DNS Nasıl Çalışır? Çözümleyici, Yetkili Sunucu, TTL ve TSIG'e Sıfırdan Giriş

Selamlar,

Bu hafta BIND 9 açığı (CVE-2026-94300) haberlerinde "GSS-TSIG", "named", "yetkili zone" gibi terimler geçti. Siber güvenliğe yeni başlayan arkadaşlar için bunların ne demek olduğunu sıfırdan, basit bir dille anlatmak istedim. DNS'i anlamadan ağ güvenliği, phishing analizi veya web güvenliğinde ilerlemek çok zor; o yüzden bu konu bir temel taşı.

Konuda anlatılacaklar

1. DNS ne işe yarar?
   
2. Bir sorgunun yolculuğu
   
3. Önemli roller: stub, çözümleyici, yetkili sunucu
   
4. Kayıt türleri ve TTL
   
5. DNS güvenliği: TSIG, DNSSEC ve tipik saldırılar
   
6. Kendi bilgisayarınızda ilk denemeler
   

DNS ne işe yarar?
İnsanlar isimleri (turkteam.org), bilgisayarlar IP adreslerini kullanır. DNS, ismi IP adresine çeviren dağıtık bir rehberdir. Tek bir merkez yoktur; sorumluluk hiyerarşik olarak bölünmüştür: kök (.), üst düzey alan (.org, .com.tr) ve alan adının sahibi.

Bir sorgunun yolculuğu
Tarayıcıya www.ornek.com yazdığınızda kabaca şunlar olur:

1. Bilgisayarınızdaki stub çözümleyici önce kendi önbelleğine bakar.
   
2. Yoksa soruyu yapılandırılmış özyinelemeli çözümleyiciye (modeminiz, ISS'niz veya 1.1.1.1 gibi bir servis) sorar.
   
3. Çözümleyici cevabı bilmiyorsa kök sunucuya sorar: "com'dan kim sorumlu?"
   
4. .com sunucusuna sorar: "ornek.com'dan kim sorumlu?"
   
5. ornek.com'un yetkili (authoritative) sunucusuna sorar ve gerçek cevabı alır.
   
6. Cevabı TTL süresi kadar önbelleğe alır ve size döner.
   

Roller

• Özyinelemeli çözümleyici: Sizin adınıza tüm yolu dolaşan sunucu.
  
• Yetkili sunucu: Bir zone'un (örneğin ornek.com) gerçek kayıtlarını tutan sunucu.
  
• BIND / named: BIND, ISC'nin geliştirdiği en yaygın DNS sunucu yazılımı; named onun çalışan sürecinin adı. Hem çözümleyici hem yetkili sunucu olarak çalışabilir.
  

Kayıt türleri ve TTL

DNS güvenliğine giriş

• TSIG: DNS mesajlarını paylaşılan gizli bir anahtarla imzalar; özellikle sunucular arası zone transferi ve dinamik güncellemelerin gerçekten yetkili birinden geldiğini doğrular (RFC 8945).
  
• GSS-TSIG: Aynı imzalamanın anahtarını Kerberos ile müzakere eden sürümü; Windows/Active Directory ortamlarında bilgisayarların kendi DNS kaydını güvenle güncellemesi için kullanılır. BIND açığı tam olarak bu mekanizmada, imzalı bir mesajın tekrar gönderilmesiyle (replay) ilgili.
  
• DNSSEC: Kayıtların kendisini dijital imzayla korur; çözümleyici cevabın değiştirilmediğini doğrulayabilir.
  
• Tipik saldırılar: Önbellek zehirleme (sahte cevabı önbelleğe sokmak), DNS amplifikasyonu (DDoS), alan adı ele geçirme ve benzer isimli alan adlarıyla oltalama.
  

İlk denemeler
Daha ileri komutlar (+trace, DNSSEC doğrulama, sorun giderme) için Araç Tanıtım ve Eğitimleri bölümündeki dig ve delv rehberine göz atabilirsiniz.

Kendinizi test edin

1. Yetkili sunucu ile özyinelemeli çözümleyicinin farkı nedir?
   
2. TTL çok yüksek olursa bir IP değişikliğinde ne olur?
   
3. TSIG neyi korur, DNSSEC neyi korur?
   

Cevaplarınızı yorumlara yazın, birlikte kontrol edelim.

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

• https://www.cloudflare.com/learning/dns/what-is-dns/
  
• https://kb.isc.org/docs/cve-2026-94300
  
• https://www.rfc-editor.org/rfc/rfc8945