IPv6 ve Proxy Tespiti: IP İstihbaratında Neler Değişiyor?

Genişleyen Adres Alanı: IPv6’nın IP İstihbaratına Etkisi

Yıllar boyunca IPv4’ün sınırlı adres alanı, Network Address Translation (NAT) kullanımını ve proxy servislerini yaygınlaştırdı. IPv6’nın özellikle mobil ağlarda ve internet servis sağlayıcılarında giderek daha fazla benimsenmesi ise proxy, VPN ve TOR çıkışları gibi kötüye kullanılabilecek trafiği tespit etmeye çalışan IP istihbaratı platformları için yeni dinamikler yaratıyor. Bu yazıda IPv6’nın IP proxy tespitinde kullanılan temel yöntemleri nasıl değiştirdiğini, daha doğrusu hangi noktalarda değiştirmediğini ele alıyoruz.

Temel Sinyaller Hâlâ Geçerli

Şüpheli IP adreslerini ve servisleri tespit etmek için uzun süredir kullanılan sinyallerin önemli bir bölümü IPv6 dünyasında da geçerliliğini koruyor. Ancak bazı ince farklar var.

• Autonomous System Number (ASN) ve Kurum Bilgisi: ASN, bir IP bloğunun sahibini anlamak için hâlâ kritik bir kimlik bilgisi. Adres ister IPv4 ister IPv6 olsun, ASN trafiğin geldiği ağı sınıflandırmaya yardımcı olur. Bu ağ bilinen bir konut tipi ISP mi, bulut sağlayıcısı mı, hosting şirketi mi, yoksa kurumsal bir ağ mı? Datacenter ve hosting ASN’leri, IP sürümünden bağımsız olarak konut dışı trafiğe işaret eden güçlü göstergeler olmaya devam eder. AS15169 (Google) veya AS16509 (Amazon) kapsamındaki bir IPv6 adresi, IPv4 tarafındaki karşılıklarında olduğu gibi bulut altyapısını işaret eder.

• Reverse DNS (rDNS) Hostname: rDNS güçlü bir sinyal olmayı sürdürüyor. İyi yapılandırılmış bir rDNS kaydı çoğu zaman IP adresinin meşru kullanım amacına dair fikir verir. IPv6 için de benzer kalıplara bakılır. Örneğin 2a03:2880:f12f:83:face:b00c:0:25de.ipv6.google.com gibi bir rDNS kaydı, büyük bir sağlayıcıdan beklenebilecek türde bir kayıttır. Buna karşılık ip-2a03-b0c0-1-0-0-0-0-2.hostingprovider.com benzeri jenerik rDNS kayıtları ya da konut dışı bir aralıkta rDNS’in hiç olmaması, proxy kullanımı açısından uyarı işareti olabilir. Ele geçirilmiş sunucuları veya hızla ayağa kaldırılmış bulut instance’larını kullanan saldırganlar rDNS yapılandırmasını ihmal edebilir ya da sağlayıcının varsayılan jenerik formatıyla yetinebilir.

• Hosting Sağlayıcısı ve Datacenter Sınıflandırması: Bu sinyal, her iki IP sürümünde de en dayanıklı göstergelerden biridir. Bir IP adresi IPv4 de olsa IPv6 da olsa, temelde bir konut tipi ISP’ye, bir işletmeye veya bir hosting/datacenter sağlayıcısına tahsis edilmiştir. IP istihbaratı platformları bu ayrımı yapabilmek için geniş IPv4 ve IPv6 blok tahsis veritabanları tutar. Bilinen bir datacenter aralığından gelen IPv6 adresi, protokol sürümünden bağımsız olarak bu şekilde işaretlenir. Bu önemlidir çünkü meşru konut kullanıcıları normal şartlarda datacenter IP’leri üzerinden bağlanmaz.

• TOR Çıkış Node Listeleri: Tor ağı hem IPv4 hem IPv6 üzerinde çalışır. Kamuya açık olarak bilinen TOR çıkış node’ları, IPv4 ve IPv6 adres listeleriyle takip edilir. IP istihbaratı servisleri bu listeleri sürekli alır ve günceller. Gelen bağlantı, IP sürümünden bağımsız olarak güncel bir TOR çıkış listesiyle eşleşiyorsa bu bağlantı ilgili şekilde tanımlanır.

• Kara Listeler ve İtibar: Kara listeler çoğu zaman belirli IP adresleri üzerinden oluşturulsa da itibar skorlama ve kara listeleme mantığı her iki sürüm için de geçerlidir. Bir IPv6 adresinin kötü amaçlı faaliyete karıştığı görülürse; örneğin botnet katılımı, spam gönderimi veya credential stuffing gibi aktiviteler tespit edilirse, ilgili kara listelere eklenir ve IPv4 adreslerinde olduğu gibi negatif itibar skoruna katkı yapar. Bugün kötü amaçlı IPv6 trafiğinin hacmi IPv4’e göre daha düşük, ancak prensip aynıdır.

IPv6 Proxy Tespiti İçin Yeni Değerlendirmeler

Temel sinyaller geçerliliğini korusa da IPv6 bazı özel zorlukları ve dikkat edilmesi gereken yeni noktaları beraberinde getiriyor.

• Geçici Yapı ve Subnet Büyüklüğü: IPv6 subnet’leri çok geniştir. Örneğin bir /64, 18 kentilyon adres içerir. Pratikte neredeyse sınırsız sayılabilecek bu adres alanı, IP adreslerinin son derece geçici ve benzersiz olabilmesi anlamına gelir. IPv4’te NAT arkasında paylaşılan IP’ler yaygınken, IPv6 ağlarında her cihaz çoğu zaman kendi public IPv6 adresini alır. Bu durum paylaşımlı IP’lerden kaynaklanan gürültüyü azaltır; ancak saldırganlar büyük bir /64 veya benzeri tahsis içinde adresleri sık sık değiştiriyorsa kötüye kullanım kalıplarını yakalamayı zorlaştırabilir.

• Geniş Ölçekli Tarama ve Envanter Çıkarmanın Zorluğu: IPv6 adres uzayının devasa boyutu, açık proxy’leri (SOCKS5, HTTP/S gibi) kapsamlı biçimde taramayı ve envanterlemeyi IPv4’e kıyasla çok daha zor ve daha az pratik hale getirir. Bu, IPv6 açık proxy’lerinin olmadığı anlamına gelmez. Ancak bunların keşfi ve istismarı çoğu zaman fırsatçı geniş ölçekli taramalardan ziyade zafiyetli servisler veya belirli hedeflemeler üzerinden gerçekleşebilir.

• Sağlayıcı Tarafından Atanan Prefix’ler: Birçok ISP müşterilerine kararlı, ancak çoğu zaman dinamik özellik taşıyan /64 veya daha büyük IPv6 prefix’leri atar. Bu nedenle tek bir konut kullanıcısı zaman içinde aynı prefix içindeki farklı IP’lerden geliyor gibi görünebilir. IP istihbaratının burada tüm prefix’in konut tipi olup olmadığını ya da içinde karma kullanımlı adresler bulunup bulunmadığını değerlendirmesi gerekir. ASN ve rDNS kalıpları genellikle bu ayrımı yapmaya yardımcı olur.

• Tünelleme Servisleri: IPv6’ya geçiş sürecinde zaman zaman 6to4, Teredo ve ISATAP gibi IPv6 trafiğini IPv4 ağı üzerinden kapsülleyen tünelleme servisleri kullanılır. Günümüzde daha az yaygın olsalar da bu tüneller trafiğin gerçek kaynağını perdeleyebilir ve proxy’ye benzer ek bir dolaylılık katmanı oluşturabilir. Burada kritik nokta tünel broker endpoint’ini tanımlamaktır; bu da çoğu zaman yine ASN ve datacenter sınıflandırmasına dayanır.

• Mobil Ağlar ve CGNAT’ın Aşılması: IPv4’te Carrier-Grade NAT (CGNAT), mobil ağlarda oldukça yaygındır ve çoğu zaman çok sayıda kullanıcının tek bir public IPv4 adresini paylaşmasına neden olur. Bu da kötüye kullanım tespitini daha granüler hale getirmeyi zorlaştırır. IPv6 ile birlikte mobil ağlar çoğu zaman her cihaza benzersiz public IPv6 adresleri atar. Teorik olarak bu, itibar tespitinin hassasiyetini artırır. Öte yandan takip edilmesi gereken bireysel adres sayısı da ciddi biçimde artar. Saldırganlar geniş mobil IP havuzlarını kullanarak kötü amaçlı trafiği çok sayıda benzersiz ama geçici IPv6 adresine yayabilir.

IP Risk Skorlamasının Rolü

Farklılıklara rağmen IP istihbaratının nihai hedefi değişmez: Bir IP adresine, toplanan sinyallere göre risk skoru atamak. IPv6 için bu şu anlama gelir:

• Sinyalleri Birleştirmek: Bir IPv6 adresi aynı kontrol setinden geçirilir: ASN’i bilinen bir hosting sağlayıcısına mı ait? rDNS kaydı jenerik mi veya eksik mi? Güncel bir TOR çıkış listesinde yer alıyor mu? Bilinen bir botnet aralığının parçası mı? Bir VPN sağlayıcısıyla ilişkili mi? Her sinyal toplam risk skoruna katkı sağlar.

• Davranışsal Analiz (mevcut olduğunda): Tekil IP sorgularının kapsamı dışında kalsa da ağ genelinde çalışan davranış analizi sistemleri, aynı /64 veya ASN içinden benzer şüpheli aktiviteler gerçekleştiren birden fazla IPv6 adresini ilişkilendirebilir. Böylece tek tek adreslere yayılmış kalıplar daha görünür hale gelir.

Sınırlamalar

Hiçbir tekil tekniğin kusursuz bir çözüm sunmadığını kabul etmek gerekir. IPv6 proxy tespitindeki temel sınırlama, IPv4’te olduğu gibi sürekli devam eden bir kedi-fare oyunudur. Yeni proxy servisleri ortaya çıkar, mevcut servisler kendini uyarlar ve bazı meşru servisler, örneğin belirli VPN’ler, zaman zaman kötü amaçlarla kullanılabilir. IPv6’nın devasa ölçeği de olası tüm proxy’lerin kapsamlı biçimde envanterlenmesini daha da karmaşık hale getirir.

Sonuç

IPv6, IP proxy tespitinin temel prensiplerini kökten değiştirmez. ASN, rDNS, hosting sınıflandırması ve itibar gibi ana sinyaller hâlâ son derece değerlidir. Değişen asıl unsur ölçektir: Çok daha büyük adres alanı, bu adresleri etkili biçimde yönetmek ve sınıflandırmak için güçlü ve ölçeklenebilir sistemler gerektirir. IP istihbaratı platformları; yaygın benzersiz adresleme ve yeni tünelleme modelleri gibi IPv6’ya özgü özellikleri hesaba katarken, datacenter tespiti ve bilinen kötü niyetli listeler gibi kanıtlanmış yöntemlerden de yararlanmaya devam etmelidir. Hedef aynı kalır: IP protokol sürümü ne olursa olsun konut dışı, anonimleştirici veya başka açılardan şüpheli bağlantıları doğru şekilde belirlemek.

Proxy ve datacenter durumu dahil olmak üzere herhangi bir IPv4 veya IPv6 adresinin taşıdığı riski kontrol etmek için Guarda’nın ana sayfasındaki ücretsiz IP lookup aracı üzerinden guarda.net adresini ziyaret edebilirsiniz.