Hoşgeldin Misafir

#STHM-Ağ Trafiği Temelleri

CW-ommah

CW-ommah

CW-ommah

17 Ocak 2022
904 Mesaj
TIM Görevleri
1

Aktiflik

Seviye

Deneyim

TIM / GÖREV:
Allahın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım bu bölümde ise genel olarak bir ağı analiz ederek ne tür prosedürler uygulanıyor bunlara bakacağız allahın izniyle


Ağ Trafiği Analizi (Network Traffic Analysis – NTA) Nedir?
Çok kısa bir özet geçmek gerekirse verilerin ağda akışı sırasında yakalanması, incelenmesi ve analiz edilmesi sürecini kapsar. Amacı, tam görünürlük sağlamak ve ağ içinde ve dışında neyin iletişim kurulduğunu anlamaktır. NTA’nın yalnızca Wireshark aracıyla eş anlamlı olmadığının altını çizmek önemlidir. Bundan daha fazlasıdır: Belirli hedefler doğrultusunda çeşitli logların ilişkilendirilmesi, derin paket incelemesi ve ağ akış istatistiklerinin bir araya getirilmesinden oluşur

​

What is the Purpose of Network Traffic Analysis?(Ağ Trafiği Analizinin Amacı Nedir?)​

DNS Tunneling and Beaconing(DNS Tünelleme ve İşaretleme)
Şimdi dostlarım bir SOC analisti olduğunuzu düşünün ve WIN-016 adlı, IP adresi 192.168.1.16 olan bir hosttan alışılmadık derecede fazla sayıda DNS sorgusu geldiğine dair bir uyarı alıyorsunuz. Firewall üzerindeki DNS logları, her seferinde farklı bir alt alan adı (subdomain) kullanılarak aynı üst düzey alan adına (TLD) birden fazla DNS sorgusu gönderildiğini gösteriyor.

Kod: 
2025-10-03 09:15:23    SRC=192.168.1.16      QUERY=aj39skdm.malicious-tld.com    QTYPE=A     
2025-10-03 09:15:31    SRC=192.168.1.16      QUERY=msd91azx.malicious-tld.com    QTYPE=A     
2025-10-03 09:15:45    SRC=192.168.1.16      QUERY=cmd01.malicious-tld.com       QTYPE=TXT     
2025-10-03 09:15:45    SRC=192.168.1.16      QUERY=cmd01.malicious-tld.com       QTYPE=TXT

Şimdi elimizdeki DNS kayıtlarına bakarak neler öğrenebileceğimize bir göz atalım. Aslında elimizde ipucu olabilecek birkaç temel veri var:
  • Sorgu ve sorgu türü: Ne arandığını görüyoruz.
  • Alt alan adı (Subdomain) ve ana alan adı (TLD): Bu adresleri AbuseIPDB veya VirusTotal gibi araçlarla taratıp sabıkalı olup olmadıklarını anlayabiliriz.
  • Kaynak IP: Bu trafiği hangi bilgisayarın başlattığını netleştiririz.
  • Hedef IP: Sorgunun nereye gittiğini bulup yine bu IP’nin tehlikeli olup olmadığını kontrol edebiliriz.
  • Zaman damgası: Şüpheli hareketlerin ne zaman başladığını ve hangi aralıklarla yapıldığını bir zaman çizelgesine dökebiliriz.
Ancak dürüst olmak gerekirse, sadece bu bilgilere bakarak kesin bir karara varmak oldukça zor. Çünkü DNS kayıtları bize sadece "etiketi" gösterir, "paketin içini" değil. Bu yüzden trafiği daha derinlemesine incelememiz, yani sorguların ve gelen cevapların içeriğine bakmamız şart.
İşte bu durum, "Ağ Trafiği Analizi"nin (Network Traffic Analysis) neden bu kadar kritik olduğunu kanıtlıyor. Güvenlik duvarları genellikle kimin nereye gittiğini yazar ama içeride ne konuşulduğunu bilmez. Mesela bir saldırgan, ele geçirdiği bilgisayara komut göndermek için TXT kayıtlarını kullanıyor olabilir. Bunu ancak paketi açıp içine baktığımızda görebiliriz.
Hatta hemen alttaki paket analizine bakarsan, sıradan bir DNS cevabı gibi görünen o verinin içinde aslında gizlenmiş komutların (C2) nasıl sırıttığını göreceksin.

Kod: 
Domain Name System (response)
    Transaction ID: 0x4a2b
    Flags: 0x8180 Standard query response, No error
        1... .... .... .... = Response: Message is a response
        .... .... .... 0000 = RCODE: No error (0)
    Questions: 1
    Answer RRs: 1
    Authority RRs: 0
    Additional RRs: 0
    Queries
        cmd1.evilc2.com: type TXT, class IN
    Answers
        cmd1.evilc2.com: type TXT, class IN, TTL 60, TXT length: 20
            TXT: "SSBsb3ZlIHlvdXIgY3VyaW91c2l0eQ=="

Ağ trafiği analizi, hem operasyonel sürekliliğin sağlanması hem de güvenlik risklerinin yönetilmesi açısından kritik bir disiplindir. Özellikle bir SOC perspektifinden bakıldığında, yalnızca teknik bir inceleme yöntemi değil; aynı zamanda tehdit tespiti, doğrulama ve olay müdahalesinin temel yapı taşlarından biridir.
Genel çerçevede ağ trafiği analizini şu amaçlarla kullanırım:
  • Ağ performansını izlemek: Ağın genel çalışma düzenini, bant genişliği kullanımını ve servislerin sağlıklı işleyişini sürekli olarak takip ederim.
  • Anormallikleri tespit etmek: Ani trafik artışları, beklenmeyen gecikmeler veya performans düşüşleri gibi olağan dışı durumları belirleyerek potansiyel tehdit ya da operasyonel sorunları erken aşamada yakalamayı hedeflerim.
  • Şüpheli iletişimleri incelemek: Hem dahili hem de harici trafiği analiz ederek veri sızdırma girişimleri (örneğin DNS üzerinden), zararlı dosya indirme faaliyetleri (örneğin HTTP üzerinden kötü niyetli bir ZIP dosyası) veya ağ içinde yatay hareket (lateral movement) gibi tehdit göstergelerini araştırırım.
Bir SOC (Güvenlik Operasyon Merkezi) bakış açısıyla ağ trafiği analizi şu konularda doğrudan katkı sağlar:
  • Şüpheli veya kötü niyetli faaliyetlerin erken aşamada tespit edilmesi,
  • Olay müdahalesi sürecinde saldırının adım adım yeniden kurgulanması (attack reconstruction),
  • Üretilen güvenlik uyarılarının doğrulanması ve yanlış pozitiflerin ayıklanması.
Ağ trafiği analizinin önemini ortaya koyan iki örneği şu şekilde özetleyebilirim:
İlk senaryoda, bir son kullanıcı sistemine ait loglar incelendiğinde, sistemin UTC 16:00 civarında normal davranış modelinden sapmaya başladığı tespit edildi. Bu zaman aralığına ait inbound ve outbound ağ trafiğini analiz ettiğimde, şüpheli bir HTTP isteği fark ettim. Trafiğin ayrıştırılması (packet analysis) sonucunda, sistemin zararlı içerik barındıran bir ZIP dosyası indirdiği ortaya çıktı.
kinci senaryoda ise, bir son kullanıcı sisteminin ağın belirlenen baseline değerlerine kıyasla olağan dışı derecede fazla DNS isteği gönderdiğine dair bir uyarı aldım. DNS sorgularını detaylı incelediğimde, her istekte farklı alt alan adları kullanıldığını ve bunun aslında "DNS tünelleme" tekniğiyle gerçekleştirilen bir veri sızdırma yöntemi olduğunu tespit ettim.

What Network Traffic Can We Observe?(Hangi ağ trafiğini gözlemleyebiliriz?)​

Ağda gözlemleyebileceğimiz trafiği en iyi şekilde göstermek için, neredeyse her ağ arayüzüne sahip cihazda uygulanmış olan mimariyi kullanmak gerekir: TCP/IP yığını. Aşağıdaki görsel TCP/IP modelinin farklı katmanlarını göstermektedir. Her katman, veriyi bir sonraki katmana iletmek için gerekli bilgileri (başlıkları) tanımlar. Bu başlıklarda yer alan bilgiler, uygulama verisiyle birlikte, tam olarak gözlemlemek istediğimiz şeydir. Günlük kayıtları (loglar) genellikle bu başlıkların parçalarını içerir, ancak hiçbir zaman tam paket ayrıntılarını vermez. İşte bu nedenle ağ trafiği analizi yapmamız gerekir.
1771147270058.png​

Application Layer (Uygulama Katmanı)​

Uygulama katmanında temelde iki kritik veri yapısı bulunur: uygulama başlık bilgisi (header) ve uygulama verisi (payload). Bu yapıların içeriği, kullanılan uygulama katmanı protokolüne göre değişiklik gösterir. Örneğin HTTP protokolü üzerinden ilerleyelim.
Bir istemci sunucuya bir HTTP GET isteği gönderdiğinde, isteğin içerisinde belirli başlık alanları yer alır. Aynı şekilde sunucu da yanıt dönerken kendi HTTP başlıklarını iletir. Çoğu web proxy ve güvenlik duvarı, bu başlık (header) bilgilerini log’lar. Çünkü başlıklar; istek tipi, talep edilen kaynak, yanıt kodu ve içerik türü gibi kritik meta verileri içerir.
Örneğin bir GET isteğinde, istemcinin suspicious_package.zip adlı bir dosyayı talep ettiğini başlık bilgilerinden açıkça görebiliriz. Sunucunun yanıtında yer alan 200 OK durum kodu ise isteğin başarıyla karşılandığını gösterir.
Ancak burada önemli bir nokta vardır: Güvenlik cihazları çoğu zaman yalnızca başlık bilgilerini kaydeder. Asıl içerik olan uygulama verisi (payload) — yani bu örnekte ZIP dosyasının gerçek içeriği — genellikle log’larda yer almaz. Dolayısıyla, indirme işleminin gerçekleştiğini biliriz; fakat indirilen dosyanın zararlı mı yoksa meşru mu olduğunu yalnızca başlık bilgilerine bakarak anlayamayız.
Bu nedenle uygulama katmanında yapılan analizlerde, sadece header verilerine güvenmek yeterli değildir. Gerçek risk çoğu zaman görünmeyen yük (payload) kısmında saklıdır.

Talep
Kod: 
GET /downloads/suspicious_package.zip HTTP/1.1
Host: www.tryhackrne.thn
User-Agent: curl/7.85.0
Accept: */*
Connection: close

Yanıt
Kod: 
HTTP/1.1 200 OK
Date: Mon, 29 Sep 2025 10:15:30 GMT
Server: nginx/1.18.0
Content-Type: application/zip
Content-Length: 10485760
Content-Disposition: attachment; filename="suspicious_package.zip"
Last-Modified: Mon, 29 Sep 2025 09:54:00 GMT
ETag: "5d8c72-9f8a1c-3a2b4c"
Accept-Ranges: bytes
Connection: close
[binary ZIP file bytes follow — 10,485,760 bytes]

Taşıma (Transport) Katmanı​

Uygulama katmanında oluşturulan veri — yani başlık (header) ve yük (payload) — ağ üzerinden iletilmeden önce taşıma katmanında işlenir. Bu aşamada veri daha küçük parçalara bölünür ve her bir parça ayrı ayrı kapsüllenerek iletilir.
Her bir parçanın başına bir taşıma katmanı başlığı eklenir. Bu başlık çoğu senaryoda TCP veya UDP protokolüne aittir. Kullanılan protokol; iletişimin güvenilirlik, sıralama ve hata kontrolü gibi gereksinimlerine göre belirlenir.
Taşıma katmanının temel amacı, uygulamalar arasında uçtan uca iletişimi sağlamaktır. Bu katman sayesinde:
  • Kaynak ve hedef port bilgileri belirlenir,
  • Veri akışı kontrol edilir,
  • Gerekirse yeniden iletim (retransmission) yapılır,
  • Oturumun durumu takip edilir.
Güvenlik duvarı (firewall) log kayıtlarına baktığımızda genellikle şu bilgileri görürüz: kaynak IP, hedef IP, kaynak port, hedef port, kullanılan protokol (TCP/UDP), bağlantı durumu ve aktarılan veri miktarı.
Ancak burada da önemli bir sınır vardır. Firewall logları çoğu zaman taşıma katmanı bilgilerini ve oturum meta verilerini kaydeder; fakat uygulama katmanındaki gerçek içerik (payload) bu kayıtlarda yer almaz.
Bu nedenle taşıma katmanı analizi, bağlantının kimler arasında ve hangi protokol üzerinden gerçekleştiğini anlamamızı sağlar; fakat aktarılan verinin içeriğini görmek için daha derinlemesine trafik analizi (örneğin paket inceleme) gerekir.

Kod: 
2025-10-13 09:15:32 ACCEPT TCP src=192.168.1.45 dst=172.217.22.14 sport=51432 dport=443 flags=SYN len=60
2025-10-13 09:15:32 ACCEPT TCP src=172.217.22.14 dst=192.168.1.45 sport=443 dport=51432 flags=SYN,ACK len=60

Güvenlik duvarı günlükleri (firewall logs) genellikle kaynak ve hedef portlarını ve bayrakları içerir, ancak diğer alanların çoğu dahil edilmez. Oysa bu alanlar, oturum kaçırma (session hijacking) gibi belirli saldırı türlerini tespit etmek için değerlidir. Oturum kaçırma, başlıkta yer alan sıra numaraları (sequence numbers) analiz edilerek tespit edilebilir. Eğer sıra numaraları aniden çok uzak değerler gösterirse, daha ayrıntılı bir inceleme yapılması gerekir. Aşağıdaki çıktı, Wireshark ile yakalanmış bir dizi paketi göstermektedir.

Kod: 
No.     Time        Source          Destination     Protocol Length  Info
1       0.000000    192.168.1.45    172.217.22.14   TCP      74      51432 → 80 [SYN] Seq=0 Win=64240 Len=0 MSS=1460
2       0.000120    172.217.22.14   192.168.1.45    TCP      74      80 → 51432 [SYN, ACK] Seq=0 Ack=1 Win=65535 Len=0 MSS=1460
3       0.000220    192.168.1.45    172.217.22.14   TCP      66      51432 → 80 [ACK] Seq=1 Ack=1 Win=64240 Len=0
4       0.010500    192.168.1.45    172.217.22.14   TCP      1514    51432 → 80 [PSH, ACK] Seq=1 Ack=1 Win=64240 Len=1460
5       0.010620    172.217.22.14   192.168.1.45    TCP      66      80 → 51432 [ACK] Seq=1 Ack=1461 Win=65535 Len=0
6       0.020100    192.168.99.200  172.217.22.14   TCP      74      51432 → 80 [PSH, ACK] Seq=34567232 Ack=1 Win=64240 Len=20
  • İlk 3 satır normal bir TCP üç yönlü el sıkışmayı (3-way handshake) göstermektedir.
  • ve 5. satırlar meşru veri aktarımını göstermektedir.
  • satır ise başka bir kaynaktan gelen ve oturuma kendini enjekte etmeye çalışan bir paketi göstermektedir. Sıra numarasındaki (sequence number) büyük sıçramaya dikkat edin.

İnternet (Internet) Katmanı​

Taşıma katmanından çıkan her segment, internet katmanına ulaştığında bir IP başlığı ile kapsüllenerek iletilir. Bu başlık; paketin kaynak ve hedef IP adresi gibi yönlendirme için kritik bilgileri içerir.
Eğer segment boyutu ağın belirlediği Maksimum İletim Birimi (MTU) değerini aşarsa, paket daha küçük parçalara bölünür. Bu işleme fragmentation (parçalama) denir. Her bir parçaya ayrı bir IP başlığı eklenir ve hedef sistemde bu parçalar yeniden birleştirilir.
Güvenlik cihazlarının ve ağ günlüklerinin (log) en sık kaydettiği IP alanları genellikle şunlardır:
  • Kaynak IP adresi
  • Hedef IP adresi
  • TTL (Time To Live)
Çoğu operasyonel senaryoda bu bilgiler yeterlidir. Ancak daha derin bir güvenlik analizi yapıyorsak — özellikle parçalama saldırılarını tespit etmeyi hedefliyorsak — ek alanları da incelememiz gerekir. Özellikle:
  • Fragment Offset (Parça Ofseti)
  • Total Length (Toplam Uzunluk)
Bu alanlar, paketin nasıl bölündüğünü ve yeniden birleştirme sürecinin nasıl gerçekleşeceğini anlamamızı sağlar.
Parçalama saldırılarının farklı türleri bulunmaktadır. Örneğin bir saldırgan, IDS/IPS sistemlerinden kaçmak amacıyla:
  • Normalden çok daha küçük paket parçaları oluşturabilir,
  • Üst üste binen bayt aralıkları (overlapping fragments) kullanarak yeniden birleştirme sürecini manipüle edebilir.
Özellikle üst üste binen parçalar kritik bir risk oluşturur. Örneğin üçüncü satırdaki fragment offset değerinin ikinci satırdaki veri aralığıyla çakışması, hedef sistemin paketi farklı bir şekilde yeniden birleştirmesine neden olabilir. Bu durum, güvenlik sistemlerinin gördüğü veri ile hedef sistemin işlediği veri arasında farklılık yaratabilir.
Saldırganlar bu tekniği, örneğin bir IDS’yi atlatmak veya zararlı içeriği gizlemek amacıyla kullanabilir. Bu nedenle internet katmanındaki alanların detaylı analizi, özellikle ileri seviye tehdit tespitinde kritik önem taşır.

Kod: 
No.   Time       Source        Destination   Protocol Length Info
1     0.000000   203.0.113.45  192.168.1.10  UDP      1514    Fragmented IP protocol (UDP) (id=0x1a2b) [MF] Offset=0, Len=1480
2     0.000015   203.0.113.45  192.168.1.10  UDP      1514    Fragmented IP protocol (UDP) (id=0x1a2b) [MF] Offset=1480, Len=1480
3     0.000030   203.0.113.45  192.168.1.10  UDP       600    Fragmented IP protocol (UDP) (id=0x1a2b) Offset=1480, Len=64   <-- Overlap
4     0.000045   192.168.1.10  203.0.113.45  ICMP      98     Destination unreachable (Fragment reassembly time exceeded)

Bağlantı (Link) Katmanı​

İnternet katmanında IP başlığı eklenip kapsülleme tamamlandıktan sonra, IP paketi bağlantı katmanına iletilir. Bu aşamada paket, yerel ağ içerisinde iletilebilmesi için bağlantı katmanına özgü bir başlık daha alır. Bu başlık genellikle fiziksel adresleme bilgilerini, yani MAC adreslerini, içerir.
Çoğu güvenlik cihazı ve ağ günlüğü (log), bu katmanda kaynak ve hedef MAC adreslerini kaydeder. Standart operasyonel izleme için bu bilgiler genellikle yeterlidir. Ancak bazı saldırı türlerinde yalnızca log verisine bakmak yeterli olmaz. Özellikle:
  • ARP zehirleme (ARP poisoning)
  • MAC sahteciliği (MAC spoofing)
gibi saldırılarda, olayın doğru analiz edilebilmesi için tam paket içeriğine (full packet capture) ve ağ bağlamına ihtiyaç vardır.
Örneğin log kayıtlarında genellikle göremeyeceğimiz anomaliler şunlardır:
  • Aynı MAC adresinin birden fazla ağ arayüzünden görünmesi,
  • Çelişkili MAC adresleriyle gönderilen çok sayıda gereksiz (gratuitous) ARP paketi,
  • ARP tablolarında tutarsız eşleşmeler.
Bir ARP zehirleme senaryosunda saldırgan, ağdaki cihazlara yanlış MAC-IP eşleştirmeleri göndererek trafiği kendi üzerine yönlendirmeye çalışır. Örneğin IP adresi 192.168.1.200 olan bir sistemin, ağdaki tüm ARP isteklerine aynı MAC adresiyle yanıt verdiğini düşünelim. Bu durum, o sistemin ağ üzerindeki trafiği manipüle etmeye çalıştığını gösterebilir.
Bu nedenle bağlantı katmanı analizinde yalnızca log kayıtlarına güvenmek yerine, gerektiğinde paket yakalama (packet capture) verileri üzerinden detaylı inceleme yapmak kritik önem taşır. Özellikle iç ağ tehditlerinde ve man-in-the-middle senaryolarında bu yaklaşım belirleyici olur.

Kod: 
No.   Time       Source           Destination      Protocol Length Info
1     0.000000   192.168.1.1      Broadcast        ARP      60     Who has 192.168.1.10? Tell 192.168.1.1
2     0.000025   192.168.1.10     192.168.1.1      ARP      60     192.168.1.10 is at 00:11:22:33:44:55
3     1.002010   192.168.1.200    192.168.1.1      ARP      60     192.168.1.10 is at aa:bb:cc:dd:ee:ff  <-- Attacker spoof
4     1.002015   192.168.1.200    192.168.1.10     ARP      60     192.168.1.1 is at aa:bb:cc:dd:ee:ff  <-- Attacker spoof
5     1.100000   192.168.1.10     172.217.22.14    TCP      74     54433 → 80 [SYN] Seq=0 Win=64240 Len=0
6     1.100120   192.168.1.200    172.217.22.14    TCP      74     54433 → 80 [SYN] Seq=0 Win=64240 Len=0  <-- Relayed via attacker

​

Network Traffic Sources and Flows(Ağ Trafiği Kaynakları ve Akışları)​

TCP/IP Yığını Perspektifinden Pratik Görünürlük​

TCP/IP yığını üzerinden teorik olarak hangi katmanda neyi gözlemleyebileceğimizi ele aldık. Ancak pratikte tüm katmanları eşit derinlikte incelemek yerine, belirli kaynaklara ve trafik akışlarına odaklanmak çok daha verimli bir yaklaşım sağlar.
Kurumsal ağlar genellikle belirli servisler, belirli iletişim kalıpları ve öngörülebilir trafik davranışları üzerine kuruludur. Bu nedenle görünürlüğü artırmak için hem kaynakları hem de akışları doğru sınıflandırmak gerekir.

Kaynaklar (Sources)​

Ağ üzerindeki trafik üreticilerini iki ana kategori altında değerlendirebiliriz:
  • Aracı (Intermediary) cihazlar
  • Uç nokta (Endpoint) cihazlar
Bu cihazlar hem LAN hem de WAN ortamında bulunabilir.

Aracı Kaynaklar​

Aracı cihazlar, trafiğin büyük bölümünün içinden geçtiği ağ bileşenleridir. Genellikle sınırlı miktarda trafik üretirler; asıl rolleri trafiği iletmek, filtrelemek veya yönlendirmektir.
Bu kategoriye şunlar dahildir:
  • Güvenlik duvarları
  • Anahtarlar (switch)
  • Yönlendiriciler (router)
  • Web proxy’ler
  • IDS / IPS sistemleri
  • Erişim noktaları ve kablosuz LAN denetleyicileri
Daha geniş ölçekte bakıldığında, İnternet Servis Sağlayıcılarının altyapısı da aracı kategoriye girer.
Bu cihazların ürettiği trafik genellikle şu protokollerle ilişkilidir:
  • Yönlendirme protokolleri: EIGRP, OSPF, BGP
  • Yönetim protokolleri: SNMP, ICMP (ping)
  • Günlükleme protokolleri: Syslog
  • Destekleyici protokoller: ARP, STP, DHCP
Bu tür trafik genellikle altyapının sağlıklı çalışmasıyla ilgilidir ve baseline oluşturmak açısından önemlidir.

Uç Nokta Kaynakları​

Uç nokta cihazları, trafiğin başladığı ve sonlandığı sistemlerdir. Ağ bant genişliğinin büyük kısmı bu cihazlar tarafından kullanılır.
Bu kategoriye örnek olarak:
  • Sunucular
  • İstemci bilgisayarlar
  • IoT cihazları
  • Yazıcılar
  • Sanal makineler
  • Bulut kaynakları
  • Mobil cihazlar (telefon, tablet)
verilebilir.
Güvenlik açısından en kritik trafik genellikle uç noktalardan kaynaklanır. Çünkü veri üretimi, kullanıcı etkileşimi ve uygulama işlemleri burada gerçekleşir.

Akışlar (Flows)​

Ağ trafiği akışları, ağda çalışan servisler tarafından belirlenir. Örneğin Active Directory, SMB veya HTTPS gibi hizmetler belirli iletişim kalıpları oluşturur.
Kurumsal ağlarda akışları iki temel kategoriye ayırabiliriz:
  • Kuzey-Güney (North-South) trafiği
  • Doğu-Batı (East-West) trafiği

Kuzey-Güney (North-South) Trafiği​

Bu trafik, LAN ile WAN arasında gerçekleşir; yani kurum içi ağ ile dış dünya arasındaki iletişimi temsil eder.
Genellikle yakından izlenir çünkü dış tehditlerle temas noktası burasıdır.
Bu kategoride yaygın protokoller:
  • HTTPS
  • DNS
  • SSH
  • VPN
  • SMTP
  • RDP
Her protokol için iki yönlü akış söz konusudur:
  • Inbound (ingress) – dışarıdan içeri
  • Outbound (egress) – içeriden dışarı
Bu trafiğin tamamı güvenlik duvarından geçtiği için firewall kurallarının ve loglama yapılandırmasının doğru yapılması görünürlük açısından kritik öneme sahiptir.

Doğu-Batı (East-West) Trafiği​

Bu trafik kurum içi ağ sınırları içinde kalır (buluta uzanan LAN segmentleri dahil).
Genellikle Kuzey-Güney trafiğine kıyasla daha az izlenir; ancak bir ağ ihlali durumunda en kritik görünürlük bu alanda gereklidir. Çünkü saldırganlar içeri girdikten sonra genellikle yatay hareket (lateral movement) gerçekleştirir.
Bu kategorideki başlıca hizmet alanları şunlardır:
  • Dizin, kimlik doğrulama ve kimlik hizmetleri
  • Dosya paylaşımı ve yazdırma hizmetleri
  • Ağ altyapı servisleri
  • Uygulamalar arası iletişim
  • Yedekleme ve replikasyon
  • İzleme ve yönetim sistemleri
Bir ihlalin kapsamını anlamak için Doğu-Batı trafiğinin analizi kritik rol oynar.

Akış Örneği: HTTPS ve TLS İncelemesi​

HTTPS trafiği farklı senaryolarda farklı şekillerde akabilir. Özellikle TLS incelemesi (SSL inspection) yapan bir Next-Generation Firewall (NGFW) senaryosu, görünürlüğün nasıl sağlandığını anlamak açısından iyi bir örnektir.
Senaryo şu şekilde işler:
  1. İstemci bir web sitesine erişim talebi gönderir.
  2. Bu istek NGFW’ye ulaşır.
  3. Güvenlik duvarı üzerindeki web proxy, istemciye karşı web sunucusu gibi davranır.
  4. Aynı anda gerçek web sunucusuyla ayrı bir TCP oturumu başlatır.
  5. Web sunucusundan gelen yanıtı alır, içeriği inceler ve güvenli bulursa istemciye iletir.
Bu yapıda iki ayrı TCP oturumu vardır:
  • İstemci ↔ Proxy
  • Proxy ↔ Web Sunucusu
İstemci açısından bakıldığında doğrudan web sunucusuyla iletişim kurulmuş gibi görünür. Oysa arka planda proxy araya girerek içeriği kontrol eder.
Bu mimari, özellikle zararlı içeriklerin tespiti ve veri sızdırma girişimlerinin engellenmesi açısından kritik bir güvenlik kontrol noktasıdır.
1771147525519.png​

Harici DNS (External DNS) Trafiği​

Kurumsal ağlarda DNS trafiği, tipik olarak bir istemcinin DNS sorgusu göndermesiyle başlar. İstemci, sorgusunu 53 numaralı port üzerinden dahili DNS sunucusuna iletir ve sunucu, istemcinin adına işlemi yürütür.
DNS sunucusunun işleyiş süreci şu adımlardan oluşur:
  1. Önbellek kontrolü: Sunucu, gelen sorgunun yanıtının önbelleğinde bulunup bulunmadığını hızlıca kontrol eder.
  2. Yönlendirme: Yanıt önbellekte yoksa, sorgu yönlendirici (router) aracılığıyla güvenlik duvarından geçirilir ve yapılandırılmış harici DNS sunucularına iletilir.
  3. Yanıtın dönüşü: Harici DNS sunucusundan gelen yanıt aynı yolu ters yönde izleyerek önce dahili DNS sunucusuna, ardından istemciye ulaşır.
Bu süreç, kurumsal ağlarda DNS trafiğinin hem performansını hem de güvenliğini sağlamak için kritik öneme sahiptir.
Aşağıdaki basitleştirilmiş ağ diyagramı, bu akışın adımlarını görselleştirmektedir:
  • İstemci → Dahili DNS → Güvenlik Duvarı → Harici DNS
  • Harici DNS → Güvenlik Duvarı → Dahili DNS → İstemci
Bu yapı sayesinde, kurumsal ağlarda DNS sorgularının izlenmesi, yönlendirilmesi ve gerektiğinde filtrelenmesi mümkün olur dostlartm.
1771147545823.png​

SMB ve Kerberos Kimlik Doğrulama Akışı​

Bir istemci, örneğin \\FILESERVER\MARKETING paylaşıma erişmek istediğinde, arka planda bir SMB oturumu kurulumu başlar. Bu süreç, güvenli erişim sağlamak için Kerberos kimlik doğrulaması ile entegre çalışır.
İşlem adımları şu şekildedir:
  1. Kullanıcı giriş işlemi: Kullanıcı, istemcisine giriş yaptığında, kimlik doğrulama talebi Etki Alanı Denetleyicisindeki (Domain Controller) Anahtar Dağıtım Merkezi (Key Distribution Center – KDC) ile gerçekleştirilir.
  2. Ticket Granting Ticket (TGT) alınması: Kimlik doğrulaması başarılı olursa, istemci “hizmet bileti (service ticket)” talep edebilmek için bir TGT alır.
  3. Hizmet bileti talebi: İstemci, daha önce aldığı TGT’yi kullanarak ilgili SMB hizmeti için hizmet bileti talep eder.
  4. SMB bağlantısının kurulması: İstemci, aldığı hizmet bileti ile SMB oturumunu başlatır ve paylaşıma erişim sağlanır.
Bu akış, istemcinin SMB üzerinden dosya paylaşımına güvenli bir şekilde erişmesini garanti eder.
Aşağıdaki basitleştirilmiş ağ diyagramı, bu sürecin adımlarını görselleştirmektedir:
  • İstemci ↔ KDC: TGT talebi ve kimlik doğrulama
  • İstemci ↔ KDC: Hizmet bileti talebi
  • İstemci ↔ SMB Sunucusu: SMB oturumu kurulumu ve paylaşım erişimi
1771147566652.png​

​

How Can We Observe Network Traffic?(Ağ Trafiğini Nasıl Gözlemleyebiliriz?)​

Günlükler (Logs): Ağın Kara Kutusu​

Ağda neler olup bittiğini anlamanın ilk ve en temel yolu günlükleri, yani logları incelemektir. Aslında ağdaki her sistemin ve her protokolün kendine has bir "günlük tutma" alışkanlığı vardır.
Burada bilmemiz gereken en önemli şey şu: Bu işin evrensel bir standardı yok. Her üretici kafasına göre bir yöntem izliyor. Mesela Microsoft, Windows Olay Günlükleri (Windows Event Logs) dediğimiz kendine has bir yapıyı kullanırken; bir firewall veya web sunucusu tamamen farklı bir formatta kayıt tutabiliyor.
Hangi verilerin kaydedileceği de tamamen üreticinin insafına kalmış durumda. Genelde sistemler, ağdan geçen paketin tamamını (tüm içeriğini) kaydetmezler; bu çok büyük bir depolama alanı gerektirirdi. Bunun yerine sadece "işe yarar" gördükleri kısımları, yani Kaynak IP, Hedef IP veya Zaman Damgası gibi özet bilgileri not ederler.
Aşağıdaki örneklerde de görebileceğin gibi formatlar epey farklılık gösteriyor:
  • Linux tarafında: Kimlik doğrulama işlemleri için genelde bildiğimiz Syslog formatı karşımıza çıkar.
  • Web sunucusu tarafında (Apache gibi): Erişim kayıtları için dünya genelinde kabul görmüş CLF (Common Log Format) standardı kullanılır.
Kısacası; elimizdeki bu loglar bize "kim, ne zaman, nereye gitti" sorusunun cevabını verir ama "içeride tam olarak ne konuştu" sorusu için genellikle daha derin bir trafik analizine ihtiyaç duyarız dostlarım.

Kod: 
# Auth log
Oct  8 11:20:15 web01 sshd[2145]: Accepted password for gensane from 192.168.1.50 port 52234 ssh2
# Apache web server access log
192.168.1.50 - - [08/Oct/2025:11:20:18 +0200] "GET /index.html HTTP/1.1" 200 2326 "-" "Mozilla/5.0"

Her ne kadar standart bir günlükleme yöntemi olmasa da, cihazlardan toplayıcılara günlük mesajlarını göndermenin standartlaştırılmış bir yolunu sunan bazı protokoller vardır; örneğin Syslog ve SNMP.
Günlükler yeterli bilgi sağlamadığında daha derine inmemiz gerekir. Bunu yapmak için günlükleri ilişkilendirmeli, tam paket yakalamalarını incelemeli ve ağ istatistiklerini kontrol etmeliyiz genel olarak dostlarım.

Tam Paket Yakalama (Full Packet Capture)​

Üçüncü görevde, tam bir paketin nasıl göründüğünü tartıştık. Şimdi ise bu paketleri nasıl yakalayacağımızı ve inceleyeceğimizi bilmek istiyoruz. Bunu yapmak için iki seçeneğimiz vardır:
  • Fiziksel bir ağ tap (network tap) kurmak
  • Port yansıtmayı (port mirroring) yapılandırmak

Ağ Tap (Network Tap)​

Ağ TAP, ağınıza fiziksel olarak yerleştirilen bir cihazdır ve temel görevi, geçen tüm ağ trafiğinin kopyasını almaktır. Bu işlem sırasında ağın performansı etkilenmez.
Kopyalanan trafik, özel bir izleme portu üzerinden:
  • Paket yakalama cihazına (packet capture)
  • IDS/IPS sistemlerine
  • Diğer izleme ve analiz araçlarına
iletilir.
Önemli bir nokta, TAP’in yalnızca TCP/IP modelinin bağlantı (link) katmanında çalışmasıdır. Yani:
  • Bir MAC veya IP adresine ihtiyaç duymaz
  • Elektriksel veya optik sinyalleri kopyalar ve izleme portuna iletir
Bu sayede, ağa ek bir gecikme eklemeden tüm trafiğin izlenmesi mümkün olur.
Aşağıdaki görsel, bir ağ TAP kullanım örneğini basitleştirilmiş şekilde göstermektedir.
  • Ağ kablosu → TAP → İzleme portu → Paket yakalama veya IDS
  • Asıl veri akışı ağ üzerinde normal şekilde devam eder, performans etkilenmez.
Bu yapı, özellikle güvenlik ve performans izleme için kritik bir görünürlük sağlar.
1771147639637.png​

​

Port Yansıtma (Port Mirroring)​

Port yansıtma, bir ağ cihazındaki belirli bir porttan geçen paketlerin yazılım aracılığıyla kopyalanarak başka bir porta iletilmesi yöntemidir. Bu sayede trafik, paket yakalama cihazları, IDS/IPS veya diğer izleme sistemleri tarafından incelenebilir.
Her üretici bu özelliğe farklı isimler verir; örneğin Cisco cihazlarında buna SPAN denir.
Örnek bir kullanımda:
  • fastEthernet0/1 portundan geçen paketler
  • Kopyalanarak fastEthernet0/2 portuna yönlendirilir
  • İzleme cihazı bu port üzerinden trafiği analiz eder
Port yansıtma, ağ performansını etkilemeden görünürlük sağlamak için yaygın olarak kullanılır.

Kod: 
Switch(config)# monitor session 1 source interface fastEthernet0/1
Switch(config)# monitor session 1 destination interface fastEthernet0/2

Aşağıdaki görsel bunun nasıl görüneceğini göstermektedir. WIN-001, sunucu ile iletişim kurmak için paketleri anahtardan (switch) geçirir. Paket anahtara ulaştığında kopyalanır ve aynı zamanda izleme cihazına gönderilir.
1771147683197.png​
Aracı cihazların mutlaka fiziksel olması gerekmez; port yansıtma, VMware vSwitch gibi sanal cihazlarda da yapılandırılabilir. Bulut ortamlarında da yansıtma hizmeti sunan özel servisler vardır. Örneğin AWS, VPC Traffic Mirroring hizmetini sağlar.
En İyi Uygulamalar (Best Practices) Tam paket yakalama yaparken dikkate almamız gereken bazı noktalar vardır:
  • Konumlandırma (Placement): Hangi trafiği yakalamak istediğimize bağlı olarak TAP’i doğru yere yerleştirmeli veya yansıtmayı doğru noktada yapılandırmalıyız.
  • Süre (Duration): Tam paket yakalama, orantılı miktarda depolama alanı gerektirir. Örneğin, 1 Gbps hattaki trafiği tüm gün boyunca yakalarsak ortalama 10.8 TB depolama alanına ihtiyaç duyarız. 10Gb veya 40Gb hatlarda ihtiyaç duyulan depolama miktarını hayal edin.
  • Yansıtma vs TAP (Mirror vs TAP): Fiziksel TAP’ler neredeyse sıfır performans kaybı sağlar. Ancak yansıtma, yansıtılan porttan çok büyük miktarda trafik geçtiğinde performansı etkileyebilir.

Araçlar (Tools)​

Artık tam paket yakalamanın nasıl yapılacağını bildiğimize göre, bu paketleri analiz etmek için kullanılabilecek araçlara bakalım:
  • Wireshark
  • TCPdump
  • IPS/IDS sistemleri (örneğin Snort, Suricata ve Zeek)
Bunlar, tam paket yakalamalarını analiz etmek için mevcut olan birçok araçtan sadece birkaçıdır ilerleyen makalelerimizde dostlarım, Wireshark kullanımına odaklanacağız.

Ağ İstatistikleri (Network Statistics)​

Ağınızdaki anormallikleri tespit etmenin bir diğer etkili yöntemi, ağ trafiği hakkında meta veri toplamaktır. Örneğin, bir istemcinin gönderdiği DNS sorgularının sayısını saymak bu yönteme örnek verilebilir.
Bu amaçla kullanılan protokollerden en yaygınları NetFlow ve IPFIX’tir.
  • NetFlow, Cisco tarafından geliştirilmiş bir protokoldür ve ağda akan trafik hakkında meta veriler toplar.
  • Bu veriler, tek tek paketleri kaydetmeden; kaynak IP, hedef IP, protokol ve akış miktarı gibi bilgileri içerir.
NetFlow, özellikle:
  • C2 trafiği (Command and Control)
  • Veri sızdırma (data exfiltration)
  • Ağ içinde yatay hareket (lateral movement)
gibi durumları tespit etmek için oldukça kullanışlıdır.
Aşağıdaki görsel, NetFlow çıktısına bir örnek sunmaktadır. Burada, tek tek paketler yerine, kaynak IP 12.1.1.1’den hedef IP 13.1.1.2’ye giden paket akışına dair meta veriler gösterilmektedir.
1771147750113.png​

IPFIX (Internet Protocol Flow Information Export)​

IPFIX, NetFlow’un halefi olarak kabul edilebilir. Başlangıçta NetFlow, Cisco’ya özel bir protokoldü ve yalnızca Cisco cihazları için tasarlanmıştı. Ancak NetFlow v9 ile Cisco, şablonlama (templating) özelliğini ekledi; böylece diğer üreticiler de kendi cihazlarına adapte edebildi.
Ardından IETF, Cisco ve diğer üreticilerle iş birliği içinde IPFIX protokolünü geliştirdi ve bunu üretici bağımsız bir standart olarak yayımladı. IPFIX, NetFlow’a benzer işlevler sunar, ancak hangi alanların yakalanacağını yapılandırmada daha fazla esneklik sağlar.
NetFlow veya IPFIX’i uygulamak için tamamen yeni bir altyapıya veya özel sunuculara ihtiyaç yoktur. Çoğu üretici, bu protokolleri cihazlarında varsayılan olarak sunar. Yapmamız gereken temel adımlar:
  • Protokolü etkinleştirmek
  • Yapılandırmak
  • Meta verilerin gönderileceği hedefi belirlemek
Toplanan verileri işlemek için genellikle özel sunuculara gerek yoktur; birçok NGFW, IPS ve IDS, akış verilerini toplamak ve analiz etmek için yerleşik uygulamalar sunar.

Okuduğunuz için Teşekkür ederim​

CW-Ommah...
Bug Researchers Tim Sundu.
logo.png​
 

Ekli dosyalar

  • 1771147261608.png
    1771147261608.png
    262.4 KB · Görüntüleme: 1
  • 1771147744594.png
    1771147744594.png
    18.7 KB · Görüntüleme: 1
Cevap yazmak için giriş yap yada kayıt ol.
Geri
Üst