Mobil Operatör IP’leri ve Paylaşımlı NAT: Tek Bir IP’yi Engellemek Neden Binlerce Kullanıcıyı Etkiler?

Güvenlik mühendisleri olarak kötü niyetli trafiği tespit etmek ve durdurmak için çoğu zaman IP istihbaratına güveniriz. Kötüye kullanımla ilişkilendirilen IP’leri engellemek standart bir güvenlik refleksidir. Ancak konu mobil operatör IP adresleri olduğunda, dışarıdan bakıldığında cerrahi gibi görünen tek bir engelleme kararı, Carrier-Grade Network Address Translation (CGNAT) kullanımı nedeniyle binlerce meşru kullanıcıyı istemeden etkileyebilir.

Understanding CGNAT and Mobile Networks

Mobil şebeke operatörleri (MNO), uzun süredir ciddi bir sorunla karşı karşıya: IPv4 adreslerinin tükenmesi. IPv6 kullanımı artsa da internetin büyük bir bölümü hâlâ IPv4 üzerinde çalışıyor. MNO’lar, sınırlı sayıdaki herkese açık IPv4 adres havuzlarını verimli kullanmak ve giderek artan sayıda mobil cihaza bağlantı sağlamak için CGNAT’i yaygın biçimde devreye alıyor.

How CGNAT Works

CGNAT, geleneksel NAT mantığının çok daha büyük ölçekte uygulanmış hâlidir. Evdeki tek bir yönlendiricinin özel IP’leri tek bir public IP’ye çevirmesi yerine, CGNAT’te MNO’nun çekirdek ağında yer alan büyük ölçekli NAT cihazları kullanılır. Bu cihazlar kimi zaman LBs ya da Large Scale NAT anlamına gelen LSN cihazları olarak da anılır. Temel görevleri, mobil cihazlara atanmış çok sayıda özel ve yönlendirilemeyen IPv4 adresini, trafik operatör ağından internete çıkmadan önce daha küçük bir public IPv4 adres havuzuna çevirmektir.

Dışarıdaki bir servis açısından bakıldığında, belirli bir zaman aralığında yüzlerce hatta binlerce farklı mobil cihaz aynı public IPv4 adresinden geliyormuş gibi görünebilir. Yani tek bir public IP adresi, aynı anda ya da çok kısa aralıklarla çok sayıda abone tarafından paylaşılır.

The Security Implications of Shared Mobile IPs

Bu paylaşımlı IP yapısı, güvenlik ekipleri ve IP istihbaratı platformları için kendine özgü zorluklar doğurur:

• Attribution Difficulties: Kötüye kullanım bir CGNAT IP’sinden geldiğinde, dışarıdaki bir servisin sorumlu cihazı ya da kullanıcıyı kesin olarak belirlemesi mümkün değildir. O paylaşımlı public IP’den gelen tüm hareketler tek bir kaynaktan geliyormuş gibi görünür.
• Amplified False Positives: Asıl kritik nokta burasıdır. Paylaşımlı bir CGNAT IP’sini kullanan tek bir kullanıcı kötü niyetli bir davranış sergilerse — örneğin botnet etkinliği, credential stuffing, scraping, spam ya da sahte hesap açma — ve bu public IP engellenirse, aynı IP’yi o anda ya da yakın zamanda kullanan tüm meşru kullanıcılar da engellenmiş olur. Bu da yanlış pozitiflerin çok hızlı büyümesine yol açabilir.
• Ephemeral Nature: Mobil IP adresleri çoğu zaman son derece dinamiktir. Kullanıcı baz istasyonları arasında hareket ettikçe, cihazını yeniden başlattıkça ya da yalnızca zaman içinde farklı IP’ler alabilir. Bu durum, kalıcı tehditlere karşı belirli IP’leri uzun süre engellemeyi daha az etkili hâle getirirken, yeni atanmış masum kullanıcıların engellenme riskini artırır.

Identifying Mobile Carrier IPs

IP istihbaratı platformları, mobil operatör IP’lerini tanımaya ve olası CGNAT senaryolarını işaretlemeye yardımcı olabilecek çeşitli sinyaller sunar:

• ASN (Autonomous System Number): Mobil operatörlerin genellikle kendilerine ait ASN’leri bulunur. Bir IP ile ilişkilendirilen ASN’yi görmek, o IP’nin AT&T Mobility, Vodafone, China Mobile gibi bilinen bir mobil operatöre ait olup olmadığını anlamanızı sağlar. Bu güçlü bir göstergedir.
• rDNS Hostname: Mobil IP’ler için yapılan reverse DNS sorguları çoğu zaman IP’nin mobil ağdan geldiğini düşündüren jenerik hostname’ler gösterir. Örneğin dialup-123-45-67-89.mobile.att.net ya da pool-123-45-67-89.dynamic.vodafone.co.uk gibi kayıtlar görülebilir. Bunlar genellikle statik sunucu rDNS kayıtlarından veya sabit ev interneti ISP kayıtlarından farklıdır.
• Hosting Range Type: IP istihbaratı verileri IP aralıklarını sınıflandırır. Mobil aralıklar çoğu zaman açıkça mobile ya da cellular olarak etiketlenir; böylece datacenter, residential, business veya education aralıklarından ayrılır.
• High User Count/Dynamic Behavior: Guarda gibi platformlar bir IP’nin tipik davranışını gözlemleyip raporlayabilir. Kısa sürede olağan dışı sayıda farklı user-agent, hızlı coğrafi konum değişimleri ya da çok yüksek istek hacmi gösteren bir IP, paylaşımlı bir CGNAT ortamına işaret ediyor olabilir.

Şunu da unutmamak gerekir: datacenter sınıflandırması bazı durumlarda MNO altyapısıyla, özellikle çekirdek ağ bileşenleriyle örtüşebilir. Ancak son kullanıcıya bakan IP aralıkları genellikle daha net biçimde ayrıştırılır.

Mitigating the Risk: Strategies for Security Engineers

Mobil IP’leri tamamen engellememek gibi bir yaklaşım pratik değildir; çünkü gerçek tehditler bu ağlardan da gelebilir. Amaç, kötüye kullanımı etkili biçimde azaltırken yanlış pozitifleri en aza indirmektir.

1. Granular Risk Assessment

Yalnızca IP’nin risk skoruna bakarak genel bir engelleme uygulamak yerine, diğer sinyalleri de değerlendirmek gerekir. Örneğin high risk score taşıyan bir IP aynı zamanda mobile carrier IP olarak tanımlanıyor, hosting range: mobile bilgisine sahip ve dinamik atamayı düşündüren bir rDNS hostname gösteriyorsa, benzer risk skoruna sahip statik bir datacenter IP’sinden farklı ele alınmalıdır.

Guarda gibi platformlar TOR exit, proxy, VPN, yakın dönem kötüye kullanım raporları gibi farklı faktörleri bir araya getiren kapsamlı bir risk score sunar. Bu skoru yol gösterici olarak kullanmak faydalıdır; ancak IP’nin kökenine dair bağlamsal bilgilerle mutlaka desteklenmelidir.

2. Rate Limiting and Behavioral Analysis

Mobil IP’lerden gelen şüpheli aktivitelerde doğrudan engelleme yerine daha sıkı rate limiting uygulamak çoğu zaman daha sağlıklı sonuç verir. Bunu davranış analiziyle birlikte düşünmek gerekir:

• Session-level tracking: Kullanıcı davranışını yalnızca IP bazında değil, oturum seviyesinde takip edin. Mobil IP’den gelen belirli bir oturum hızlı başarısız giriş denemeleri, olağan dışı gezinme akışı ya da bot benzeri zamanlama gibi kötü niyetli örüntüler gösteriyorsa, o oturumu engelleyin veya daha sıkı doğrulama adımları uygulayın.
• Account-level reputation: Mobil IP mevcut bir hesapla ilişkiliyse, hesabın itibarını da devreye alın. Güvenilir geçmişe sahip yerleşik bir hesaba mobil IP’den yeni bir cihazla ya da alışılmadık bir konumdan erişiliyorsa, doğrudan engellemek yerine MFA gibi ek doğrulama adımları daha doğru olabilir.

3. Progressive Security Measures

Engelle/izin ver gibi ikili bir karar yerine, araya kademeli güvenlik önlemleri eklemek daha dengeli bir yaklaşım sunar:

• CAPTCHA/reCAPTCHA: Mobil IP’lerden gelen şüpheli aktivitelerde doğrulama adımları gösterin. Bu yöntem, insan kullanıcıları engellemeden botları caydırmada etkili olabilir.
• JavaScript challenges: İstemci tarafındaki JavaScript analizleri, botların sık kullandığı otomatik tarayıcıları veya headless ortamları tespit etmeye yardımcı olabilir.
• Temporary blocks: Daha hafif ihlaller için kısa süreli engellemeler uygulayın. Örneğin 5-15 dakikalık bloklar, IP’nin yeniden atanmasına, meşru kullanıcının tekrar denemesine ya da gerçek saldırganın devam edemeyip vazgeçmesine alan tanır.

4. Leverage IP Intelligence Hosting Range and TOR Exit Status

Mobil IP’ler dikkatli ele alınması gereken bir alan olsa da datacenter veya anonymous proxy gibi belirli hosting range sınıflandırmaları — kullandığınız platformda mobile kategorisinden ayrı gösteriliyorsa — ya da açık bir TOR exit durumu, kötü niyet olasılığının daha yüksek olduğuna işaret edebilir. Bu tür durumlarda daha agresif engelleme politikaları uygulanabilir. İncelik, bu sinyalleri paylaşımlı mobil IP’lerden ayırabilmektedir.

Conclusion

CGNAT arkasında çalışan mobil operatör IP’leri, ağ güvenliği açısından ciddi bir meydan okuma yaratır. Statik tehditlere karşı etkili olabilen basit bir IP engeli, mobil ağlardaki meşru kullanıcılar için kayda değer sürtünme oluşturabilir. Ağ mimarisini doğru anlayarak ve ASN, rDNS, hosting range, risk skoru gibi gelişmiş IP istihbaratı sinyallerini Guarda gibi platformlardan yararlanarak kullanan ekipler, daha akıllı ve daha az yıkıcı engelleme stratejileri kurabilir. Böyle bir yaklaşım, kötüye kullanımı azaltırken kullanıcı deneyimini de korur. Herhangi bir IP’yi hızlıca kontrol etmek için guarda.net ana sayfasındaki ücretsiz IP lookup aracını kullanabilirsiniz.