İçeriğe geç
Siber Güvenlik Rehberi
🚀 Bu rehber açık kaynaklıdır ve katkılarınıza açıktır! Katkıda bulunmak, hata bildirmek veya öneri sunmak için GitHub Depomuzu ziyaret edin ve Pull Request açın.

Gelişmiş Ağ Saldırı Vektörleri (DDoS, MitM, ARP Spoofing) ve Savunma

Gelişmiş Ağ Saldırı Vektörleri ve Savunma

Kurumsal ağ altyapıları, OSI modelinin 2. ve 3. katmanlarında konumlanan çok sayıda saldırı vektörüne maruz kalmaktadır. Bu bölümde kaynak tüketimi odaklı DDoS saldırılarından, oturum bazlı sömürü tekniklerine ve L2 seviyesinde gerçekleştirilen zehirleme saldırılarına kadar geniş bir yelpazede, saldırganın ofansif bakış açısı ve mavi takımın defansif karşı önlemleri ele alınmaktadır.

Savunma Derinliği (Defense in Depth) mimarisinde ağ katmanı saldırıları, hem kaynak tüketimi (DoS/DDoS) hem de trafik manipülasyonu (MitM, oturum çalma) yoluyla gizlilik, bütünlük ve erişilebilirlik (CIA) üçlüsünü doğrudan tehdit eder. Tek bir kontrolün bypass edilmesi durumunda diğer katmanların hâlâ koruma sağlaması hedeflenmelidir.

Oltalama (phishing) ile ilk erişim, fidye yazılımı indirme ve solucan yayılımı nadiren tek başına hareket eder; saldırılar genellikle birbirine bağlı bir zincir oluşturur. Savunma derinliği bu zinciri katman katman kırmayı hedefler: e-posta filtresi başarısız olursa uç nokta koruması devreye girer; o da başarısız olursa ağ segmentasyonu etki alanını (blast radius) sınırlar.

flowchart TD
    A[Saldırgan: ARP Spoof / MitM] --> B[L2: DAI + DHCP Snooping]
    A --> C[DDoS: SYN Flood] --> D[SYN Cookies + Rate Limit]
    A --> E[Session Hijack] --> F[TLS 1.3 + HSTS]
    B --> G[Wazuh SIEM Alert]
    D --> G
    F --> G
    G --> H[SOAR: IP engelle / izolasyon]
⚔️ Katman 2 Savunma Hızlı Kontrol Listesi
KontrolCisco IOS örneğiMITRE karşılığı
DAIip arp inspection vlan 10,20T1557.002
DHCP Snoopingip dhcp snooping vlan 10,20T1557.002
Port Securityswitchport port-security maximum 2T1200
uRPFnet.ipv4.conf.all.rp_filter=1T1498
802.1XRADIUS + EAP-TLST1040

ARP spoofing tespiti: Aynı IP için farklı MAC bildiren ARP paketleri anomali olarak işaretlenmelidir.

§6.3.1.Parçalanma (Teardrop, Fragment Overlap) Saldırıları

IP parçalanması (fragmentation), bir IP paketinin geçiş yolundaki bir bağlantının MTU (Maximum Transmission Unit) sınırını aştığında daha küçük parçalara bölünmesi sürecidir. Bu zorunlu protokol mekanizması, saldırganlar tarafından güvenlik kontrollerini atlatmak veya hedef sistemleri çökertmek amacıyla kullanılabilir.

Teardrop ve Fragment Overlap Mekanizması

Teardrop saldırısı, hedef sistemin IP parçalarını yeniden birleştirme (reassembly) mantığındaki zafiyetleri sömüren bir DoS saldırısıdır. Bir IP paketi parçalandığında her parça şu alanları taşır:

  • Identification (Kimlik): Orijinal paketi tanımlayan ortak değer
  • Fragment Offset (Parçalama Ofseti): Parçanın orijinal paket içindeki konumu (8 baytlık birimlerle ifade edilir)
  • More Fragments (MF) Bayrağı: Arkasından başka parçaların gelip gelmediğini belirtir

Ofansif senaryo: Saldırgan, bilinçli olarak birbiriyle çakışan (overlapping) ofset değerlerine sahip malforme IP parçaları üretir:

Normal parçalanma:
  Fragment 1: offset=0,   length=1480  → bayt 0-1479
  Fragment 2: offset=185, length=1500  → bayt 1480-2979


Teardrop (örtüşen yapı):
  Fragment 1: offset=0,  length=800   → bayt 0-799
  Fragment 2: offset=75, length=600   → bayt 600-1199 (örtüşme!)

Hedef işletim sistemi bu parçaları birleştirmeye çalışırken çakışan veriyi işleyemez. Eski veya yamalanmamış TCP/IP yığınlarında (Windows 95/NT, eski Linux çekirdekleri, SCADA/endüstriyel kontrol sistemleri) bu durum tampon taşması (buffer overflow), çekirdek paniği veya sistem çökmesine yol açabilir.

IDS/IPS evasion varyantı: Saldırgan zararlı payload’u parçalara bölerek iletir. Durumsuz (stateless) güvenlik cihazları her parçayı ayrı ayrı tarayıp zararsız kabul edebilir; hedef sunucu parçaları birleştirdiğinde ise istismar kodu ortaya çıkar. Örneğin birinci parça GET /safe.html taşırken ikinci parça (örtüşen offset ile) cmd.exe yükünü üzerine yazar; IDS her parçayı ayrı görüp geçirir, sunucu birleştirdiğinde istismar kodu ortaya çıkar.

Teardrop saldırısında fragment offset örtüşmesi Teardrop — çakışan fragment offset değerleri; eski TCP/IP yığınlarında buffer overflow ve kernel panic riski

Eski veya yamalanmamış işletim sistemlerinde çakışan parçaların birleştirilmesi sırasında negatif boyut hesaplaması unsigned integer taşmasına ve bellekte devasa alan tahsisine yol açabilir. Modern NGFW’ler (Palo Alto Zone Protection, FortiGate DoS Policy) anormal offset değerlerine sahip parçaları sınırda düşürür; IPv6 (RFC 8200) ise çakışan parçaları protokol seviyesinde yasaklayarak Teardrop benzeri saldırıları imkânsız kılar.

IPv4 ve IPv6 Parçalanma Güvenliği

Güvenlik BoyutuIPv4 (RFC 791)IPv6 (RFC 8200)
Parçalamayı yapan cihazKaynak uç sistem veya yol üzerindeki yönlendiricilerYalnızca kaynak uç sistem
Çakışan parça politikasıKabul edilir; “ilk gelen kazanır” veya “son gelen yazar”Kesinlikle yasak; çakışma tespit edilirse tüm paket iptal edilir
IDS/IPS atlatma direnciDüşük (durumsuz cihazlarda manipüle edilebilir)Yüksek (belirsizlik protokol seviyesinde giderilmiş)

Savunma Stratejileri

Savunma KatmanıUygulama
İşletim SistemiTüm uç sistemlerin TCP/IP yığınlarının güncel tutulması
Ağ DüzeyiModern güvenlik duvarları ve IDS/IPS’lerin anormal offset değerlerine sahip parçaları düşürmesi
Fragment LimitasyonuAşırı parçalanmış paketlerin engellenmesi; fragment normalization/reassembly
NGFW Zone ProtectionPalo Alto “Fragmented Packets” koruması; FortiGate DoS policy ile fragment limit

MITRE ATT&CK bu saldırı türünü T1498 (Network Denial of Service) ve T1499.004 (Application or System Exploitation) altında sınıflandırır.

§6.3.2.Kaynak Tüketimi Saldırıları: SYN Flood, Smurf ve UDP Flood

Kaynak tüketimi saldırıları, hedefin bant genişliğini, işlemci veya bellek kaynaklarını tüketerek hizmet veremez hale gelmesini amaçlar.

TCP SYN Flood

SYN Flood, TCP üçlü el sıkışma (three-way handshake) sürecindeki asimetriyi sömüren klasik bir kaynak tüketimi saldırısıdır:

Meşru el sıkışma:
  İstemci ──── SYN ────────────► Sunucu (TCB tahsis edilir)
  İstemci ◄─── SYN-ACK ──────── Sunucu
  İstemci ──── ACK ────────────► Sunucu (Bağlantı kuruldu, kaynak serbest)


SYN Flood:
  Saldırgan (sahte IP) ── SYN ──► Sunucu (Yarı-açık bağlantı birikir)
  Saldırgan (sahte IP) ◄─ SYN-ACK Sunucu (ACK asla gelmez)
  ... binlerce SYN → backlog dolar → meşru istekler reddedilir

Saldırgan, kaynak IP adreslerini sahteleyerek (IP spoofing) büyük miktarda SYN paketi gönderir. Sunucu her SYN için yarı-açık bir soket (half-open socket) tahsis eder; sahte IP’ler gerçek olmadığı için ACK yanıtı gelmez ve SYN kuyruğu (backlog) hızla dolar.

SYN Flood iki ana türde sınıflandırılır:

  • Host Flood: Tüm SYN paketleri tek bir hedef sunucuya gönderilir
  • Firewall Session Table Flood: Güvenlik duvarının oturum tablosunu doldurarak arka uç trafiğini engellemeyi amaçlar

TCP üçlü el sıkışma ve SYN Flood'un yarı-açık bağlantı tüketimi SYN Flood — sahte kaynak IP ile binlerce SYN; sunucu SYN-ACK gönderir ancak ACK gelmez; backlog dolduğunda meşru bağlantılar reddedilir (MITRE T1498)

Sunucu her SYN için çekirdekte yarı-açık bağlantı kuyruğunda (SYN backlog) yer ayırır ve SYN-RECEIVED durumuna geçer. Saldırgan üçüncü ACK paketini asla göndermediğinde kuyruk zaman aşımına kadar dolu kalır. Palo Alto Zone Protection ve FortiGate DoS Policy ile kaynak IP başına SYN eşiği tanımlanmalı; uç sistemlerde SYN Cookie (RFC 4987) etkinleştirilmelidir (§6.1.2).

Smurf Saldırısı (Amplification / Reflection)

Smurf saldırısı, ICMP echo request (ping) paketlerinin hedef IP adresini ağın broadcast adresi olarak sahteleyerek gönderilmesiyle çalışır:

  1. Saldırgan, kurbanın IP’sini kaynak adres olarak taklit eder
  2. ICMP Echo Request’i directed broadcast adresine gönderir
  3. Ağdaki tüm aktif cihazlar Echo Reply ile kurbanı doldurur

Amplifikasyon faktörü, yanıt veren host sayısıyla doğru orantılıdır (tipik 20X–70X). Günümüzde çoğu ağ cihazında broadcast ping devre dışı bırakılmış olsa da, yamalanmamış altyapılarda hâlâ geçerlidir.

Savunma:

  • Router’larda no ip directed-broadcast (Cisco) veya eşdeğeri
  • Ingress filtering (BCP 38 / RFC 2827) — sahte paketlerin edge’de düşürülmesi
  • uRPF (Unicast Reverse Path Forwarding) strict/loose mod
  • ICMP rate-limiting ve ACL’ler

UDP Flood

UDP Flood, kapalı portlara çok sayıda UDP datagram gönderilmesiyle çalışır. Hedef işletim sistemi her biri için ICMP Destination Unreachable (Type 3, Code 3) üretmek zorunda kalır; bu da CPU ve bant genişliğini tüketir.

Savunma: ICMP yanıt rate-limiting, stateless UDP flood filtreleme, edge DDoS scrubbing servisleri (Cloudflare, Akamai vb.).

SYN Cookie, RFC 4987’de tanımlanan durumsuz (stateless) bir savunma yöntemidir. Sunucu SYN aldığında TCB ayırmaz; bunun yerine SYN-ACK’ın Sequence Number (ISN) alanına kriptografik bir “cookie” gömer.

Çalışma Prensibi

  1. SYN geldiğinde: Sunucu, kaynak IP, kaynak port, hedef IP, hedef port ve gizli sunucu anahtarı kullanarak kriptografik bir cookie hesaplar
  2. SYN-ACK yanıtı: Cookie değeri SYN-ACK’ın ISN’si olarak yerleştirilir; hiçbir kaynak tahsis edilmez
  3. ACK doğrulaması: İstemci ACK ile yanıt verdiğinde cookie yeniden hesaplanıp doğrulanır; geçerliyse TCB oluşturulur

32-bit ISN yapısı:

+-------------------+-----------------+----------------------------------------+
| 5-Bit Zaman (t)   | 3-Bit MSS Index | 24-Bit Kriptografik Özet               |
+-------------------+-----------------+----------------------------------------+
 31               27 26             24 23                                     0

Avantajlar: Backlog tüketimi önlenir; DDoS altında bile meşru bağlantılar kabul edilebilir seviyede devam eder.

Dezavantajlar: Window scaling, SACK gibi bazı TCP seçenekleri devre dışı kalabilir; cookie süresi sınırlıdır (genellikle 64 saniyelik counter).

Linux Çekirdek Sıkılaştırması

Terminal window
# SYN Cookie'yi etkinleştir (kuyruk dolduğunda devreye girer)
sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_max_syn_backlog=8192
sysctl -w net.core.somaxconn=4096
sysctl -w net.ipv4.tcp_synack_retries=2


# IP sahteciliğine karşı sıkı ters yol filtreleme
sysctl -w net.ipv4.conf.all.rp_filter=1


# Kalıcı hale getir
echo "net.ipv4.tcp_syncookies=1" >> /etc/sysctl.conf
sysctl -p
! Zone-based firewall üzerinde SYN Cookie
parameter-map type inspect global-syn-cookie
  tcpsyn-cookie enable
!
class-map type inspect match-any SYN-FLOOD-PROTECTION
  match protocol tcp
!
policy-map type inspect SYN-POLICY
  class SYN-FLOOD-PROTECTION
    inspect
!
zone-pair security IN-TO-OUT source INSIDE destination OUTSIDE
  service-policy type inspect SYN-POLICY

§6.3.4.Oturum Çalma (Session Hijacking) ve Ortadaki Adam (MitM)

Oturum çalma ve MitM saldırıları, ağ trafiğinin gizliliğini ve bütünlüğünü doğrudan hedef alır. MITRE ATT&CK bu teknikleri T1557 (Adversary-in-the-Middle) altında sınıflandırır.

Oturum Çalma (Session Hijacking)

HTTP istatistiksel (stateless) bir protokol olduğu için web sunucuları kullanıcıları tanımak için oturum belirteci (session token / cookie) kullanır. Saldırgan bu token’ı ele geçirdiğinde, parola bilmesine gerek kalmadan kullanıcının hesabına erişim sağlar.

YöntemAçıklama
Predictable Session TokenZayıf session ID üretim algoritmaları (sıralı sayılar) tahmin edilebilir
Session SniffingŞifrelenmemiş ağ trafiği üzerinden cookie yakalanması
XSS (Cross-Site Scripting)document.cookie ile session token çalınması
MitM AttackARP Spoofing veya proxy ile trafik dinlenerek token yakalanması
Session FixationSaldırganın önceden belirlediği session ID’nin kullanıcıya zorla atanması
TCP Sequence PredictionZayıf ISN üretimi sömürülerek TCP oturumu ele geçirilmesi

Savunma stratejileri:

  1. HTTPS/TLS Zorunluluğu: Tüm session token’ları şifreli kanaldan iletilmeli; HSTS desteği aktif olmalı
  2. Güçlü Session ID Üretimi: Kriptografik olarak rastgele, tahmin edilemez ID’ler (128-bit veya üzeri entropi)
  3. HttpOnly, Secure ve SameSite Bayrakları: JavaScript erişimini engeller; yalnızca HTTPS üzerinden gönderilir
  4. Kısa Oturum Zaman Aşımı: Hassas uygulamalarda oturum süresi kısa tutulmalı
  5. Login Sonrası Session ID Regeneration: Kimlik doğrulama sonrası yeni token üretilmeli
  6. IP Bağlama (Session Binding): Farklı IP’den gelen talepler reddedilmeli

Ortadaki Adam (MitM) Saldırıları — T1557

MitM saldırısında saldırgan, iki taraf arasındaki iletişime gizlice dahil olur; mesajları dinler, değiştirir veya yönlendirir.

Alt Teknik (MITRE)Açıklama
T1557.001LLMNR/NBT-NS Poisoning
T1557.002ARP Cache Poisoning — yerel ağda en yaygın MitM yöntemi
T1557.003DHCP Spoofing — rogue DHCP sunucusu ile trafik yönlendirme
T1557.004Evil Twin — sahte Wi-Fi erişim noktası

Savunma: TLS 1.3 / HSTS / sertifika pinning; L2 kontroller (DAI + DHCP Snooping + Port Security); DNSSEC; Zeek ile ARP flux ve TLS anomali tespiti.

§6.3.5.Switch Seviyesi Güvenlik: DAI, DHCP Snooping, Port Security ve IPSG

LAN içinde fiziksel veya mantıksal erişimi olan bir saldırgan, anahtarlama (switch) zafiyetlerini kullanarak tüm ağ trafiğini kendi üzerinden geçirebilir. Bu katman, iç ağ (campus / data center access) güvenliğinin temelidir.

ARP Zehirlenmesi (ARP Spoofing / Poisoning)

ARP (Address Resolution Protocol), IP adreslerini MAC adreslerine çözmek için kullanılır. ARP kimlik doğrulama içermez — gelen ilk cevaba güvenilir.

Saldırı adımları:

  1. Hedef cihaza, gateway IP’sinin kendi MAC adresine ait olduğunu bildiren sahte ARP yanıtları gönderilir
  2. Gateway’e, hedef cihazın IP’sinin kendi MAC adresine ait olduğunu bildiren sahte ARP yanıtları gönderilir
  3. İki cihaz arasındaki tüm trafik saldırgan üzerinden akar

Saldırgana sağlanan imkânlar: trafik dinleme (sniffing), veri manipülasyonu, oturum çalma, ağ içinde yanal hareket (lateral movement).

DHCP Spoofing (Rogue DHCP Server)

Saldırgan ağa sahte bir DHCP sunucusu kurar. DHCP istemcileri IP istediğinde sahte sunucu gerçek sunucudan daha hızlı yanıt vererek:

  • İstemcilere sahte IP, sahte default gateway ve sahte DNS sunucusu atar
  • Tüm trafik saldırganın kontrolündeki gateway’e yönlendirilir (MitM)
  • DNS sorguları manipüle edilerek kullanıcılar sahte sitelere yönlendirilir (Pharming)

MAC Flooding

Saldırgan saniyede binlerce farklı sahte MAC adresi göndererek switch’in MAC adres tablosunu doldurur. Tablo dolduğunda switch hub modunda çalışmaya başlar ve tüm portlara yayın yapar; saldırgan tüm ağ trafiğini dinleyebilir.

Dynamic ARP Inspection (DAI)

DAI, switch’in güvenilmez (untrusted) portlarından gelen ARP paketlerini DHCP Snooping binding veritabanı veya statik ARP ACL’leri ile doğrular. Switch üzerinden geçen her ARP paketinin IP-MAC eşleşmesi binding tablosuyla karşılaştırılır; uyuşmazlık varsa paket sahte kabul edilerek düşürülür ve loglanır. Bu entegre savunma mimarisi DHCP Snooping → DAI → Port Security → IP Source Guard zinciriyle L2 spoofing saldırılarına karşı kapsamlı koruma sağlar.

Ön koşul: ip dhcp snooping aktif olmalıdır. Güvenilir (trusted) portlar yalnızca DHCP sunucusu ve uplink switch bağlantılarıdır; güvenilmez portlardan gelen DHCP OFFER/ACK paketleri bloklanır.

DAI mimarisi — güvenilir ve güvenilmez port ayrımı DAI — trusted portlarda DHCP/ARP serbest; untrusted portlarda binding doğrulaması zorunlu

Saldırgan bir kullanıcı portuna bağlandığında sahte ARP yanıtları göndererek gateway IP’sini kendi MAC’ine yönlendirmeye çalışır. DAI bu porttan gelen ARP paketlerini binding veritabanıyla karşılaştırır; eşleşme yoksa paketi düşürür ve %SW_DAI-4-INVALID_ARP syslog mesajı üretir. Wazuh bu logları MITRE T1557.002 ile eşleyerek SOC’a alarm düşürür. 5651 loglarında IP-MAC bütünlüğü için DAI zorunlu bir pratiktir — aksi halde ARP spoofing ile başkasının kimliğiyle yapılan suç meşru kullanıcıya yazılır.

Tipik DAI topolojisi — saldırgan portunda DAI kontrolü aktif DAI topolojisi — saldırgan portunda geçersiz ARP paketi engellenir; gateway spoofing tespiti

DHCP Snooping

Switch portlarını Güvenilir (Trusted) ve Güvenilmez (Untrusted) olarak ikiye ayırır:

  1. Trusted portlar: DHCP sunucusunun bağlı olduğu uplink portları
  2. Untrusted portlar: Kullanıcı cihazlarının bağlı olduğu erişim portları
  3. Güvenilmez portlardan gelen DHCP sunucu yanıtları (DHCPOFFER, DHCPACK) bloklanır
  4. Başarılı DHCP öznitelikleri (IP-MAC-port eşleşmeleri) binding veritabanına kaydedilir

Port Security

Bir switch portuna bağlanabilecek maksimum MAC adresi sayısını ve hangi MAC adreslerine izin verileceğini kontrol eder.

İhlal ModuDavranış
Protectİhlal eden paketleri düşürür; log oluşturmaz
RestrictPaketleri düşürür; SNMP trap / Syslog gönderir
ShutdownPortu error-disabled durumuna alır (varsayılan)

IP Source Guard (IPSG)

DHCP Snooping binding tablosuna göre L2 IP trafiğini filtreler. Bir cihazın komşusunun IP adresini kullanarak trafik göndermesini (IP spoofing) engeller. DAI ve DHCP Snooping ile birlikte kullanıldığında L2 spoofing saldırılarına karşı kapsamlı koruma sağlar.

Cisco IOS-XE Entegre Konfigürasyon

! 1. DHCP SNOOPING
ip dhcp snooping
ip dhcp snooping vlan 10,20,30
ip dhcp snooping information option


! 2. DYNAMIC ARP INSPECTION
ip arp inspection vlan 10,20,30
ip arp inspection validate src-mac dst-mac ip
ip arp inspection limit rate 100 burst interval 5


! Statik IP'li sunucular için ARP ACL (DHCP kullanılmayan ortamlar)
arp access-list STATIC-SERVERS
  permit ip host 192.168.10.10 mac host 0050.56a1.b2c3
exit
ip arp inspection filter STATIC-SERVERS vlan 10


! 3. GÜVENİLİR PORT (Uplink / DHCP Sunucu)
interface GigabitEthernet1/0/48
  description *** Core Switch / DHCP Sunucu Uplink ***
  switchport mode trunk
  ip dhcp snooping trust
  ip arp inspection trust


! 4. GÜVENİLMEYEN PORT (Kullanıcı Uç Noktası)
interface GigabitEthernet1/0/1
  description *** Kullanıcı Portu ***
  switchport access vlan 10
  switchport mode access
  switchport port-security
  switchport port-security maximum 2
  switchport port-security violation shutdown
  switchport port-security mac-address sticky
  ip dhcp snooping limit rate 10
  ip arp inspection limit rate 15 burst interval 1


! 5. IP SOURCE GUARD
interface GigabitEthernet1/0/1
  ip verify source port-security


! Otomatik kurtarma
errdisable recovery cause arp-inspection
errdisable recovery interval 300

Doğrulama komutları:

show ip dhcp snooping binding
show ip arp inspection vlan 10
show ip arp inspection statistics
show ip arp inspection interfaces
show port-security interface Gi1/0/1

§6.3.6.Suricata Kuralları ve SIEM Entegrasyonu

Ağ saldırılarının tespiti ve merkezi korelasyonu için IDS/IPS kuralları ve SIEM sistemleri kritik öneme sahiptir.

Suricata Tespit Kuralları

! ARP Poisoning tespiti
alert arp any any -> any any (
  msg:"ARP Poisoning Attack Detected";
  arp_spa!=arp_tpa && arp_sha!=arp_tha;
  sid:100001; rev:1;
)


! SYN Flood tespiti (yüksek SYN oranı, düşük tamamlanma)
alert tcp any any -> $HOME_NET any (
  msg:"Possible SYN Flood - High SYN rate without ACK completion";
  flags:S;
  threshold: type both, track by_dst, count 100, seconds 10;
  sid:100002; rev:1;
)


! ICMP Smurf / Amplification tespiti
alert icmp any any -> any any (
  msg:"ICMP Directed Broadcast - Possible Smurf Attack";
  itype:8;
  threshold: type both, track by_dst, count 50, seconds 5;
  sid:100003; rev:1;
)


! Anormal IP fragment tespiti
alert ip any any -> $HOME_NET any (
  msg:"Suspicious IP Fragment - Possible Teardrop";
  fragbits:M;
  fragoffset:>0;
  threshold: type both, track by_dst, count 20, seconds 10;
  sid:100004; rev:1;
)


! UDP Flood tespiti
alert udp any any -> $HOME_NET any (
  msg:"UDP Flood - High volume UDP to closed ports";
  threshold: type both, track by_dst, count 200, seconds 10;
  sid:100005; rev:1;
)

Switch Syslog ve Wazuh/SIEM Entegrasyonu

Cisco switch’lerde syslog yönlendirmesi:

logging host 192.168.1.100
logging trap notifications
logging facility local7

DAI ihlali syslog örneği:

%SW_DAI-4-INVALID_ARP: 1 Packets rcvd on Gi1/0/1 on vlan 10:
src MAC 001a.a011.bb22, src IP 192.168.10.50,
dst MAC 0000.0000.0000, dst IP 192.168.10.1

Wazuh özel kural örneği (DAI ihlali → T1557.002 korelasyonu):

<group name="cisco_sw_security,">
  <rule id="100200" level="8">
    <decoded_as>cisco-ios-xe</decoded_as>
    <match>INVALID_ARP</match>
    <description>Cisco DAI: Geçersiz ARP Paketi Tespit Edildi ve Engellendi</description>
    <mitre>
      <id>T1557.002</id>
    </mitre>
  </rule>


  <rule id="100201" level="12">
    <if_sid>100200</if_sid>
    <field name="dst_ip">^192.168.10.1$</field>
    <description>KRİTİK: Ağ Geçidi IP Adresi Spoof Girişimi Tespit Edildi</description>
    <mitre>
      <id>T1557.002</id>
    </mitre>
  </rule>
</group>

SOC Korelasyon Senaryoları

Olay DeseniKorelasyon KuralıÖncelik
Yüksek SYN oranı + düşük ACK tamamlanmaSuricata sid:100002 + NetFlow SYN spikeYüksek
Aynı MAC birden fazla porttaPort Security violation + ARP fluxKritik
DAI drop + gateway IP hedefliWazuh rule 100201Kritik
Anormal fragment + eski OS segmentiSuricata sid:100004 + asset inventoryOrta

Merkezi SIEM (Wazuh, ELK Stack, Splunk ES) ile MTTD (Mean Time to Detect) ve MTTR (Mean Time to Respond) minimize edilmelidir. NetFlow/sFlow + Zeek/Suricata + switch syslog korelasyonu, anomalilerin gerçek zamanlı tespitini sağlar.

§6.3.7.Katmanlı Savunma Mimarisi (Defense in Depth)

Tek bir kontrolün bypass edilmesi durumunda diğer katmanların hâlâ koruma sağlaması hedeflenir. Aşağıdaki mimari, bu bölümde ele alınan tüm saldırı vektörlerine karşı katmanlı savunma yaklaşımını özetler:

İnternet/Botnet → [Edge: Scrubber + SYN Cookie + uRPF + Rate Limit]
                → [L3: ACL + Fragment Filter + IDS/IPS]
                → [L2: DHCP Snooping + DAI + Port Security + IPSG]
                → [Host: sysctl + SYN Cookie + EDR]
                → [App: TLS 1.3 + HSTS + WAF + Secure Cookies]
                ↔ [SOC/SIEM: Suricata + Zeek + NetFlow + Switch Log Korelasyonu]

Mimari katmanlar ve yerleşim:

KatmanKonumKontroller
Perimeter / EdgeBulut scrubber, edge firewall, L4 yük dengeleyiciSYN proxy/cookie, rate limit, uRPF, DDoS scrubbing
Core / DistributionL3 router, core switchACL, QoS rate-limiting, fragment normalization
Access / CampusErişim switch’leriDHCP Snooping, DAI, Port Security, IPSG
Host / SunucuUç sistemlerSYN cookies, TCP/IP stack hardening, HIPS/EDR
Monitoring (SOC)SIEM, IDS/IPSNetFlow + Suricata + switch log korelasyonu

NIST SP 800-53’te SC-5 (Denial of Service Protection), SC-7 (Boundary Protection) ve SI-4 (System Monitoring) kontrolleri; CIS Controls v8’de Control 12 (Network Infrastructure Management) ve Control 13 (Network Monitoring and Defense) bu mimariyle doğrudan ilişkilidir.

§6.3.8.Türkiye Özelinde Yasal Yükümlülükler ve Loglama

Türkiye’de faaliyet gösteren kurumlar, ağ saldırılarına karşı aldıkları önlemler kadar saldırı tespit ve loglama süreçlerinde de yasal yükümlülüklere tabidir.

5651 Sayılı Kanun

İnternet erişim sağlayan kurumlar erişim kayıtlarını elektronik ortamda kaydetmek ve belirli süreler saklamak zorundadır:

Sağlayıcı TürüSaklama Süresi
Erişim sağlayıcıTrafik bilgisi 1 yıl
Yer sağlayıcı6 ay
Toplu kullanım sağlayıcı (otel, kafe, kurumsal Wi-Fi)Erişim logları 2 yıl

Tutulması zorunlu veri seti:

  • Kaynak (yerel) IP adresi ve MAC adresi
  • Bağlantı başlangıç/bitiş tarih-saat bilgisi (ms hassasiyet)
  • Hedef IP adresi ve port
  • TÜBİTAK zaman damgası ile imzalanmış log dosyası (bütünlük garantisi)

Zaman damgasız loglar mahkemede manipüle edilebilir sayılır ve delil vasfını kaybeder. DAI ve IP-MAC sabitleme gibi L2 güvenlik önlemleri, adli süreçlerde sunulacak delil bütünlüğünün (chain of custody) yasal geçerliliğini garanti altına almak için kritiktir.

KVKK (6698 Sayılı Kanun)

5651 logları KVKK m.5/2-a (“kanunlarda açıkça öngörülme”) kapsamında işlenir; açık rıza gerekmez ancak aydınlatma metni zorunludur.

  • Log kayıtları kişisel veri içerebilir (IP, timestamp, kullanıcı eylemleri) → şifreleme, erişim kontrolü, saklama süresi sınırlaması zorunlu
  • Saklama-imha dengesi: 5651 üst sınırı dolduğunda, devam eden yasal süreç yoksa loglar güvenli silme (secure wipe) ile imha edilmeli
  • MitM ve oturum çalma saldırıları kişisel verilerin sızdırılmasına yol açar → KVKK m.12 kapsamında veri ihlali bildirimi gerekir

BDDK Düzenlemeleri

Finansal kuruluşlar için ek yükümlülükler:

  • Ağ altyapısının kritiklik seviyelerine göre segmentlere ayrılması (DMZ, Uygulama, Veritabanı)
  • Ağ güvenlik olaylarının merkezi SIEM’de en az iki yıl saklanması
  • KSOME (Kurumsal Siber Olaylara Müdahale Ekibi) kurma ve BDDK’ya bildirim
  • Birincil/ikincil sistemlerin yurt içinde bulunması; felaket senaryosunda 24 saat içinde faaliyet sürdürülebilirliği
  • Düzenli penetrasyon testleri ve siber dayanıklılık testleri

7545 Sayılı Siber Güvenlik Kanunu (2025): Zafiyet/olay bildirimi, kritik altyapıda yetkilendirilmiş tedarikçi zorunluluğu ve Siber Güvenlik Başkanlığı denetimi.

§6.3.9.MITRE ATT&CK Ağ Saldırıları: Derinlemesine Teknik Haritası

Ağ katmanı saldırıları, MITRE ATT&CK çerçevesinde çoğunlukla Impact (TA0040), Credential Access (TA0006), Lateral Movement (TA0008) ve Command and Control (TA0011) taktikleri altında kümelenir. SOC analistlerinin bu eşleştirmeyi bilmeleri, Suricata/Wazuh alarmlarını anlamlı olaylara dönüştürmenin ön koşuludur.

Impact — Hizmet Reddi (T1498 / T1499)

Teknik IDAlt TeknikSaldırı MekanizmasıTespit GöstergesiSavunma (NIST/CIS)
T1498—DoS/DDoS (SYN, UDP, ICMP)NetFlow SYN spike, state table %90+SC-5, SYN cookie, scrubbing
T1498.001Direct Network FloodDoğrudan volumetrik floodBps/pps anomalisi, tek hedef IPRate limit, BGP Flowspec
T1498.002Reflection AmplificationSmurf, DNS/NTP amplificationSpoofed source IP, yüksek pps/byte oranıBCP 38, no directed-broadcast
T1499—Endpoint/service exhaustionCPU %100, servis yanıt süresi artışıSC-5, QoS, connection limit
T1499.001OS Exhaustion FloodSYN backlog, socket tükenmesiHalf-open > thresholdSYN proxy, tcp_syncookies
T1499.004Application/System ExploitationTeardrop, fragment overlapMalforme offset, kernel panic logFragment filter, OS patch

Korelasyon örneği: Suricata sid:100002 (SYN flood) + firewall state table %85+ + aynı hedef sunucuda HTTP 503 artışı → T1498.001 olayı olarak SIEM’de P1 incident açılır.

Credential Access ve Collection — MitM (T1557)

Teknik IDAlt TeknikHedefTipik AraçSavunma
T1557—Ağ trafiği dinleme/değiştirmeEttercap, BettercapTLS 1.3, HSTS, DAI
T1557.001LLMNR/NBT-NS PoisoningWindows name resolutionResponderLLMNR/NBT-NS devre dışı
T1557.002ARP Cache PoisoningL2 MitM, session hijackarpspoof, BettercapDAI + DHCP Snooping + IPSG
T1557.003DHCP SpoofingRogue gateway/DNSdhcpstarv, EttercapDHCP Snooping trusted port
T1040Network SniffingPaket yakalamaWireshark, tcpdump802.1X, MACsec, şifreleme

T1557.002 saldırı zinciri (detaylı):

[Saldırgan: aynı VLAN'da]
     │
     ├─► Sahte ARP Reply → Hedef: "Gateway MAC = saldırgan MAC"
     ├─► Sahte ARP Reply → Gateway: "Hedef MAC = saldırgan MAC"
     │
     ▼
[Trafik saldırgan üzerinden akar]
     │
     ├─► HTTP cookie/session token yakalama (şifresiz trafik)
     ├─► DNS sorgularını rogue DNS'e yönlendirme (pharming)
     └─► SSL strip (HSTS yoksa HTTPS → HTTP düşürme)

DAI, bu zincirin L2 adımını keser; TLS 1.3 + HSTS ise L7 adımını etkisizleştirir. Savunma derinliği için her iki katman da uygulanmalıdır.

Lateral Movement ve C2 — Ağ Protokolü İstismarı

Teknik IDAçıklamaAğ BağlamıTespitSavunma
T1021.001Remote Desktop ProtocolRDP brute force, credential reuse4625/4624 spike, 3389 trafikNLA, MFA, jump host
T1021.002SMB/Windows Admin SharesPsExec, lateral file copySMB 445 anomali, ADMIN$ erişimiSMB signing, tiered admin
T1071.001Web Protocols (HTTP/S C2)Beacon trafiği, DNS-over-HTTPSJA3/JA4 anomali, beacon intervalNGFW App-ID, proxy log
T1071.004DNS (tunneling)Exfiltration, C2Yüksek entropy subdomain, TXT recordDNS inspection, entropy analizi
T1572Protocol TunnelingICMP/DNS/SSH tunnelProtokol hacim anomalisiEgress filtering, DPI
T1562.004Disable/Modify FirewallKural silme/değiştirmeFW config change logSIEM change detection, MFA

Zeek ile ARP Flux ve TLS Anomali Tespiti

# local.zeek — ARP flux tespiti (aynı IP, farklı MAC)
event arp_request(c: connection, is_orig: bool, target: addr, mac: string) {
    if ( arp_cache[target] && arp_cache[target] != mac )
        NOTICE([$note=ARP_Flux,
                $msg=fmt("ARP flux: %s maps to %s and %s", target, arp_cache[target], mac),
                $identifier=cat(target)]);
    arp_cache[target] = mac;
}

Zeek ssl.log üzerinden sertifika CN/SAN değişimleri ve self-signed sertifika oranı izlenerek T1557 MitM girişimleri tespit edilebilir. Bu telemetri Wazuh veya Splunk ES ile korelasyon kurallarına beslenmelidir.

MITRE Mitigation Eşlemesi

Mitigation IDAçıklamaBu Bölümdeki Karşılık
M1037Filter Network TrafficACL, uRPF, fragment filter
M1031Network Intrusion PreventionSuricata, NGFW IPS
M1030Network SegmentationVLAN, DMZ deny-by-default
M1035Limit Access to Resource Over NetworkIPSG, Port Security
M1057Data Loss PreventionEgress DLP (§5.3 ile entegre)
M1032Multi-factor AuthenticationVPN/RDP MFA (§6.4)

§6.3.10.Özet ve Savunma Matrisi

Saldırı TürüMITRE ATT&CKBirincil Savunmaİzleme
Teardrop / Fragment OverlapT1498, T1499.004OS güncellemeleri, fragment filtrelemeSuricata sid:100004
SYN FloodT1498, T1499.001SYN Cookie, rate limitingSuricata sid:100002 + NetFlow
Smurf / ICMP FloodT1498.002no ip directed-broadcast, uRPFSuricata sid:100003
UDP FloodT1498.001ICMP rate-limit, edge scrubbingSuricata sid:100005
Session HijackingT1557HTTPS/HSTS, Secure/HttpOnly cookiesZeek http.log anomali
MitM (ARP Spoofing)T1557.002DAI + DHCP SnoopingWazuh DAI kuralı
DHCP SpoofingT1557.003DHCP SnoopingSwitch syslog
MAC Flooding—Port SecurityPort Security violation log
IP Spoofing—IPSG + uRPFBinding tablosu denetimi

Kurumsal ölçekte bu savunma mekanizmalarının tek başına yeterli olmadığı, SIEM sistemleri ile merkezi log toplama, anomali tespiti ve otomatik olay müdahale süreçlerinin entegre edilmesi gerektiği unutulmamalıdır. L2 sertleştirme (DHCP Snooping → DAI → Port Security → IPSG) erişim portlarının tamamında uygulanmalı; perimetre katmanında SYN Cookie, fragment filtreleme ve DDoS scrubbing devreye alınmalı; SOC katmanında Suricata, Zeek ve switch logları anlamlı korelasyon kurallarıyla birleştirilmelidir.