Test sunucunuz tahmin edilmesi zor bir alt alan adında duruyor ve hiçbir yerde bağlantısı yok. Yine de saldırı denemeleri alıyor. Adres gizli değil — birkaç dakikada bulunabilir.
Bu yazı, alt alan adlarınızın nasıl keşfedildiğini ve neyin gizli kalabileceğini ele alıyor.
Keşif Yöntemleri
| Yöntem | Kaynak |
|---|---|
| Sertifika kayıtları | Herkese açık günlükler |
| Sözlük denemesi | Yaygın adlar listesi |
| Arama motoru sonuçları | Dizine alınmış sayfalar |
| Kod ve yapılandırma sızıntısı | Depo, sayfa kaynağı |
| Bölge aktarımı | Yanlış yapılandırma |
Birinci satır en etkili ve en az bilinen yöntemdir: bir alt alan adı için sertifika aldığınız anda o ad herkese açık şeffaflık günlüklerine yazılır — hiçbir yerde yayınlamasanız bile adres kalıcı olarak kayıtlıdır ve saniyeler içinde bulunabilir.
Bu, güvenlik için tasarlanmış bir sistemin yan etkisidir ve kaçınılmazdır.
Yani şifreli bir bağlantı sunan hiçbir adres gizli kalamaz.
Beşinci satır ise bir yapılandırma hatasıdır ve tüm kayıtlarınızı tek istekte verir.
Gizlilik Bir Savunma Değildir
Bu, güvenliğin temel bir ilkesidir:
- Adres tahmin edilemez olabilir.
- Ama gizli kalmayabilir.
- Bulunduğunda koruma bitmemelidir.
Üçüncü madde doğru yaklaşımı özetler: bir yönetim panelini gizli bir adreste tutmak ek bir zorluk katmanıdır ama tek savunma olmamalıdır — adres bulunduğunda kimlik doğrulama ve erişim kısıtı devrede olmalıdır.
Yalnızca gizliliğe dayanan bir sistem, ilk keşifte tamamen açılır.
İkinci madde ise gerçekçi bir kabuldür. Sertifika kayıtları ve tarayıcı geçmişi gibi kanallar adresi sızdırır.
Joker Sertifika Farkı
| Sertifika türü | Kayıtlarda görünen |
|---|---|
| Tekil sertifika | Tam alt alan adı |
| Joker sertifika | Yalnızca yıldız işareti |
İkinci satır bir gizlilik avantajı sağlar: joker sertifika kullanmak alt alan adlarınızın şeffaflık günlüklerinde tek tek görünmesini engeller — kayıtlarda yalnızca genel bir işaret bulunur.
Bu, iç kullanıma yönelik adresler için anlamlı bir tercihtir.
Ancak joker sertifikanın kendi riskleri vardır; özel anahtarı sızarsa tüm alt alan adlarınız etkilenir.
Bu nedenle joker sertifika daha dikkatli korunmalıdır.
Keşif Yüzeyini Daraltmak
- Kullanılmayan kayıtları silin.
- İç servisleri dış DNS'e koymayın.
- Bölge aktarımını kısıtlayın.
- Kod deposunda adres bırakmayın.
İkinci madde en etkili önlemdir: yalnızca iç ağdan erişilen servisleri dış DNS'te tanımlamamak, o adreslerin herkese açık sorgularda hiç görünmemesini sağlar — iç DNS sunucusunda tanımlamak yeterlidir.
Bu, altyapı haritanızın dışarıya sızmasını engeller.
Birinci madde ise hem güvenlik hem düzen kazandırır. Kullanılmayan kayıtlar zaten devralma riskine de açıktır.
Dördüncü madde ise sık yaşanan bir sızıntıdır. Yapılandırma dosyalarında kalan iç adresler depoya karışır.
Joker DNS Kaydı Riski
Bir kolaylık, keşfi anlamsız hâle getirir ama başka sorun üretir:
- Her ad bir yanıt döndürür.
- Var olmayan adresler de çalışır.
- Devralma riski artar.
İkinci madde beklenmedik sonuçlar doğurur: joker kayıt varken hiç tanımlamadığınız bir alt alan adı da sunucunuza gelir ve varsayılan siteniz açılır — saldırgan bu adresi kullanarak sizin alan adınız altında içerik sunuyormuş gibi görünebilir.
Bu, kimlik avı için elverişli bir zemindir.
Çözüm, web sunucusunda tanımsız adları reddeden varsayılan bir kural tanımlamaktır.
Bu kural, joker kaydın kolaylığını korurken riski ortadan kaldırır.
Kendi Keşfinizi Yapın
- Sertifika kayıtlarını sorgulayın.
- Bulunanları listeleyin.
- Her birinin ne olduğunu belirleyin.
- Bilinmeyenleri araştırın.
Dördüncü madde sürpriz sonuçlar verir: kendi alan adınızın sertifika kayıtlarını sorguladığınızda, varlığını unuttuğunuz veya hiç haberdar olmadığınız alt alan adları çıkar — bunlar eski projeler veya bir ekip üyesinin kurduğu unutulmuş servislerdir.
Bu adresler genellikle güncellenmemiş ve savunmasızdır.
Bu tarama yılda bir yapılmalı ve bulunan her adres ya sahiplenilmeli ya kapatılmalıdır.
İkinci madde ise envanterinizle karşılaştırma imkânı verir.
Terk Edilmiş Kayıtlar
| Durum | Risk |
|---|---|
| Kayıt var, hedef yok | Devralma riski |
| Eski bulut kaynağına işaret | Yüksek risk |
| Güncellenmemiş servis | Zafiyet riski |
İkinci satır en ciddi olanıdır: artık size ait olmayan bir bulut kaynağına işaret eden kayıt, o kaynağı yeniden oluşturan herkesin sizin alan adınız altında içerik yayınlamasına izin verir — ve tarayıcıda adres sizin alan adınız görünür.
Bu, kimlik avı ve çerez hırsızlığı için ideal bir zemindir.
Üçüncü satır ise unutulmuş kurulumları kapsar. Yıllardır güncellenmemiş bir servis bilinen açıklar taşır.
Her ikisi de düzenli tarama ile bulunur.
Sürekli İzleme
- Yeni sertifikaları izleyin.
- Beklenmedik adları sorgulayın.
- Kayıt sayısını takip edin.
Birinci madde iki yönlü değer taşır: kendi alan adınız altında beklenmediğiniz bir sertifika alındığında haberdar olmak, hem unutulmuş bir ekip kurulumunu hem yetkisiz bir erişimi ortaya çıkarabilir.
İkinci durum ciddi bir güvenlik olayıdır.
Bu izleme ücretsiz araçlarla kurulabilir ve otomatik uyarı üretir.
Üçüncü madde ise kontrolsüz büyümeyi yakalar. Kayıt sayısındaki hızlı artış, düzensiz bir yönetim işaretidir.
Alan adınızın kayıt yapısını ve alt alan adı tanımlarınızı görmek için domain sorgulama araçları ile düzenli inceleme yapabilirsiniz.
Sonuç
Gizli sandığınız alt alan adları muhtemelen gizli değildir: bir alt alan adı için sertifika aldığınız anda o ad herkese açık şeffaflık günlüklerine yazılır ve kalıcı olarak kayıtlı kalır. Bu yüzden gizliliği tek savunma yapmayın. En etkili önlem, yalnızca iç ağdan erişilen servisleri dış DNS'te hiç tanımlamamaktır. Ve kendi keşfinizi yapın — sertifika kayıtlarınızı sorguladığınızda varlığını unuttuğunuz adresler çıkar ve bunlar genellikle güncellenmemiştir.
Sıkça Sorulan Sorular (SSS)
Hiçbir yerde yayınlamadığım adres nasıl bulunuyor?
Büyük ihtimalle sertifika şeffaflık kayıtlarından. Bir alt alan adı için sertifika aldığınız anda o ad herkese açık günlüklere yazılır ve kalıcı olarak kayıtlı kalır. Şifreli bağlantı sunan hiçbir adres gizli kalamaz — bu, güvenlik için tasarlanmış bir sistemin kaçınılmaz yan etkisidir.
Alt alan adlarımı gizleyebilir miyim?
Joker sertifika kullanarak kısmen. Joker sertifikada kayıtlarda yalnızca genel bir işaret görünür, adresler tek tek listelenmez. Ancak joker sertifikanın özel anahtarı sızarsa tüm alt alan adlarınız etkilenir; daha dikkatli korunmalıdır.
En etkili önlem nedir?
Yalnızca iç ağdan erişilen servisleri dış DNS'te tanımlamamak. İç DNS sunucusunda tanımlamak yeterlidir ve o adresler herkese açık sorgularda hiç görünmez. Ayrıca kullanılmayan kayıtları silin ve bölge aktarımını kısıtlayın.
Terk edilmiş kayıtlar neden tehlikeli?
Artık size ait olmayan bir bulut kaynağına işaret eden kayıt, o kaynağı yeniden oluşturan herkesin sizin alan adınız altında içerik yayınlamasına izin verir — tarayıcıda adres sizin alan adınız görünür. Bu, kimlik avı ve çerez hırsızlığı için ideal bir zemindir.
