Askıda Kalan DNS Kaydı ve Alt Alan Adı Ele Geçirme

Askıda kalan DNS kaydı, bir alt alan adını hâlâ bir dış hizmete yönlendiren ama o hizmette artık size ait bir içerik ya da hesap bulunmayan kayıttır. MDN'ye göre (yeni sekmede açılır) böyle bir alt alan adı, başkası tarafından ele geçirilebilir ve sizin adınızla içerik yayınlamak için kullanılabilir. Çözüm tek cümledir: bir hizmeti kapatırken önce DNS kaydını silin, yeni hizmet açarken DNS kaydını en son ekleyin. Bir kitap kafenin, yazar etkinliği ya da kampanya için açtığı geçici alt alan adlarını yönetiyorsanız, sıradaki adımlar envanteri nasıl çıkaracağınızı ve eski kayıtları hangi sırayla temizleyeceğinizi gösterir.

DNS ve CNAME: kısa bir hatırlatma

MDN sözlüğü (yeni sekmede açılır) DNS'i (Alan Adı Sistemi), internete bağlı kaynaklar için hiyerarşik ve merkezî olmayan bir adlandırma sistemi olarak tanımlar. DNS, alan adlarının yanında bu adlarla ilişkili kaynakları, örneğin IP adreslerini saklar ve en bilinen işlevi insanların okuyabildiği alan adlarını sayısal IP adreslerine çevirmektir. Kayıt türlerinin ayrıntısı DNS kayıt türleri yazısındadır.

Konunun merkezindeki kayıt türü CNAME'dir. RFC 1034 (yeni sekmede açılır), bir CNAME kaydının sahibi olan adı bir takma ad olarak tanımladığını yazar. Yani kayıt, "bu ad aslında şu başka adtır" der. RFC aynı bölümde bir düğümde CNAME varsa orada başka verinin bulunmaması gerektiğini söyler. Kayıt, takma adın gerçek adını taşır ve ziyaretçi o gerçek adın sunucusuna yönlenir. Bu yönlendirme, hedef taraf artık sizin kontrolünüzde değilse sorunun kaynağıdır.

Alan adı alanı da bir ağaç yapısıdır. RFC 1034'e göre alan adı uzayı bir ağaçtır ve her düğüm ile yaprak bir kaynak kümesine karşılık gelir, bu küme boş da olabilir. Bölgeler (zone) bu ağacın birbirine bağlı parçalarıdır ve ilgili bölge, içindeki adlar için yetkilidir. Sizin DNS panelinizde gördüğünüz kayıtlar, kendi bölgenizin yetkili verisidir; bu yüzden her kayıt sizin sorumluluğunuzdadır.

Askıda kalan DNS kaydı nedir

MDN'nin anlatımıyla alt alan ele geçirme, bir saldırganın hedef alan adının bir alt alan adı üzerinde kontrol kazanmasıdır. Anlatılan durumda alt alan adının DNS'te bir CNAME'e sahip olması ama o ad için içerik sunan bir ana makinenin bulunmamasıdır. Bunun iki nedeni olabilir: sanal ana makine henüz yayınlanmamıştır ya da kaldırılmıştır. İşte kayıt bu boşlukta askıda kalır.

Tablo: Askıda kalan kayıt nasıl ortaya çıkar.

Alt alan adı ele geçirme nasıl olur

MDN iki aşamayı ayırır ve ikisi de sağlayıcının alan adı sahipliğini doğrulamamasına dayanır. Savunma açısından neyin yanlış gittiği açıklanır, uygulama adımı verilmez.

Hizmet kurulurken

MDN'nin örneğinde bir site yöneticisi önce DNS'i ana makineye yönlendirir, sonra sanal ana makineyi oluşturur. Bu iki adım arasında bir boşluk varsa, başka biri o sanal ana makineyi sizden önce talep edebilir. Sağlayıcı alan adı sahipliğini doğrulamıyorsa, DNS ayarlandığı anda o taraf içerik yayınlayabilir. Bu yüzden MDN, kurulumda sanal ana makineyi önce talep etmeyi ve DNS kaydını en son oluşturmayı önerir.

Hizmet kapatılırken

Sanal ana makineyi kaldırıp DNS kaydını bırakırsanız, aynı sağlayıcıda sizin adınızı kullanan yeni bir sanal ana makine açılabilir. MDN'nin kuralı bu yüzden tersidir: kapatırken önce DNS kayıtlarını kaldırın. İşlemleri birbirine mümkün olduğunca yakın yapın.

MDN bunu bir elektrik prizi benzetmesiyle anlatır: alt alan adı bir prizdir, ana makine ona takılı bir cihazdır. Cihazı çıkardığınızda priz boşta kalır ve başkası kendi cihazını takabilir. Elektriği sigorta kutusundan, yani DNS'ten kesmek gerekir. Benzetme, sırayı akılda tutmanın en iyi yoludur.

Neden hem güvenlik hem itibar sorunudur

MDN, ele geçirme halinde saldırganın ana alan adından belirlenen çerezleri okuyabileceğini, çapraz site betik çalıştırma yapabileceğini ve içerik güvenliği politikalarını (CSP) aşabileceğini yazar. Bu sayede oturum bilgileri dahil korunan bilgilerin ele geçirilmesi ya da kullanıcılara zararlı içerik gönderilmesi mümkün olur. Yani yalnız boş bir sayfa değil, ana alan adının güvenlik varsayımları da risk altındadır.

Güvenlik tarafında CSP ve çerez ayarlarının nasıl çalıştığını web sitesi güvenliği ve hosting kontrol listesi yazısından okuyabilirsiniz. MDN'nin bu konudaki cümlesi önemlidir: ele geçirilen alt alan adı, ana alan adı için kurduğunuz korumaları da zayıflatabilir.

İtibar tarafı

MDN sayfası itibar etkisini ayrıca adlandırmaz, fakat sonucu açıktır: ziyaretçiler adresin sizin alan adınız olduğunu görür ve içeriğe güvenir. Uygulama önerisi olarak etkiyi şöyle düşünün. Arama sonuçlarında ya da bağlantılarda sizin alan adınızla anılan bir adreste istenmeyen bir içerik görünürse, hem müşteriler hem arama motorları o içeriği sizinle ilişkilendirebilir. Arama tarafında bir ele geçirme yaşandığında izlenecek temizlik adımları için hacklenmiş site ve SEO spam temizliği yazısına bakın.

Kayıt envanteri nasıl çıkarılır

MDN'nin önleme önerisi açıktır: kuruluşunuzun tüm alan adlarının ve barındırıcılarının envanterini çıkarın ve hiçbir şeyin askıda kalmadığından emin olmak için değiştikçe güncelleyin. Envanter, DNS panelinizdeki her kaydın bir sahibi, bir amacı ve bir hedefi olduğunu gösteren bir tablodur.

Tablo: Envanter sütunları.

Envanteri çıkarmak için kaynaklar

• Alan adı kayıt firmasındaki ve DNS sağlayıcısındaki tüm bölge dosyaları ve kayıt listeleri
• Pazarlama, ajans ve satıcı sözleşmeleri ile ilgili e-posta yazışmaları
• Siteyi kuran kişilerin ve eski ekip üyelerinin notları
• Barındırma ve bülten, rezervasyon, bilet gibi dış hizmetlerin hesap panelleri
• Sitemap, dahili bağlantılar ve eski kampanya yazılarındaki alt alan adı geçen adresler

Alan adı yenileme, aktarım ve DNS yönetiminin genel çerçevesi için alan adı yönetimi rehberi yazısına bakın.

Hangi kayıt askıda: karar kuralı

Her CNAME ya da dış hizmete işaret eden kayıt için sırayla üç soruyu yanıtlayın.

1. Hedef hizmette bu ad için hâlâ size ait, etkin bir hesap, proje ya da sanal ana makine var mı?
2. Bu adresi kullanan canlı bir sayfa, bağlantı ya da e-posta akışı var mı?
3. Kayıt için adı olan, ulaşılabilir bir sorumlu var mı?

Karar tablosu: Üç sorunun sonucu.

Üçüncü satırdaki sıraya dikkat edin. MDN'nin kuralıyla uyumlu olarak DNS silmesi, hizmetteki hesabı kapatmadan önce yapılır.

Eski kayıtları silme sırası

Uygulama önerisi: silmeden önce kaydın mevcut değerini bir kayda geçirin, böylece yanlışlıkla silinen bir kaydı geri yükleyebilirsiniz. Silme işlemini sistematik yapın.

1. Envanterde kaydın amacını ve sorumlusunu doğrulayın.
2. Kullanım denetimi yapın: siteniz, e-posta ve bağlantılar bu adresi hâlâ çağırıyor mu?
3. Gerekliyse eski adresten yeni bir yere yönlendirme planlayın. Yönlendirmeyi dış hizmetin yerine kendi güvenilir sunucunuz üzerinden yapın.
4. DNS kaydını silin. MDN'ye göre kaldırma işlemi DNS kayıtlarını ilk önce kaldırarak başlar.
5. Ardından dış hizmetteki sanal ana makineyi, projeyi ya da hesabı kapatın.
6. Envanteri güncelleyin ve silinen kaydın tarihini, nedenini ve eski değerini not edin.

Kayıt değişikliklerinin yayılma süresi (TTL) ve geçiş planı için hosting değiştirirken DNS geçişi yazısı yararlı bir çerçeve sunar. Silme işleminin etkisi önbelleklenmiş DNS yanıtları nedeniyle hemen görünmeyebilir.

CNAME dışındaki kayıtlara da bakın

MDN sayfası anlatımını CNAME üzerinden kurar ve diğer kayıt türleri için ayrı bir ifade içermez. Yine de envanter çalışması sırasında panelinizdeki tüm kayıtlara bakmak doğaldır, çünkü eski bir hizmetin artık geçerli olmayan A, MX ya da TXT kayıtları da panelde kalmış olabilir. Tablodaki değerlendirme bir uygulama önerisidir ve MDN'nin ifadesi değildir.

RFC 1034 delegasyonu şöyle anlatır: bölge kesim noktalarında NS kayıtları alt bölgenin sunucularını adlandırır. Bir alt alanı eski bir ortağın DNS sunucularına devrettiyseniz, o ortak yönetimi bıraktığında da aynı tür sorun doğabilir. Bu nedenle NS kayıtları envanterin ayrı bir satırı olmalıdır.

Silmeden önce ters kontrol

Yanlış kaydı silmek de kesinti yaratır. Bir MX ya da TXT kaydını silmeden önce e-posta gönderim ve alım akışının o kayda dayanıp dayanmadığını doğrulayın. Bir CNAME'i silmeden önce o adresin hâlâ sitemap'te, iç bağlantılarda, QR kodlarda ya da basılı afişlerde yer alıp almadığına bakın. Kitap kafe gibi fiziksel materyal kullanan işletmelerde basılı bir QR menüsü yıllarca dolaşımda kalabilir. Bu tür adresleri silmek yerine önce yeni bir hedefe taşımayı değerlendirin.

Yeni alt alan adı açarken doğru sıra

MDN'nin kuralının yarısı kurulumdur: kurulumu sanal ana makineyi talep ederek başlatın ve DNS kayıtlarını en son oluşturun. Bunun anlamı, dış hizmette önce etkin bir proje ya da ana makine oluşturup adresi o hizmette tanımlamak, ancak hizmet "hazır" olduğunda DNS'te CNAME eklemektir.

Tablo: Yeni alt alan adı için kontrol sırası.

Alt alan adı mı yoksa alt dizin mi açacağınız ayrı bir karardır. Bu seçimin SEO tarafı için alt alan adı mı alt dizin mi yazısına bakın; geçici kampanyalar için alt dizin, DNS yüzeyini küçültmenin bir yolu olabilir. Bu bir uygulama önerisidir ve sıralama iddiası içermez.

Örnek senaryo: kitap kafenin eski kampanya adresleri

Örnek senaryo: bir kitap kafe, son iki yılda yazar söyleşisi, okuma kulübü kaydı, üç ayrı bülten kampanyası ve bir rezervasyon sistemi için ayrı alt alan adları açmış. Bir dış hizmetin deneme hesabı kapanmış, bir ajansla çalışma bitmiş ve yeni bir ekip DNS paneline girdiğinde yirmiden fazla kayıt buluyor. Hangisinin ne işe yaradığını kimse bilmiyor.

Önerilen akış şöyledir. Önce bütün kayıtları bir tabloya dökün. Sonra her dış hizmete işaret eden kayıt için üç soruluk karar kuralını uygulayın. Hesabı kapanmış hizmetlere işaret eden kayıtlar askıda sayılır ve ilk silinecek olanlardır. Aktif kullanılan rezervasyon alt alan adı ise korunur ve sorumlusu yazılır. Son olarak kafe, yeni bir etkinlik açılırken kullanacağı kısa bir açılış ve kapanış listesi hazırlar.

Aynı senaryoda alınacak kararlar

Etkinlik alt alan adı için açılış ve kapanış listesi

• Açılış: hizmette proje oluşturuldu, içerik hazır, sorumlu yazıldı, kapanış tarihi takvimde.
• Açılış: DNS kaydı en son eklendi ve canlı adres beklenen içeriği veriyor.
• Kapanış: etkinlik bitti, adresin hâlâ kullanılıp kullanılmadığı kontrol edildi (afiş, QR kod, e-posta).
• Kapanış: gerekirse kalıcı bir sayfaya yönlendirme planlandı.
• Kapanış: DNS kaydı silindi, ardından hizmetteki proje kapatıldı.
• Kapanış: envanter güncellendi, silinen kaydın eski değeri not edildi.

Şüphelenirseniz ilk müdahale

Alt alan adınızda size ait olmayan bir içerik görürseniz MDN'nin önerdiği ilk adım, mümkünse elektriği kesmektir: o alt alan adının DNS girdisini kaldırın. Sitenizde birden fazla sanallaştırma katmanı varsa (örneğin barındırmaya ek olarak bir CDN), saldırganın sahiplik talebini tam olarak nerede kurduğunu görmek için her katmanı incelemeniz gerekebilir.

1. DNS kaydını kaldırın ve değişikliği kaydedin.
2. Her katmanda (hosting, CDN, e-posta hizmeti, dış platform) alt alan adının nerede tanımlı olduğunu kontrol edin.
3. Ana alan adındaki çerezlerin ve oturumların etkilenip etkilenmediğini değerlendirin, gerekirse oturumları sonlandırın ve parolaları yenileyin.
4. Arama sonuçlarında ve Search Console'da alt alan adı için beklenmeyen bir içerik olup olmadığına bakın.
5. Olayı kaydedin ve envantere ders olarak ekleyin.

Sağlayıcılardan beklentiniz

MDN, barındırma sağlayıcılarına baskı yapmayı da önerir: bir sanal ana makineyi talep eden kişinin alan adı üzerinde meşru bir hakkı olduğunu nasıl doğruladıklarını sorun. Bir dış hizmeti seçerken ya da yenilerken bu soruyu sözleşme sürecine dahil edebilirsiniz. Ayrıca kurumsal bir yapıda departmanlar arası koordinasyonun önemini MDN şöyle vurgular: organizasyonel karmaşıklık, yanlış yapılandırma olasılığını yalnız artırabilir. Pazarlama, ajans ve BT arasında alt alan adı açma ve kapatma yetkisini tek bir kişiye ya da role bağlamak, bu karmaşıklığı azaltır.

Ajans ve satıcı sözleşmesine eklenecek maddeler

Uygulama önerisi: ajans ya da satıcı sizin adınıza alt alan adı açacaksa sözleşmeye şu maddeleri koyun. Açılan her alt alan adı yazılı olarak size bildirilir. İş bittiğinde ya da sözleşme sona erdiğinde kayıtlar silinir ya da size devredilir. Hizmet hesabının sahibi kimdir ve hesap kapanırken kimin onayı gerekir. Ayrıca satıcıdan, kullandığı barındırma hizmetinin alan adı sahipliğini nasıl doğruladığını sormasını isteyin; MDN bu soruyu sağlayıcılara yöneltmeyi önerir.

Kendi alt alan adlarınızı yoklamak

Envanter yalnızca kayıtların beklenen durumunu gösterir; gerçek durumu görmek için her kaydı canlıda da yoklamanız gerekir. Bu bir savunma denetimidir: yalnız size ait alan adları ve alt alan adları kontrol edilir.

Sağlayıcının hata sayfasının metni her hizmette farklıdır ve MDN sayfası belirli bir sağlayıcının metnini vermez. Bu yüzden listede örnek cümle yok. Kural, tanımadığınız ya da "sahipsiz" görünen bir sayfayı acil bir uyarı saymaktır. Böyle bir adreste ilk işlem, ilgili DNS kaydını kaldırmaktır.

Sonuçları kayda geçirmek

Yoklama sonuçlarını envanterdeki "son kontrol tarihi" sütununa işleyin. Bir kaydın son kontrol tarihi eskidiyse, kayıt kullanımda olsa bile gözden geçirme sırasının başına alınır. Bu alışkanlık, hiç kimsenin bakmadığı kayıtların biriktiği yerde ortaya çıkan sorunu en erken yakalayan yöntemdir. Ekip küçükse yoklamayı bir takvim hatırlatmasıyla sınırlayın ve sonucu tek satırlık bir nota çevirin: kaç kayıt kontrol edildi, kaçı silindi, kaçı sahibini buldu.

Hizmet kapatılırken kaçınılacak yanlışlar

• Hesabı önce kapatıp DNS silmeyi "sonra yaparım" diye ertelemek
• Silme sorumluluğunu "bilgi işlem yapar" diye kimseye atamamak
• Deneme ya da test hesabını envantere hiç yazmamak
• Kampanya bittikten sonra yalnız sayfayı kaldırıp alt alan adını bırakmak
• Ajansın DNS paneline kendi yetkisiyle girip eklediği kaydı sizden gizli tutması durumunu denetlememek

Düzenli denetim takvimi

Envanter bir kez doldurulup bırakılırsa eskir. MDN envanterin değiştikçe güncellenmesini söyler. Uygulama önerisi olarak denetimi olaylara ve belirli aralıklara bağlayın.

Aralık seçimi sitenizin değişim hızına bağlıdır. Belgeler bir aralık önermez. Sık kampanya açan bir işletme aylık, nadiren değişen bir site daha seyrek bakabilir.

Denetim bulgularını önceliklendirme

Denetim sonunda birden çok şüpheli kayıt çıkabilir. Uygulama önerisi: hepsini aynı anda silmeye çalışmayın, riske göre sıralayın.

Karar kuralı: iki bulgu eşit görünüyorsa üyelerin ya da müşterilerin gerçekten kullandığı alt alan adını öne alın. Etkisi daha hızlı fark edilir, düzeltmenin gerekçesi de daha kolay anlatılır.

Devir teslimde kayıt kontrolü

Alt alan adı riskinin önemli bir kısmı devir teslim anlarında oluşur. Bir çalışan ayrıldığında, ajans değiştiğinde ya da şirket el değiştirdiğinde, eski kampanyaların hangi hizmete bağlandığını bilen kişi ortadan kalkar. Kayıtlar yerinde durur, hizmet hesapları ise ücretsiz paketin süresi dolduğu için ya da fatura ödenmediği için kapanır.

Uygulama önerisi: devir teslim toplantısının gündemine üç soru koyun. Hangi alt alan adları hangi dış hizmete bağlı? Hangi hizmetlerin hesabı kimin e-posta adresiyle açıldı? Hangi kampanyalar sona erdi ama kayıtları silinmedi? Yanıtlar envanterle karşılaştırılır, eksik satırlar tamamlanır ve her satırın yanına yeni bir sorumlu rol yazılır.

Hesap sahipliği ayrıca ele alınmalıdır. Bir dış hizmet hesabı çalışanın kişisel e-postasına bağlıysa, kişi ayrıldığında hesabın parolası sıfırlanamaz ve hizmet kapatılamaz; kayıt DNS'te kalır. Bu yüzden hizmet hesaplarını kuruma ait ortak bir adrese bağlayın ve yönetici rolünü en az iki kişiye verin.

Ajans sözleşmesi bittiğinde de aynı sırayı izleyin. Ajansın yönettiği alt alan adlarını listeleyin, her birinin hedefini canlı olarak yoklayın, sürmesi gerekmeyenlerin DNS kaydını silin ve sürenlerin yönetimini kendi hesabınıza alın. Bu adımların tarihi ve sorumlusu envantere yazılırsa sonraki denetim yalnız kayıt okuyarak ilerleyebilir.

Devir teslim notunu kısa tutun ama eksiksiz yazın: kayıt adı, hedef hizmet, hesap sahibi, kapanış tarihi ve son kontrol tarihi. Bu beş alanı doldurabildiğiniz bir kayıt, askıda kalma riskinden büyük ölçüde uzaktır.

Karıştırılan noktalar

Birincisi, "kayıt boşta, zararı yok" varsayımıdır. MDN'ye göre boşta kalan kayıt tam da risktir. İkincisi, yalnız dış hizmetteki hesabı kapatmanın yeterli olduğunu sanmaktır. DNS kaydı kalırsa kapı açık kalır. Üçüncüsü, yalnız CNAME'in riskli olduğunu düşünmektir; MDN sayfası CNAME üzerinden anlatır, diğer kayıt türleri için ayrı bir ifade içermez. Dördüncüsü, bu işin bir kez yapılıp bitirildiğini sanmaktır. MDN envanterin değiştikçe güncellenmesini söyler. Beşincisi, yönlendirme yaptığınız için alt alan adının zararsız olduğunu düşünmektir; yönlendirmenin hedefi sizin kontrolünüzde değilse sorun sürer.

Altıncısı, silmenin geri alınamaz olduğunu sanmaktır. DNS kaydını silmeden önce eski değerini not ettiyseniz, yanlış silinen bir kaydı yeniden ekleyebilirsiniz. Yedeksiz silme ise asıl risktir. Yedincisi, tek bir kişinin bildiği bir kayda güvenmektir: o kişi ayrıldığında kayıt sahipsiz kalır. Bu nedenle envanterdeki sorumlu sütunu bir kişi adı kadar bir rol adı da içermelidir, örneğin "web yöneticisi" gibi, ve rol el değiştirdiğinde güncellenmelidir.

Envanterden örnek satırlar

Sık Sorulan Sorular

Askıda kalan DNS kaydı nedir?

MDN'nin anlatımıyla alt alan adı DNS'te bir CNAME'e sahiptir ama o ad için içerik sunan bir ana makine yoktur. Ana makine henüz yayınlanmamış ya da kaldırılmış olabilir.

Alt alan adı ele geçirilirse ne olur?

MDN, saldırganın ana alan adından belirlenen çerezleri okuyabileceğini, çapraz site betik çalıştırma yapabileceğini ve içerik güvenliği politikalarını aşabileceğini yazar.

Eski bir hizmeti kapatırken hangi sırayı izlemeliyim?

MDN'ye göre kapatmaya DNS kayıtlarını kaldırarak başlayın. Hizmetteki sanal ana makineyi ya da hesabı ondan sonra kapatın ve adımları birbirine mümkün olduğunca yakın yapın.

Yeni alt alan adı açarken sıra ne olmalı?

MDN kurulumu sanal ana makineyi talep ederek başlatmayı ve DNS kayıtlarını en son oluşturmayı önerir.

Envanter için ne tutmalıyım?

MDN, kuruluşun tüm alan adlarının ve barındırıcılarının envanterini tutmayı ve değiştikçe güncellemeyi önerir. Kayıt adı, türü, hedefi, sorumlusu ve kapanış tarihi yararlı sütunlardır; bu sütunlar bir uygulama önerisidir.

Ele geçirildiğinden şüphelenirsem ilk adım ne olmalı?

MDN'ye göre mümkünse ilk adım alt alan adının DNS girdisini kaldırmaktır. Birden fazla katman varsa saldırganın talebini nerede kurduğunu görmek için her katmanı incelemeniz gerekebilir.

Sonuç

Askıda kalan kayıt, kullanmadığınız ama hâlâ sizin adınızı taşıyan bir kapıdır. MDN'nin çözümü basit ve sıralıdır: kurulumda önce hizmeti talep edip DNS'i en son ekleyin, kapatırken önce DNS'i silin, kuruluşun tüm alan adlarının envanterini güncel tutun ve sağlayıcılardan sahiplik doğrulamasını isteyin. Bu işi bir kerelik temizlik değil, her alt alan adı için açılış ve kapanış görevi olan bir süreç olarak yürütün.

Alan adınızın güvenli ve temiz olduğundan emin olduktan sonra görünürlük için sıradaki adıma geçebilirsiniz. Bağlantı kazanımı için backlink paketlerimizi inceleyebilirsiniz.