Wireshark ile DNS trafiğini süzmek ve izlemek
DNS’in sorgu ve cevaplarını ayırır, sorgu türlerini (A, AAAA, TXT), cevap kodlarını (NXDOMAIN) ve cevaptaki adresleri okursun; len() ve matches ile olağan dışı uzun adları bulup dışa aktarır, DNS üzerinden veri sızdırmanın yapıldığı alan adını ve sorgu sayısını çıkarır, bunu yakalayan bir tespit süzgeci yazarsın. Sızdırma alanı her labda farklıdır.
Seviye 101 · 50 dk
Veri kaybı önleme (DLP) sistemi alarm vermedi, ama Deniz bir iş istasyonunun DNS trafiğinden şüpheleniyor: "Saldırganlar veriyi bazen dosya olarak değil, DNS sorgularının içine gizleyerek dışarı çıkarır. DNS neredeyse hiçbir yerde engellenmez." Kayıt: ~/ws/dns.pcapng.
DNS, "bu adın IP adresi ne?" sorusunu cevaplar. Her sorgunun bir türü vardır: A (IPv4 adresi), AAAA (IPv6 adresi), TXT (serbest metin), MX (e-posta sunucusu). Cevapta bir rcode (sonuç kodu) bulunur: 0 başarılı, 3 NXDOMAIN (böyle bir ad yok). Çizimde bir DNS paketinin alanlarını görüyorsun.
Sızdırma örüntüsü: veri parçalara bölünür, kodlanır ve saldırganın alan adının altında uzun, anlamsız alt adlar olarak sorulur: ojsxe43p….0.ornek-alan.example. Önceki derslerden açık kalan Wireshark pencereleri varsa kapat: masaüstü 2 GB bellekle çalışıyor.
Bu derste ne yapacaksın
- Sorgular ve cevaplar
- Cevaptaki adres
- Sorgu türleri
- Olmayan adlar: NXDOMAIN
- Uzun adlar: len()
- Sızdırma alanı
- Kaç parça?
- Tespit süzgeci yaz
- Kısa sınav
Kazanacağın beceriler
- DNS sorgularını, cevaplarını ve adreslerini okumak
- DNS sorgu türlerini ayırmak (A, AAAA, TXT)
- DNS cevap kodlarını okumak (NXDOMAIN)
- Küme, ağ aralığı ve len() kullanmak
- Yalnızca istenen paketleri dışa aktarmak
- DNS üzerinden veri sızdırmayı bulmak
- Davranışa dayalı tespit süzgeci yazmak
← Wireshark ile şifreli (TLS) ve şifresiz trafiği ayırt etmek · Wireshark temelleri · Wireshark istatistikleri: hiyerarşi, konuşmalar, G/Ç →
Ücretsiz başla