DNS Anomali Tespit Scripti
DNS protokolü, internet altyapısının temel taşlarından biri olmasına rağmen, siber saldırılar ve anomali tespiti açısından kritik bir öneme sahiptir. DNS trafiğinde ortaya çıkan olağan dışı davranışlar, potansiyel saldırıların veya kötü niyetli aktivitelerin göstergesi olabilir. Bu noktada, otomatik ve gerçek zamanlı tespit yapabilmek için geliştirilmiş scriptler oldukça faydalı olur. İşte, DNS anomalilerini tespit etmek amacıyla temel bir Python tabanlı script örneği ve detayları:
İlk olarak, DNS trafiğini izlemek ve analiz etmek için uygun bir araç veya kütüphane kullanmak gerekir. Scapy, Python'da ağ paketi yakalama ve analiz için oldukça güçlü bir kütüphanedir. Bu script, özellikle DNS sorgularını yakalayacak ve belirli anomalileri belirlemek için temel kuralları uygulayacaktır.
Script temel olarak şu adımları içerir:
Ağ üzerinde DNS trafiğini izleme
DNS sorgularını ve cevaplarını analiz etme
Anomalik olabilecek davranışları tespit etme (örneğin, aşırı sorgu sayısı, bilinmeyen alan adları, yüksek TTL değerleri veya sürekli aynı kayıtlara sorgu)
Olası saldırı veya anomali uyarısı verme
Örnek olarak, aşağıdaki Python kodu, Scapy kullanarak DNS sorgularını yakalar ve belirli kurallar çerçevesinde uyarılar üretir:
12345678910111213141516171819
from scapy.all import sniff
from scapy.layers.dns import DNSQR, DNS
[b]İzlenecek DNS sorgusu sayısı veya süre[/b]
def dns_anomaly_detect(packet):
if packet.haslayer(DNS):
dns_layer = packet.getlayer(DNS)
if dns_layer.qr == 0: # Sorgu
query_name = dns_layer.qd.qname.decode()
# Örnek kural: Çok fazla sorgu veya bilinmeyen alan adı
if len(query_name) > 50:
print(f"Uyarı: Uzun alan adı sorgusu tespit edildi: {query_name}")
if "malicious" in query_name:
print(f"Uyarı: Potansiyel kötü niyetli alan adı sorgusu: {query_name}")
[b]Trafiği yakalama[/b]
sniff(filter="udp port 53", prn=dns_anomaly_detect, store=0)
Bu temel script, DNS sorgularındaki anomalileri tespit etmek için başlangıç noktasıdır. Gelişmiş analizler, örneğin IP bazlı sorgu sıklığını takip etmek, DNS cevaplarındaki tutarsızlıkları saptamak veya makine öğrenimi modelleriyle otomatik anomali tespiti yapmak mümkündür. Ayrıca, loglama ve uyarı entegrasyonu ile daha etkin bir güvenlik altyapısı kurulabilir.
DNS trafiğindeki olağandışı davranışların tespiti, siber saldırıların erken uyarı sistemlerinin önemli bir parçasıdır ve bu script, temel bir analiz ve uyarı mekanizması sağlar. Daha gelişmiş ve özelleştirilmiş çözümler, kurumların güvenlik altyapısına göre uyarlanmalıdır.
