Ağ Güvenliğinde Rogue DHCP Sunucusu Nedir? Ağ Çökerten Sahte IP Dağıtımını Engelleme Rehberi

Yerel Ağda Yetkisiz Bir Cihazın Tüm Şirket İnternetini Zehirlemesi

Kurumsal yerel ağlarda (LAN) hiçbir siber saldırgan olmaksızın, bir çalışanın kendi kişisel odasında telefonuna Wi-Fi sağlamak için evden getirdiği ucuz bir kablosuz yönlendiriciyi (Access Point / Router) masasının altındaki şirket Ethernet prizine takmasıyla başlayan felakete bilişim literatüründe Rogue DHCP (Sahte / Yetkisiz DHCP Sunucusu) denir. Kullanıcı routerın arkasındaki WAN portu yerine yanlışlıkla LAN portunu duvara bağladığı anda, bu küçük cihaz şirket ağına yetkisiz bir DHCP sunucusu olarak yayın yapmaya başlar. Ağdaki diğer bilgisayarlar, yazıcılar ve IP telefonlar ana şirket sunucusu yerine bu sahte cihazdan yanlış IP adresi ve geçersiz ağ geçidi (Gateway) alarak dakikalar içinde internetten düşer ve tüm şirket operasyonu kilitlenir.

DORA Sürecinde En Hızlı Olan Kazanır Kuralı

DHCP protokolü (Dinamik Ana Bilgisayar Yapılandırma Protokolü) doğası gereği güvenilirlik veya kimlik doğrulaması içermeyen UDP 67/68 portları üzerinde çalışır:

1. Ağa yeni bir bilgisayar bağlandığında ortama yüksek sesle bir yayın fırlatır: ‘Ağda DHCP sunucusu var mı? Bana bir IP verin!’ (DHCP Discover).
2. Sistem odasındaki ana sunucu bu paketi alıp hesaplama yaparken, personelin taktığı sahte router da aynı paketi duyar ve anında bir IP teklifi yollar (DHCP Offer).
3. Yarış Prensibi: İstemci bilgisayar hangi cihazdan gelen teklif paketini milisaniye farkıyla önce alırsa o IP’yi kabul eder.
4. Personelin routerı küçük ve yüksüz olduğu için ana sunucudan daha hızlı yanıt döner; istemciye 192.168.0.1 gibi şirket ağıyla tamamen alakasız bir IP ve sahte bir DNS atar. İstemci artık internete çıkamaz ve şirket sunucularına erişemez.

1. Adım: Ağdaki Sahte DHCP Sunucusunun Fiziksel Olarak Tespiti

Ağda sahte IP alan bir bilgisayar üzerinden suçlu cihazın MAC adresi saniyeler içinde ifşa edilir:

CMD Komut Satırı:
ipconfig /all

İnceleme:
DHCP Server satırına bakılır (Örn: 192.168.0.1 yazıyor - Şirket ağı 10.10.10.0 dı!).

Hemen ardından sahte sunucunun MAC adresini öğrenin:
arp -a 192.168.0.1
Çıktı: 192.168.0.1 --- c4-6e-1f-88-99-aa (Fiziksel MAC Adresi)

Yönetilebilir switch konsoluna girilerek show mac address-table address c4-6e-1f-88-99-aa komutu verilir; cihazın hangi kattaki hangi numaralı switch portuna takılı olduğu anında bulunur.

2. Adım: Kesin Donanımsal Çözüm Olarak Switch Üzerinde DHCP Snooping Kurulumu

Personelin ağa ne takarsa taksın ana sistemi bozamaması için yönetilebilir ağ anahtarlarında (Switch) DHCP Snooping devreye alınmalıdır:

Switch CLI Yapılandırması:
# Global olarak DHCP Snooping'i açın
ip dhcp snooping
ip dhcp snooping vlan 10,20,30

# YALNIZCA ana şirket yönlendiricisinin bağlı olduğu omurga portunu GÜVENİLİR ilan edin:
interface gigabitEthernet 1/0/48
 ip dhcp snooping trust
exit

# Diğer tüm kullanıcı portları varsayılan olarak 'UNTRUSTED' (Güvensiz) kalır.

3. Adım: Sahte DHCP Paketlerinin Kapıda İmha Edilmesi

DHCP Snooping aktif edildiğinde switch her portu dinler: Eğer Untrusted (Güvensiz) kullanıcı portlarından birinden dışarıya doğru bir DHCP Offer veya DHCP Ack (IP Dağıtma) paketi çıkmaya çalışırsa, switch bu paketi donanımsal olarak anında çöpe atar (Drop) ve o portu güvenlik ihlali sebebiyle kapatır (Err-Disable). Sahte router ağa takılsa dahi tek bir bilgisayara bile yanlış IP veremez.

Kurumsal yerel ağ güvenliği, DHCP Snooping konfigürasyonu, Layer 2 siber güvenlik sıkılaştırması ve omurga switch projelerinde BaykalSoft Ağ Altyapı Güvenliği birimimizle iletişime geçebilirsiniz.