DNS, DHCP ve HTTP Trafik İzleme: Ağ Adli Bilişiminde İletişim ve Davranışı

DNS, DHCP ve HTTP trafik izleme, ağ adli bilişiminde bir sistemin kime, ne zaman, hangi kaynakla ve hangi içerikle iletişim kurduğunu ortaya çıkarmanın en etkili yollarındandır. Bu üç protokol birlikte analiz edildiğinde; cihaz kimliği (DHCP), hedef çözümleme (DNS) ve uygulama düzeyi etkileşim (HTTP) arasında güçlü bir bağlamsal zincir kurulur.

DNS Trafik İzleme (Domain Name System)
DNS Nedir ve Neyi Gösterir?

DNS, alan adlarını IP adreslerine çevirir. Bu nedenle DNS kayıtları:

- Hangi domain’lere erişildiğini
- Erişim zamanlarını
- Olası kötü niyetli alan adlarını

gösterir.

DNS Log ve İz Kaynakları

- DNS sunucu logları
- Güvenlik cihazları (IDS/IPS)
- PCAP (paket yakalama)
- İstemci cache’leri

DNS Trafiği Yakalama

1tcpdump -i eth0 port 53 -w dns_traffic.pcap

Belirli bir domain için filtreleme:

1tcpdump -i eth0 port 53 | grep example.com

DHCP Trafik İzleme (Dynamic Host Configuration Protocol)
DHCP Nedir ve Neden Önemlidir?

DHCP, ağa bağlanan cihazlara IP adresi, gateway ve DNS gibi bilgileri atar. Adli açıdan:

- IP → cihaz eşleşmesi
- Zaman bazlı kullanıcı/cihaz takibi

sağlar.

DHCP Logları

Yaygın bilgiler:

- MAC adresi
- Atanan IP
- Lease başlangıç/bitiş zamanı
- Hostname
- DHCP Trafiği Yakalama

1tcpdump -i eth0 port 67 or port 68 -w dhcp_traffic.pcap

HTTP Trafik İzleme (Hypertext Transfer Protocol)
HTTP Nedir ve Ne Sunar?

HTTP trafiği, uygulama katmanındaki etkileşimi gösterir:

- URL’ler
- Header’lar
- User-Agent
- GET / POST parametreleri

HTTP Trafiği Yakalama

1tcpdump -i eth0 port 80 -w http_traffic.pcap

Belirli bir URL desenini filtreleme:

1tcpdump -i eth0 port 80 | grep "GET"

İncelenen HTTP Alanları

- Host
- User-Agent
- Referer
- Cookie

DNS + DHCP + HTTP Korelasyonu

Bu üç protokol birlikte analiz edildiğinde aşağıdaki sorular yanıtlanır:

1 - Hangi cihaz (DHCP)
2 - Hangi domain’e erişti (DNS)
3 - Hangi URL / içerik çağrıldı (HTTP)

Örnek Korelasyon Akışı

DHCP: MAC → 192.168.1.25

DNS: example-malware.com → 185.x.x.x

HTTP: GET /payload.bin

Örnek Adli Senaryo

Senaryo:
Bir ağda zararlı yazılım şüphesi var.

İzlenen adımlar:

1 - DHCP loglarıyla şüpheli IP’nin cihazı belirlenir
2 - DNS loglarında olağandışı domain sorguları aranır
3 - HTTP trafiğinde şüpheli URL ve User-Agent tespit edilir
4 - Zaman çizelgesi oluşturulur
5 - Diğer ağ ve sistem loglarıyla korelasyon yapılır

Trafik İzlerinde Aranan Şüpheli Göstergeler
DNS

- DGA benzeri rastgele domain’ler
- Çok kısa TTL değerleri
- Sık tekrarlanan sorgular

DHCP

- Sık IP değişimi
- Bilinmeyen hostname’ler
- Kısa lease süreleri

HTTP

- Şüpheli User-Agent
- Base64 / şifreli parametreler
- Beklenmeyen POST istekleri

İpuçları ve En İyi Uygulamalar

- DNS, DHCP ve HTTP loglarını aynı zaman diliminde analiz edin
- Saat senkronizasyonunu (NTP) doğrulayın
- PCAP ile log bulgularını destekleyin
- DNS over HTTPS (DoH) kullanımını kontrol edin
- Log saklama sürelerini adli ihtiyaçlara göre belirleyin

1tcpdump -r traffic.pcap -nn

Sınırlamalar ve Zorluklar

- HTTPS ve DNS over HTTPS (DoH)
- NAT ve paylaşımlı IP’ler
- Yüksek trafik hacmi
- Gizlilik ve KVKK/GDPR kısıtları
- Log eksikliği veya silinmesi

DNS, DHCP ve HTTP trafik izleme, ağ adli bilişiminde iletişim davranışlarını ortaya koymanın temel yoludur. DHCP cihaz kimliğini, DNS hedef çözümlemeyi, HTTP ise uygulama düzeyi etkileşimi sunar. Bu protokollerin birlikte ve korelasyonlu analizi; saldırı tespiti, veri sızıntısı incelemesi ve olay zaman çizelgesi oluşturma süreçlerinde güçlü ve savunulabilir deliller üretir.

#AdliBilişim #kaynak