Ağ bilgisini okumak

Açılış

Tolga, Selin'in ekibindeki geliştiricilerden biri, Antalya'da bir fuar için kaldığı otelin lobisinde dizüstüyle çalışıyordu. Öğleden sonra şirketin uç nokta yazılımı küçük bir bildirim gösterdi: dizüstünün ağ geçidi olarak bildiği cihazın donanım adresi, oturumun ortasında değişmişti.

Tolga ne demek olduğunu bilmiyordu; Selin'i aradı. Selin ona komut satırını açıp tek bir komut yazmasını söyledi ve çıkan listeyi satır satır okuttu. Listede otelin ağ geçidinin adresi, 192.168.0.1, duruyordu ve yanında bir donanım adresi vardı. Birkaç satır aşağıda, 192.168.0.37 adresli başka bir cihazın yanında da birebir aynı donanım adresi yazıyordu. İki ayrı IP adresi, ağdaki tek bir fiziksel cihaza işaret ediyordu.

Selin, Tolga'dan otel ağından hemen çıkıp telefonunun kişisel erişim noktasına geçmesini, şirket hesaplarının oturumlarını kapatıp yeniden açmasını istedi ve durumu güvenlik ekibine bildirdi. Belki bir yanlış yapılandırmaydı, belki değildi; ama bilgisayarın ağ hakkında inandığı şeyle gerçek arasında bir fark vardı. Bu ders, bilgisayarının ağ hakkında ne bildiğini, kiminle konuştuğunu ve trafiğini hangi yoldan gönderdiğini komut satırından okumayı öğretiyor.

Tek fikir

Bilgisayarın her an üç şeye inanır: kendi adresinin ne olduğuna, komşularının kim olduğuna ve trafiği hangi kapıdan çıkaracağına. Bu inançları okumak, hem bağlantı sorunlarını çözmenin hem de ağdaki bir aldatmacayı fark etmenin yoludur.

Nasıl çalışır

IP adresi dersinde kendi adresini, alt ağ maskeni ve varsayılan ağ geçidini ipconfig ile bulmuştun; alan adı sistemi dersinde de çözümleyicini görmüştün. Bunlar bilgisayarın ağ kimliğidir. Bu ders o kimliğin üstüne üç tablo daha ekliyor: açık bağlantılar, komşular ve yollar.

Önce bağlantılar. Port ve servis dersinde dinleyen portları listelemiş, bir programın kapıyı açıp beklediğini görmüştün. Bekleyen kapı bir şeydir; o kapıdan şu anda geçen konuşma başka bir şey.

Bir kurulmuş bağlantının en değerli sütunu, sahibi olan sürecin kimliğidir. Çalışan süreçleri görmek dersinde bir programın hangi dosyadan çalıştığını, kimin imzaladığını ve onu kimin başlattığını sorgulamayı öğrenmiştin; şimdi bunun yanına bir soru daha eklenir: bu süreç kiminle konuşuyor? Bir tarayıcının onlarca uzak adresle konuşması olağandır. Kullanıcı klasöründen çalışan, imzasız ve adı tanıdık bir sürecin her dakika aynı uzak adrese bağlanması ise olağan değildir. Bağlantı listesi ile süreç listesi, aynı numara üzerinden birleştiğinde anlam kazanır.

İkinci tablo komşulardır. Yerel ağda bir cihaz başka bir cihaza paket gönderirken yalnız IP adresini bilmek yetmez; paketin kabloya ya da havaya çıkabilmesi için alıcının donanım adresi, yani MAC adresi gerekir.

Mekanizma şudur: aynı yerel ağdaki bir cihaz, ağ geçidinin adresi için kendi donanım adresini duyurursa, ona inanan bilgisayarlar internete giden trafiklerini önce o cihaza gönderir. Ağ geçidinin satırında başka bir cihazın donanım adresinin görünmesi ve iki farklı IP adresinin aynı donanım adresine çıkması, Tolga'nın listesindeki tablonun tam olarak böyle bir durumla uyumlu olmasının sebebidir. Aynı görüntünün masum açıklamaları da vardır; bazı ağ cihazları birden fazla adrese aynı donanımla cevap verir. Bu yüzden tablo bir kanıt değil, sorulması gereken bir sorudur. Ortadaki adam saldırısını sertifika dersinde tanımlamıştık; ARP zehirleme, yerel ağda o konuma yerleşmenin yollarından biridir.

Üçüncü tablo yollardır.

Yönlendirme tablosu, trafiğinin gerçekte hangi kapıdan çıktığını söyler. Bir kurumda bütün trafik güvenlik duvarından geçecek biçimde tasarlanmıştır; ama bir bilgisayara takılan bir mobil modem, tabloya güvenlik duvarını atlayan ikinci bir çıkış ekleyebilir. Tablo bunu gösterir, ağ şeması göstermez.

Sahada

Savunma

Ağ bilgisine dair savunmanın özü, bilgisayarının ağ hakkındaki inançlarını ara sıra okuyup gerçekle karşılaştırmaktır.

Bağlantılar için savunma, uzak adresleri süreçlerle birlikte okumaktır. Tek başına bir uzak adres çok az şey söyler; büyük hizmetler binlerce adres kullanır. Ama bir adres bir sürece, süreç de bir dosya konumuna bağlandığında, Çalışan süreçleri görmek dersindeki dört soru yeniden işe yarar. Düzenli aralıklarla tekrarlanan, küçük ve aynı adrese giden bağlantılar özellikle dikkat ister; Kaan'ın gördüğü desen, kurumların tespit kurallarında aradığı desenlerden biridir.

Komşu tablosu için ev kullanıcısının elinde güçlü bir araç yoktur ve olması da gerekmez. Asıl savunma, yerel ağa güvenmeyen bağlantılar kullanmaktır: HTTPS ile açılan bir site, ARP tablosu zehirlenmiş olsa bile içeriğini okuyamayacağı ve sertifika uyarısı olmadan taklit edemeyeceği bir kanaldan konuşur. Sertifika uyarısını geçmemek, bu yüzden otel ve kafe ağlarında daha da önemlidir. Kurumlarda ise ağ anahtarları, ARP cevaplarını yetkili adres atamalarıyla karşılaştırıp uyuşmayanları düşürecek biçimde yapılandırılabilir; bu, Bora'nın DHCP portu korumasının kardeşidir ve Seviye 3'teki ağ sıkılaştırma modülünde yerini alacak. Tolga'nın şirketinin uç nokta yazılımı da tam olarak ağ geçidinin donanım adresindeki ani değişikliği izliyordu.

Yönlendirme tablosu için savunma, beklenmeyen çıkışları fark etmektir. Kurumda her bilgisayarın tek bir varsayılan yolu olmalı ya da şirketin sanal özel ağına giden, bilinen satırlar bulunmalıdır. Bora'nın istasyonundaki gibi ikinci bir çıkış, güvenlik duvarının bütün kurallarını boşa çıkarır; envanterde her cihazın ağ çıkışları da yazılmalıdır.

Son olarak, şüphe doğduğunda ilk adım ağdan çıkmaktır, ağı kurcalamak değil. Tolga'nın yaptığı gibi güvenilmeyen ağdan ayrılmak, oturumları yenilemek ve durumu sorumlu ekibe bildirmek, kendi başına "kim yapıyor" diye aramaktan hem daha güvenli hem de daha doğrudur.

Uygulama

Komut satırında kendi bilgisayarının üç tablosunu okuyacak, kurulu bağlantıları süreçlere bağlayacak ve ağ geçidinin donanım adresini kayda geçireceksin. Komutların hepsi yalnız okur; hiçbir ayarı değiştirmez.

Gördüklerinin çoğu sıradan çıkacak ve bu sıradanlığı kaydetmek, bir gün sıra dışını tanımanın ön koşulu.

Defter: Ağ sayfasına evin ağ geçidinin IP adresi ve donanım adresi, tarihiyle. Bilgisayarının olağan varsayılan yol sayısı ve sanal özel ağ açıkken eklenen satırlar. En sık bağlantı kuran üç program. Seyahat notu: otel ya da kafe ağında ağ geçidinin donanım adresi değişirse ağdan çık, telefonun erişim noktasına geç ve oturumları yenile.

Hata köşesi

Etik ve sınırlar

Bu dersteki komutların hepsi bilgisayarın kendi tablolarını okur ve kendi bilgisayarında, ya da sahibinin açık izniyle bir başkasınınkinde kullanılır. Ece, Barış'ın bağlantı listelerini onun izni ve haberiyle aldı. Paylaşılan bir ağda başka cihazların trafiğini yakalamak, ARP tablolarını değiştirmek ya da bir ağ geçidi gibi davranmak ise bu dersin sınırının dışındadır: sahibinin yetkisi olmadan yapıldığında hem o ağdaki insanların haberleşmesine müdahale hem de bilişim suçudur, amaç "sadece denemek" olsa bile. Tolga bir tuhaflık gördüğünde kimin yaptığını bulmaya çalışmadı, otelin ağında hiçbir şeyi yoklamadı; ağdan çıktı ve şirketinin yetkili ekibine haber verdi. Otelin ağını incelemek otelin işidir.

Kapanış

1. Bilgisayar her an kurulmuş bağlantılar, komşu tablosu ve yönlendirme tablosu tutar; bunlar onun kiminle konuştuğunu, komşularını kim sandığını ve trafiğini hangi kapıdan çıkardığını gösterir.
2. ARP, gelen cevapları doğrulamadan tablosuna yazar; aynı yerel ağdaki bir cihaz bu yüzden ağ geçidi gibi görünüp trafiğin arasına girebilir ve asıl savunma şifreli bağlantılar ile anahtar düzeyindeki denetimdir.
3. Bağlantılar süreçlerle birlikte okunur, yönlendirme tablosundaki beklenmeyen çıkışlar envantere girer ve güvenilmeyen bir ağda şüphe doğduğunda ilk adım ağdan çıkmaktır.

Üç soru

1. Tolga'nın komşu tablosunda onu şüphelendiren neydi ve Selin neden önce otel ağından çıkmasını istedi?
2. Kaan'ın gördüğü bağlantı neden yalnız uzak adresine bakılarak değil, sahibi olan süreçle birlikte değerlendirildi?
3. Bora'nın iş istasyonundaki ikinci varsayılan yol neden ciddi bir sorundu?

Yanıtlar

1. Otelin ağ geçidinin IP adresi ile başka bir cihazın IP adresi, aynı donanım adresine çıkıyordu; bu, ağdaki bir cihazın ağ geçidi gibi davranarak trafiği üzerinden geçiriyor olabileceğiyle uyumludur. Kesin bir kanıt değildi, ama güvenilmeyen bir ağda kalıp araştırmak riski sürdürürdü; ağdan çıkmak, oturumları yenilemek ve bildirmek riski hemen kapatıyordu.
2. Uzak adres tek başına çok az şey söyler, çünkü meşru hizmetler de sayısız adres kullanır. Bağlantının sahibi olan süreç ise imzası olmayan ve kullanıcının kendi klasöründen başlatılan bir dosyaydı ve bağlantı her altmış saniyede bir küçük veriyle tekrarlanıyordu. Süreç ve desen birlikte, ele geçirilmiş bir makinenin yönetim sunucusuna haber vermesine benziyordu.
3. Hastanenin bütün güvenlik kuralları trafiğin güvenlik duvarından geçtiği varsayımına dayanıyordu. Unutulan mobil modem, istasyona güvenlik duvarını tamamen atlayan ikinci bir çıkış veriyordu; bu çıkıştan gelen ya da giden hiçbir şey denetlenmiyor ve kaydedilmiyordu.

Sonraki derse köprü

Bu dersteki üç tablo yalnız şu anı gösterir: Kaan'ın gördüğü bağlantı kapandığında listeden düşer, Tolga'nın komşu tablosu birkaç dakika içinde kendini yeniler. Dün gece ne olduğunu, bir oturumun ne zaman açıldığını ya da bir hizmetin neden yeniden başladığını ise ancak işletim sisteminin tuttuğu kayıtlar söyler. Ders 5.6 kayıt dosyalarını okumayı ele alıyor: sistem günlüğünde bir olayı aramayı ve binlerce satırı süzerek aradığına ulaşmayı.