev: bölgeni imzala ve doğrulayıcıdan geçir
Çözümleyici
- Unbound ile doğrulayan çözümleyici
- DoT ve DoH: şifreli DNS
- RPZ ile zararlı alan adlarını engellemek
- DNS sorgu günlükleri ve izleme
- DNS tünellemeyi sorgu desenlerinden yakalamak
- Kısa görev: şirket için koruyucu DNS servisi kur
Kapanış
- Bitirme görevi: şirketin iç ve dış DNS’ini güvenli hale getir
Pratik lablar
- Bölgenin tamamı herkese veriliyor: Kendi lab DNS sunucunda dig axfr ile bölge aktarımının herkese açık olduğunu göster, allow-transfer’ı yalnızca ikincil sunucuya kısıtla ve testin reddedildiğini kanıtla.
- İkincil sunucu güncellemeleri almıyor: Birincil ve ikincil arasındaki aktarımı TSIG anahtarıyla koru, anahtar adı ya da algoritma uyuşmazlığını gider ve seri numarası artınca ikincilin güncellendiğini göster.
- İç adlar dış DNS’ten sızıyor: Mavi Liman Kargo’nun dış DNS’inde aktarım, sürüm bilgisi ve iç kayıt sızıntılarını bul, iç ve dış görünümleri ayır ve dışarıdan yalnızca yayınlanması gereken kayıtların görüldüğünü kanıtla.
- Lab bölgesini imzala: BIND’de verilen bölge için anahtarları oluşturup bölgeyi imzala ve dig +dnssec ile RRSIG ve DNSKEY kayıtlarının döndüğünü göster.
- Zincir üst bölgede kopuk: İmzalı alt bölgenin DS kaydını lab’daki üst bölgeye doğru biçimde ekle ve doğrulayan çözümleyicide yanıtın ad (authenticated data) bayrağıyla geldiğini göster.
- Kesintisiz ZSK döndürme: Harborview Hospital bölgesinde ZSK’yı önceden yayınlama yöntemiyle döndür, her adımda TTL’leri hesaba kat ve süreç boyunca doğrulamanın hiç bozulmadığını zaman damgalı sorgularla kanıtla.
- SERVFAIL: imzaların süresi dolmuş: Doğrulayan çözümleyicide SERVFAIL veren adı delv ile incele, süresi dolmuş imzaları bul, bölgeyi yeniden imzala ve yanıtın düzeldiğini göster.
- Anahtar değişti, DS eski kaldı: Üst bölgedeki DS ile alt bölgenin KSK’sı arasındaki uyuşmazlığı anahtar etiketlerinden tespit et, doğru DS’i yayınla ve zinciri baştan sona doğrula.
- Bazı adlar çözülüyor, bazıları çözülmüyor: Lab bölgesinde birbirini gizleyen üç DNSSEC hatasını (eksik NSEC zinciri, saat kayması, yanlış algoritma) bul, hepsini düzelt ve her biri için kanıt çıktısını rapora ekle.
- Ofise doğrulayan çözümleyici: Unbound’u yalnızca iç ağa hizmet veren, DNSSEC doğrulayan bir çözümleyici olarak kur ve bilerek bozulmuş bir test adının reddedildiğini göster.
- Sorgular dışarı açık metin gidiyor: Unbound’un üst sunuculara DNS over TLS ile gitmesini sağla, sertifika adı doğrulamasını aç ve yakalanan trafikte 53/udp yerine 853/tcp göründüğünü kanıtla.
- Zararlı alan adlarını şirket genelinde engelle: Rüzgârlı Enerji için verilen tehdit listesinden bir RPZ bölgesi üret, çözümleyiciye bağla, engellenen sorguları günlüğe yazdır ve meşru bir alt alan adının yanlışlıkla engellenmediğini göster.
- Kim en çok sorgu atıyor?: Çözümleyicinin sorgu günlüğünü aç, bir saatlik kayıtlardan istemci başına sorgu sayısını ve en çok sorulan alan adlarını çıkar.
- Uzun ve anlamsız alt alan adları: Verilen DNS yakalamasında alt alan adı uzunluğu ve rastgelelik ölçütüyle tünel şüphesi taşıyan istemciyi bul ve kullandığı alan adını gerekçeleriyle raporla.
- Sızdırılan dosyayı DNS’ten geri kur: Kendi lab ağında oynatılan DNS sızdırma trafiğinden kodlanmış parçaları sırala, dosyayı geri oluştur ve bu deseni yakalayacak bir izleme kuralı yaz.
Kurs hakkında
BIND bölgesini DNSSEC ile imzalar, Unbound ile doğrulayan çözümleyici kurar, şifreli DNS’i ve DNS tabanlı tehditleri izlemeyi öğrenirsin.
Ne öğreneceksin
- DNS tehditleri
- DNSSEC
- Çözümleyici
- Kapanış
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.