Web Proxy Nedir? Loglarda Tarayıcı Proxy’lerini Anlamak

Tarayıcı tabanlı web proxy’leri, ağ güvenliği ekipleri için uzun zamandır göz ardı edilemeyecek bir başlık. Proxy denince çoğu kişinin aklına büyük ölçekli, özel olarak kurulmuş altyapılar gelse de proxy trafiğinin kayda değer bir bölümü doğrudan kullanıcı tarafındaki tarayıcı eklentilerinden, web servislerinden ya da yerel ayarlardan kaynaklanır. Bu trafiğin loglarda nasıl iz bıraktığını anlamak; fraud tespiti, kötüye kullanımın önlenmesi ve tehdit istihbaratıyla ilgilenen her mühendis için kritik önemdedir.

Bu yazıda, tarayıcı tabanlı proxy’leri log verisi üzerinden tanımlamanın pratik yönlerine odaklanıyoruz. Özellikle hangi sinyallerin işe yaradığına ve bu sinyallerin nerede yetersiz kalabileceğine bakacağız.

Web Proxy Nedir?

En temel haliyle web proxy, başka sunuculardaki kaynaklara erişmek isteyen istemciler için aracı görevi görür. İstemci hedef web sitesine doğrudan bağlanmak yerine isteğini proxy sunucusuna gönderir; proxy de bu isteği istemci adına hedef siteye iletir. Web sitesinden gelen yanıt yine proxy üzerinden istemciye döner.

Bu mekanizma farklı amaçlarla kullanılabilir:

• Anonimlik/Gizlilik: İstemcinin gerçek IP adresini gizlemek.
• Erişim Kontrolü: Coğrafi kısıtlamaları veya kurumsal güvenlik duvarlarını aşmak.
• Önbellekleme: İçeriği cache üzerinden sunarak performansı artırmak.
• Loglama/İzleme: Trafiği analiz amacıyla yakalamak ve kaydetmek.
• Güvenlik: Zararlı içerikleri filtrelemek veya politika uygulamak.

Tarayıcı Tabanlı Proxy’ler ve Dedicated Proxy’ler

Temel işlev aynı olsa da tarayıcı tabanlı proxy’ler, dedicated proxy altyapılarından kurulum biçimi ve operasyonel izleri bakımından ayrılır. Dedicated proxy’lerde genellikle belirli sunucularda çalışan özel yazılımlar bulunur ve bu altyapı bir kişi ya da kurum tarafından belirli bir amaç için yönetilir. Örneğin kurumsal outbound proxy’ler veya VPN servisleri bu kategoriye girer. Çoğu zaman SOCKS ya da HTTP/HTTPS gibi bilinen protokolleri kullanırlar ve büyük hosting sağlayıcılarından trafik üretebilirler.

Tarayıcı tabanlı proxy’ler ise çoğunlukla şu şekillerde karşımıza çıkar:

• Eklentiler/Add-on’lar: Chrome, Firefox, Edge gibi tarayıcılara doğrudan kurulan küçük yazılım bileşenleri. Bu eklentiler, ağ isteklerini istemci tarafında değiştirerek trafiği eklenti sağlayıcısının işlettiği proxy sunucularına yönlendirir.
• Web Tabanlı Servisler: Proxy işlevini doğrudan tarayıcı içinde sunan web siteleri. Kullanıcı, proxy sitesindeki alana bir URL girerek anonim gezinmeye çalışır. Bu durumda proxy sunucusu, proxy hizmetini barındıran web sunucusunun kendisidir.
• Yerel Proxy Yazılımları: Kullanıcının cihazında çalışan ve tarayıcı trafiğini önce yerel bir proxy’ye, ardından upstream proxy sunucusuna yönlendiren uygulamalar. Bazı reklam engelleyiciler, gizlilik araçları veya özel test araçları bu modele yaklaşabilir.

Tespit açısından önemli fark şudur: Tarayıcı tabanlı proxy’ler çoğu zaman dağınık, kısa ömürlü ve değişken proxy sunucusu altyapılarını kullanır. Kullanım desenleri de dedicated servisler kadar tutarlı olmayabilir.

Loglarda Tarayıcı Proxy’lerini Görünür Kılmak

Tarayıcı tabanlı proxy kullanımını anlamak için web sunucusu, CDN ve uygulama loglarındaki farklı alanları birlikte değerlendirmek gerekir. Tek bir alan çoğu zaman kesin cevap vermez. Proxy aktivitesini işaret eden şey, genellikle birden fazla zayıf sinyalin aynı yönde kümelenmesidir.

1. IP Adresi Anomalileri

En doğrudan sinyal, bağlantıyı yapan IP adresidir. İstek, proxy servisleriyle ilişkili olduğu bilinen bir IP adresinden geliyorsa bu güçlü bir göstergedir. Tarayıcı tabanlı proxy’lerde bu durum çoğunlukla şu şekillerde görülür:

• Hosting Provider/Datacenter IP: Ücretsiz veya düşük maliyetli proxy servislerinin önemli bir kısmı standart hosting sağlayıcıları üzerinde çalışır. AWS, GCP, Azure, DigitalOcean, OVH gibi büyük bulut sağlayıcılarına ya da daha küçük veri merkezlerine ait bir IP, beklenen kullanıcı trafiğiyle örtüşmüyorsa şüpheli olabilir. Örneğin iş yapmadığınız bir bölgeden, üstelik hosting aralığındaki bir IP ile perakende sitenize erişim gelmesi dikkate alınması gereken bir işarettir.
• TOR Exit Node: IP adresi bilinen bir Tor çıkış düğümü olarak listelenmiş olabilir. Tarayıcı tabanlı araçlar trafiği Tor üzerinden yönlendirmeyi oldukça kolaylaştırır.
• VPN IP: VPN ayrı bir kategori gibi düşünülse de birçok tarayıcı eklentisi VPN benzeri işlev sunar ve trafiği ticari VPN sağlayıcıları üzerinden geçirir.
• Proxy Blacklist’leri: IP, proxy’lere özel ticari veya açık kaynak blacklist’lerde yer alıyor olabilir.

Sınırlamalar: Meşru bir kullanıcı gizlilik için VPN kullanıyor olabilir. Bazı ISP’ler de trafiği veri merkezi benzeri altyapılar üzerinden yönlendirebilir. Bu yüzden bağlam her zaman belirleyicidir.

2. HTTP Header’ları

HTTP header’ları proxy tespiti için zengin ipuçları taşır. Bazıları kolayca manipüle edilebilir; ancak bazıları olduğu gibi kalır ya da proxy kullanımını istemeden ele verir.

• `X-Forwarded-For` / `X-Real-IP`: Bu header’lar genellikle proxy’ler tarafından, istemcinin orijinal IP adresini korumak amacıyla eklenir. Uygulamanız doğrudan istemci IP’si görmeyi beklerken REMOTE_ADDR alanında proxy IP’si, X-Forwarded-For içinde ise tamamen farklı ve muhtemelen residential bir IP görüyorsa bu, proxy kullanımına dair güçlü bir işarettir. Yine de dikkatli olmak gerekir; bu header’lar yetkin bir saldırgan tarafından sahte olarak da gönderilebilir.

Örnek:* REMOTE_ADDR = 192.0.2.1 (proxy IP), X-Forwarded-For = 203.0.113.10 (muhtemel orijinal istemci IP’si).

• `Via` Header’ı: Özellikle eski veya transparent proxy’ler, üzerinden geçilen proxy sunucularının protokolünü ve hostname/IP bilgisini göstermek için Via header’ı ekleyebilir. Modern tarayıcı tabanlı proxy’lerde daha az görülür ama hâlâ karşımıza çıkabilir.

Örnek:* Via: 1.1 proxy.example.com

• `Proxy-Connection` / `Proxy-Authorization`: Bu header’ların varlığı, istemcinin tarayıcısını açıkça proxy kullanacak şekilde yapılandırdığını gösterir. Proxy-Authorization ise kimlik doğrulamalı bir proxy’ye işaret eder; bu durum kurumsal ortamlarda görülebileceği gibi ücretli proxy servislerinde de yaygındır.
• User-Agent Tutarsızlıkları: Bazı tarayıcı eklentileri User-Agent değerini küçük farklarla değiştirebilir. Bazen de User-Agent, gözlemlenen diğer özelliklerle uyuşmaz. Örneğin datacenter IP’sinden gelen mobil User-Agent, masaüstü benzeri ekran çözünürlüğüyle birlikte görülüyorsa şüphe yaratabilir.

Sınırlamalar: Header’lar değiştirilebilir veya tamamen kaldırılabilir. X-Forwarded-For birden fazla IP içerebilir ya da baştan sona uydurulmuş olabilir.

3. Bağlantı Özellikleri

IP ve header’ların ötesinde, bağlantının kurulma ve davranış biçimi de bazı ipuçları verir.

• TLS/SSL Fingerprinting (JA3/JA4): TLS handshake süreci; istemcinin tarayıcısı, işletim sistemi ve ağ yığınıyla ilişkili belirli desenler içerir. Proxy üzerinden bağlanan bir tarayıcı, doğrudan tarayıcı bağlantısından farklı bir TLS fingerprint sergileyebilir. Örneğin sunucu tarafı bir bileşene ya da genel amaçlı bir kütüphaneye özgü izler görülebilir.
• HTTP/2 veya HTTP/3 Desteği: Proxy’ler HTTP sürümünü düşürebilir ya da yükseltebilir. Bu da istemcinin beyan ettiği yeteneklerle bağlantıda kullanılan gerçek protokol sürümü arasında tutarsızlığa yol açabilir.
• Round Trip Time (RTT) / Gecikme: Tek başına kesin gösterge değildir; ancak belirli bir coğrafi bölge için olağandışı yüksek veya dalgalı gecikme, çok adımlı bir proxy zincirine işaret edebilir.

Sınırlamalar: TLS fingerprinting ileri seviye bir tekniktir ve taklit edilebilir. RTT ise ağ koşullarına bağlı olarak ciddi biçimde değişir.

IP Intelligence’tan Yararlanmak

Milyonlarca log satırı içinde bu sinyalleri elle ilişkilendirmek ölçeklenebilir bir yöntem değildir. Tam da bu noktada uzmanlaşmış IP intelligence API’leri vazgeçilmez hâle gelir. Guarda gibi servisler, bu sinyalleri ve çok daha fazlasını otomatik analiz ederek birleşik bir risk değerlendirmesi sunar.

Bir IP intelligence servisi genellikle şu bilgileri sağlar:

• Proxy/VPN/TOR Tespiti: Sürekli izleme ve özel listeler üzerinden bir IP’nin bilinen proxy, VPN veya TOR çıkış düğümü olup olmadığını sınıflandırır.
• ASN/Kurum Bilgisi: Autonomous System Number ve IP’nin ait olduğu organizasyonu gösterir. Son kullanıcı trafiği gibi görünen isteklerde, hosting sağlayıcılarına ait IP’ler —örneğin ASN adında "HOSTING", "CLOUD", "DATACENTER" geçenler— şüpheli kabul edilebilir.
• rDNS Hostname: Reverse DNS kayıtları bazen proxy altyapısını açık eder. Örneğin proxy.someprovider.net gibi bir kayıt ek bir veri noktasıdır. Kolayca manipüle edilebilir, ancak yine de anlamlı olabilir.
• Risk Skoru: Bir IP’nin kötü niyetli olma veya kötüye kullanımla ilişkili olma ihtimalini temsil eden birleşik sayısal skor. Bu skor; gözlemlenen saldırı desenleri, blacklist varlığı ve altyapı türü gibi faktörleri hesaba katar.

Böyle bir API entegrasyonu sayesinde log verinizi gerçek zamanlı istihbaratla zenginleştirebilirsiniz. Gelen bir bağlantıda REMOTE_ADDR yüksek risk skoruna sahip bir datacenter IP olarak tanımlanıyor, X-Forwarded-For ise farklı ve muhtemelen residential bir IP gösteriyorsa proxy kullanımına dair güçlü bir tablo oluşur. Bu bilgiyi ek kimlik doğrulama tetiklemek, isteği engellemek veya daha ayrıntılı inceleme için loglamak üzere kullanabilirsiniz.

Sonuç

Loglarda tarayıcı tabanlı proxy’leri tespit etmek tek boyutlu bir iş değildir. Dikkatli gözlem, HTTP ayrıntılarına hâkimiyet ve dış istihbarat kaynaklarından yararlanmayı birlikte gerektirir. Hiçbir sinyal tek başına kusursuz değildir; güçlü bir tespit stratejisi IP kaynağından HTTP header’larına, bağlantı karakteristiklerinden risk skorlarına kadar birden çok göstergeyi bir araya getirir. Web uygulamalarını yöneten mühendisler için bu desenleri tanımak, güvenliği ve veri bütünlüğünü korumanın önemli bir parçasıdır.

Kendi IP’nizi kontrol etmek veya bu kavramları test etmek için guarda.net üzerindeki ücretsiz IP lookup aracını kullanabilirsiniz.