Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Problem: Trafiğin büyük kısmı şifreli. Sadece URL kategorisi/metadata ile ilerlemek; DoH/DoT, QUIC/HTTP3 ve NRD gibi alanlarda kör noktalar bırakabiliyor. Üstelik kötü amaçlı alan adları kısa ömürlü; IOC’ler hızla değişiyor.
Gerçek çözüm: Advanced URL Filtering + DNS Security birlikte çalıştığında, web erişimini URL kategorileri/risk ile kontrol ederken, DNS katmanında DGA, DNS tunneling ve malicious domain tespitlerini “erken” yakalayıp block/sinkhole/alert aksiyonlarına bağlayabilirsiniz. DNS Security’nin DGA/tunneling gibi tehditleri tespit edip bloklayabildiği, lisans aktivasyonu dokümanında açıkça belirtiliyor.
Neyi hedefliyoruz?
- NRD / Unknown / High-Risk gibi “yüksek belirsizlik” alanlarını kontrollü yönetmek
- DGA & DNS tunneling gibi imza dışı davranışları DNS katmanında yakalamak
- Sinkhole ile şüpheli çözümlemeleri izole edip “enfekte host”u hızlı bulmak
- DoH/DoT/QUIC kaynaklı kör noktaları “izinli resolver + kontrol” modeline oturtmak
✅ 3 Adımda Hızlı Kazanım
1) Keşif: önce raporla, sonra kes
Başlangıçta amaç “her şeyi bloklamak” değil; en riskli kümeyi görünür kılmak.
Öncelikli rapor/odak listesi
- Newly Registered Domains (NRD): Palo Alto NRD’yi “son 32 gün içinde kayıt/devir” olarak tanımlar.
- Unknown & High-Risk: Dokümantasyon, unknown + high-risk için “custom category yapıp alert ile izleme/inceleme” yaklaşımını önerir.
- First Seen: Strata/insights tarafında “First Seen” alanı (DNS record’ların ilk görüldüğü zaman) üzerinden avcılığı hızlandırabilirsiniz.
Not: “High-risk’i direkt block” her ortamda doğru değil; Palo Alto KB, high-risk’i bloklamanın yanlış pozitif yaratabileceğini özellikle vurgular.
2) Politika: URL katmanını ve DNS katmanını birlikte tasarla
A) URL Filtering (web erişimi)
Önerilen başlangıç matrisi (pratik):
- malware / phishing → block
- newly-registered-domain → kurum politikasına göre block (Palo Alto URL category dokümanı NRD için “Recommended Action: Block” der)
- unknown + high-risk → alert + daha sıkı Threat Prevention + (varsa) decrypt kapsamı (en azından business/IT kategorilerinde)
B) DNS Security (DNS katmanı)
DNS Security, Anti-Spyware profile içinden etkinleştirilir ve ilgili security policy’e attach edilir.
Burada aksiyon modeli:
- DGA / DNS tunneling / malicious kategorileri → block veya sinkhole (operasyon tercihinize göre)
- Sinkhole kurulum/ayarları Anti-Spyware “DNS Policies” bölümünden yönetilir.
Sinkhole yaklaşımı, özellikle firewall’ın istemciyi doğrudan göremediği (arada iç DNS resolver varken) senaryolarda “enfekte host’u” bulmaya yardımcı olacak şekilde tasarlanmıştır.
3) DoH/DoT & QUIC kör noktalarını kapat: “İzinli resolver” standardı
A) DoH (DNS over HTTPS)
DNS Security’nin DoH desteği; yalnızca sizin belirlediğiniz resolver listesine giden DoH trafiğinin payload’ını decrypt edip Anti-Spyware DNS policy ile değerlendirme mantığına dayanır. Trafik loglarında “dns-over-https” olarak etiketlenir.
B) DoT (DNS over TLS, port 853)
DoT için doküman: SSL Decryption ile 853 hedef portunu decrypt edip DNS Security’yi uygulatmayı anlatır.
C) QUIC/HTTP3
Palo Alto firewall’lar QUIC’i kontrol edebilir ama QUIC’i HTTPS gibi decrypt edemez; visibility gerekiyorsa QUIC’i bloklayıp uygulamayı TLS/HTTPS’e düşürmek yaygın yaklaşımdır.
Kısa politika mantığı
- “Kurumsal cihazlar” için: DoH/DoT yalnızca onaylı resolver’lara (ya decrypt+inspect ya da doğrudan blok/izin modeli)
- Onaysız DoH/DoT/QUIC: deny (ya da en azından alert)
🤖 İzleme & Otomasyon: “IOC → Tag → DAG” ile kendi kendini güncelleyen politika
Sinyali aksiyona bağlamanın en temiz yolu:
- Auto-Tagging: Belirli log kriteri gelince kaynak IP’ye tag bas
- Dynamic Address Group (DAG): Tag’e göre otomatik address group oluşsun
- Policy’de DAG’e deny/quarantine uygula
Auto-tagging; threat log gibi belirli loglara göre IP-to-tag eşlemesi kurup otomasyonu mümkün kılar.
Gelişmiş senaryolarda tag’leri API ile dinamik basarak “commit’siz” enforcement yapmak da mümkün (automation hız kazanır).
İstisna disiplini (şart)
- İstisnalar süreli (EXP) + owner/ticket ile açılmalı
- “NRD/Unknown” gibi kategorilerde iş akışını bozmayacak şekilde: alert → evaluate → allow exception
Cem Kemal Erbaş sitesinden daha fazla şey keşfedin
Subscribe to get the latest posts sent to your email.
