Adli Bilişim DNS Analizi: İnternet İzlerini Takip Etmenin Yolu

Günümüzde siber suçlar ve siber saldırılar hızla artarken, dijital delillerin doğru şekilde analiz edilmesi kritik bir öneme sahiptir. Bu noktada DNS (Domain Name System) analizi, adli bilişim uzmanlarının siber olayları çözümlemesinde güçlü bir araç olarak öne çıkmaktadır. Bu makalede DNS analizinin temel kavramları, teknikleri ve uygulama örnekleri detaylı olarak ele alınacaktır.

DNS Analizi Nedir?

DNS, internet üzerindeki alan adlarını IP adreslerine çeviren sistemdir. Bir kullanıcı bir web sitesine eriştiğinde, cihazı önce DNS sunucusuna başvurarak sitenin IP adresini öğrenir. Adli bilişimde DNS analizinin amacı, bu sorgular üzerinden kullanıcı aktivitelerini ve potansiyel siber saldırıları tespit etmektir.

DNS Analizinin Önemi

İnternet trafiği takibi: Hangi alan adlarının ziyaret edildiğini belirler.

Saldırı tespiti: Zararlı alan adları ve phishing siteleri DNS üzerinden izlenebilir.

Olay müdahalesi: Siber olay sonrası hangi sistemlerin hedef alındığı anlaşılabilir.

DNS Analizinde Kullanılan Temel Kayıt Türleri

A Kaydı: Alan adını IPv4 adresine çevirir.

AAAA Kaydı: Alan adını IPv6 adresine çevirir.

MX Kaydı: E-posta sunucularını belirtir.

NS Kaydı: Alan adının yetkili DNS sunucusunu gösterir.

CNAME Kaydı: Bir alan adını başka bir alan adına yönlendirir.

DNS Analizi Nasıl Yapılır?

DNS analizi, hem canlı sistemlerde hem de elde edilen log dosyalarında yapılabilir. İşte temel adımlar:

1. DNS Sorgu Loglarını İnceleme

DNS sunucuları tüm sorguları kaydeder. Örnek bir sorgu logu:

12026-01-19 12:15:22 QUERY A www.example.com
2FROM 192.168.1.10
32026-01-19 12:16:05 QUERY MX mail.example.com FROM 192.168.1.12

Bu loglardan hangi cihazın hangi alan adıyla iletişim kurduğunu anlayabilirsiniz.

2. DNS Trafiğini Canlı İzleme

Wireshark veya tcpdump gibi araçlarla DNS trafiği analiz edilebilir:

1tcpdump ile DNS sorgularını yakalama
2
3sudo tcpdump -i eth0 port 53 -n

3. Zararlı Alan Adlarını Tespit Etme

DNS analizinde blacklist ve threat intelligence veritabanları kullanarak zararlı alan adları tespit edilebilir. Örneğin:

1import dns.resolver
2
3domain = "malicious.com"
4try:
5answers = dns.resolver.resolve(domain, 'A')
6for rdata in answers:
7print(domain, "IP:", rdata)
8except dns.resolver.NXDOMAIN:
9print(domain, "bulunamadı")

Örnek Senaryo

Bir şirketin sunucularına dışarıdan sürekli DNS sorguları geliyor. Analiz sırasında şu durum ortaya çıktı:

- 192.168.1.50 IP adresinden şüpheli alan adı sorguları: bad-site.com, malware.net

- MX kayıtlarına yönlendirme yapılmaya çalışılıyor

Bu bulgular, sunucuların bir phishing saldırısına hedef olduğunu gösteriyor. Adli bilişim uzmanı, DNS loglarını kullanarak saldırının kaynağını ve kapsamını belirleyebilir.

DNS Analizi İpuçları

- DNS sorgu loglarını mutlaka zaman damgası ile inceleyin.

- Yalnızca A kayıtlarına değil, MX, CNAME ve NS kayıtlarına da dikkat edin.

- Otomatik araçlar ile blacklist karşılaştırmaları yapın.

- DNS trafiğini şifreli DNS (DoH/DoT) kullanımı ile analiz etmek zor olabilir; bu durumda endpoint logları önem kazanır.

DNS analizi, adli bilişimde kullanıcı aktivitelerini ve siber saldırıları tespit etmenin temel yollarından biridir. Doğru teknik ve araçlarla yapılan analiz, olayın kapsamını, saldırganın izini ve potansiyel riskleri açığa çıkarır.

#AdliBilişim  #kaynak