Botları ve Kötü Niyetli Kullanıcıları Tespit Etme: VPN'ler, Proxiler ve Tor'un Parmak İzini Çıkarma Teknik Rehberi

Giriş

Günümüzün bağlantılı dijital dünyasında, işletmeler kötü niyetli aktörlerin sürekli tehdidiyle karşı karşıya kalıyor. Bu kişiler ve otomatik botlar, ödeme dolandırıcılığı, hesap ele geçirme ve içerik kötüye kullanımı gibi çeşitli zararlı faaliyetlerde bulunabiliyor. Gerçek kimliklerini gizlemek için ise sıklıkla Sanal Özel Ağlar (VPN), proxy'ler ve Tor ağı gibi araçlara başvuruyorlar.

Her türlü çevrimiçi işletme için — e-ticaret sitelerinden finansal kurumlara — bu gizlenmiş kullanıcıları doğru şekilde tanımlayabilmek sadece savunma mekanizması değil, sağlam bir güvenlik stratejisinin kritik parçasıdır. Bu rehber, VPN, proxy ve Tor arkasına saklanan kullanıcıları parmak iziyle tespit etme yöntemlerini teknik detaylarıyla inceleyerek platformunuzu ve müşterilerinizi korumanıza yardımcı olur.

Imperva'nın 2021 çalışması, kötü niyetli botların tüm web sitesi trafiğinin neredeyse %26'sını oluşturduğunu, bunların içinde gelişmiş kalıcı botların %15'ten fazlasını kapsadığını gösterdi. Bu botlar insan davranışını taklit ederek basit tespit yöntemlerini atlatacak kadar karmaşık hale geliyor. Bu da temel IP kara listelemeyi aşan gelişmiş tespit tekniklerine olan ihtiyacı ortaya koyuyor.

Temeller: IP ve Ağ İstihbaratı

Spesifik tespit yöntemlerine geçmeden önce, bu tekniklerin temelini oluşturan veri noktalarını anlamak önemlidir. Her tespit sisteminin merkezinde kullanıcının IP adresi ve ait olduğu ağın analizi bulunmaktadır.

IP Location Intelligence ve Network Intelligence (ASN) gibi servisler, IP adresi hakkında şu kritik bilgileri sağlar:

• Coğrafi Konum: Kullanıcı fiziksel olarak nerede? Bu konum diğer verilerle (örneğin fatura adresi) uyumlu mu?
• ASN (Otonom Sistem Numarası): IP adresine hangi kurum sahip? Bu bir ev internet sağlayıcısı mı, bulut barındırma hizmeti mi yoksa bilinen bir VPN hizmeti mi?
• IP İtibarı: Bu IP adresi geçmişte kötü niyetli faaliyetlerde bulunmuş mu?

Bu temel bilgileri kullanarak daha sofistike bir parmak izi belirleme stratejisi geliştirebilirsiniz.

VPN'leri Tespit Etmek

VPN'ler, kullanıcının cihazı ile uzak sunucu arasında şifreli bir tünel oluşturarak gerçek IP adresini gizler. Birçok kişi VPN'leri gizlilik amaçlı kullanırken, dolandırıcılar için de yaygın bir araçtır.

VPN Bağlantısının Parmak İzini Çıkarmanın Yolları

1. Bilinen VPN Sağlayıcı Veri Tabanları: En doğrudan yöntem, kullanıcının IP adresini bilinen VPN sağlayıcılarına ait IP listeleriyle karşılaştırmaktır. VPN & Proxy Detection alanında uzmanlaşan şirketler bu listeleri düzenli olarak günceller. IP bu veri tabanında yer alıyorsa, kullanıcının VPN üzerinden bağlandığı güçlü bir göstergedir.
2. Port Analizi: VPN protokollerinin sık kullandığı belirli portlar vardır. Örneğin, popüler OpenVPN protokolü genellikle UDP 1194 portunu kullanır. Port taraması karmaşık olabilir ve her zaman uygulanabilir olmayabilir, ancak tek bir IP'den bu karakteristik portlarda yüksek trafik şüphesi yaratabilir.
3. Tutarsız Coğrafi Konum Verileri: Kullanıcının IP adresi bir ülkeyi gösterirken, tarayıcı dili veya saat dilimi farklı bir bölgeyi işaret ediyorsa (örneğin Hollanda'dan bir IP, 'en-US' dil ayarı ve Pasifik Saati dilimi), bu şüpheli durumdur. Burada güvenilir bir IP Location Intelligence servisi çok değerlidir.
4. Trafik Özellikleri: VPN trafiğinin paket boyutları ve zamanlaması standart web trafiğinden farklı olabilir. Ancak bu analiz derin paket incelemesi gerektirir ve çoğu web uygulamasının kapsamının dışındadır.

Proxileri Ortaya Çıkarmak

Proxyler, kullanıcı ile internet arasında aracılık yapar. Kullanıcı isteği proxy sunucusuna gönderir, proxy isteği hedef sunucuya iletir. VPN gibi, proxyler de hem yasal hem kötü amaçlar için kullanılır. Fark edilmesi gereken proxy türleri:

• Datacenter Proxyler: En yaygın ve en ucuz proxy türüdür. IP adresleri ticari veri merkezlerine ait olup, konut IP'lerinden kolayca ayırt edilir.
• Residential Proxyler: Trafik gerçek konut IP'leri üzerinden yönlendirilir, bu yüzden tespiti zordur.
• Mobil Proxyler: Residential proxyye benzer ancak trafiği mobil cihazlar üzerinden yönlendirir.

Proxy Bağlantısının Parmak İzini Çıkarmanın Yolları

1. ASN ve IP Sahipliği: Proxyleri tespit etmenin en etkili yollarından biri IP'nin ASN bilgisini incelemektir. ASN bir hosting sağlayıcısına veya veri merkezine (AWS, Google Cloud veya daha küçük sağlayıcılar gibi) aitse, bu muhtemelen bir Datacenter Proxy demektir. Şüpheli IP'leri araştırmak için ASN Lookup Online Tool kullanılabilir.
2. HTTP Başlıkları: Bazı eski veya yanlış yapılandırılmış proxyler, ilettikleri isteklere özel başlıklar ekler. X-Forwarded-For, Via veya Forwarded gibi başlıkların varlığı proxy işaretidir.
3. Davranışsal Analiz: Proxyler genellikle web kazıma veya kimlik bilgisi denemeleri gibi otomatik işlemler için kullanılır. Tek bir IP'den aşırı sayıda istek gelmesi veya kısa sürede çok sayıda hesaba giriş denemesi, proxy üzerinden çalışan bir bot olduğuna işaret eder.

Daha detaylı IP verisi değerlendirme rehberimiz için: Beyond API Accuracy: 5 Steps to Evaluate IP Data for Fraud Detection.

Tor Kullanıcılarını Tanımlamak

Tor (The Onion Router), trafiği gönüllü sunucu ağı üzerinden yönlendirerek yüksek anonimlik sunar. Gizlilik ve sansürü aşmak için güçlü bir araç olmakla birlikte, Tor yasa dışı faaliyetler ve dolandırıcılıkta sıkça kötüye kullanılır.

Tor Bağlantısının Parmak İzini Çıkarmanın Yolları

Tor tespiti, birçok VPN veya proxy tespitinden daha kolaydır. Tor Project tüm çıkış düğümlerinin (trafik kamuya açık internete gönderilen sunucular) listesini yayımlar.

Bir kullanıcının IP'sini bu listeyle karşılaştırarak, IP bir Tor çıkış düğümü ise, kullanıcının Tor ağında olduğundan oldukça emin olabilirsiniz.

Bu yöntemin zorluğu, çıkış düğümü listesini güncel tutmaktır çünkü sık sık değişir. Profesyonel bir VPN & Proxy Detection servisi bu listeyi sizin için günceller, böylece veriniz her zaman güncel kalır.

Çok Katmanlı Savunma Oluşturmak

Hiçbir tespit yöntemi tek başına kusursuz değildir. Akıllı bir dolandırıcı henüz listelenmemiş bir residential proxy veya bilinmeyen yeni bir VPN servisi kullanabilir. Bu yüzden çok katmanlı bir yaklaşım gereklidir.

Parmak izi sistemi, birden çok sinyali birleştirerek kapsamlı bir risk puanı oluşturmalıdır. Bunlar olabilir:

• VPN/Proxy/Tor Tespiti: IP anonimleştirici bilinen bir servis IP'si mi?
• IP İtibarı: IP botnet veya saldırılarda görüldü mü?
• Coğrafi Konum Analizi: Kullanıcının konumu makul mü?
• Davranış Analizi: Kullanıcının davranışı gerçek müşteri ile uyumlu mu?
• Cihaz Parmak İzi: Kullanıcının tarayıcısı ve cihazından ne öğrenebilirsiniz?

Bu farklı veri noktalarını birleştirerek kullanıcının gerçek kimliği ve niyetleri hakkında çok daha net bir tablo ortaya çıkarabilirsiniz. Konuyla ilgili daha fazla bilgi için blog yazımız 5 Reasons Why Smart Businesses Use VPN/Proxy Detection faydalı olacaktır.

Sonuç

VPN, proxy ve Tor arkasına saklanmış kötü niyetli kullanıcıları tespit etmek, herhangi bir çevrimiçi işletme için karmaşık ama hayati önem taşıyan bir görevdir. IP sahipliği ve konum analizinden kullanıcı davranışının izlenmesine kadar çeşitli teknikleri kullanarak dolandırıcılık ve kötüye kullanımı ciddi oranda azaltabilirsiniz.

Bu tespit yeteneklerinin bir kısmını dahili olarak geliştirmek mümkün olsa da, ortam sürekli değişiyor. Yeni VPN sağlayıcıları ortaya çıkıyor, proxy ağları evriliyor ve botnetler tespit yöntemlerini aşmanın yeni yollarını buluyor. Bu nedenle birçok işletme, bu tehditlerin önünde kalmaya odaklanmış profesyonel hizmetlere güvenmeyi tercih ediyor; böylece kendi ürün ve müşterilerine odaklanabiliyor. Sağlam bir tespit stratejisine yatırım yaparak, gelirlerinizi, itibarınızı ve platformunuzun bütünlüğünü koruyabilirsiniz.