Wie OnDMARC eine umfassende DNS-Hygiene unterstützt

Registrierbare Domains und DNS spielen eine entscheidende Rolle beim Aufbau von Online-Identität und Vertrauen, doch ihre Bedeutung wird oft als selbstverständlich angesehen. Bei der Einrichtung neuer Dienste werden Aktualisierungen von Einträgen häufig übersehen, wodurch sich veraltete Einträge ansammeln. Da Infrastrukturteams immer stärker ausgelastet sind, werden Dienste manchmal ohne ordnungsgemäße Bereinigung abgeschaltet, wodurch eine Fülle von Einträgen zurückbleibt. Diese verwaisten Einträge delegieren weiterhin Vertrauen im Namen Ihres Unternehmens, oft notwendigerweise und manchmal mit einem erhöhten Sicherheitsrisiko

Dies führt zu einer DNS-Konfigurationsdrift – womit die schrittweisen Änderungen oder Inkonsistenzen in den DNS-Einstellungen gemeint sind, die über die Zeit durch manuelle Aktualisierungen, vernachlässigte Wartung oder Fehlkonfigurationen entstehen – und zieht erhebliche Cybersicherheits- und weitergehende Geschäftsrisiken nach sich. Anfang dieses Jahres haben wir unseren Leitfaden zur SubdoMailing-Kampagne veröffentlicht, in dem Bedrohungsakteure SPF-Einträge missbrauchten, um den Versand von Millionen von E-Mails zu autorisieren, die als legitime Domains und Subdomains getarnt waren.

Zurückgebliebene DNS-Einträge ermöglichen es Angreifern nicht nur, Ihre legitimen Domains zu imitieren, sondern können Sie auch anfällig für Domain-Übernahmen machen, die für eine Reihe von Angriffen genutzt werden können, darunter Diebstahl von Zugangsdaten, Phishing, Verunstaltung und Malware-Verbreitung – alles unter dem Deckmantel der vertrauenswürdigen Domains Ihres Unternehmens.

In diesem Blogbeitrag besprechen wir eine besondere Art von Bedrohung, die durch nicht verwaltete DNS-Einträge entsteht: Cookie-Harvesting.

Example.com ist eine Plattform, die aus mehreren Produkten und Funktionen unter Subdomains besteht, die alle dasselbe Login-Cookie teilen – eine gängige, aber unsichere Praxis, die unbeabsichtigt durch Browser-Einstellungen ermöglicht wird.

Ein Angreifer bemerkt, dass eine Subdomain nicht mehr verwendet wird, aber noch einen verwaisten CNAME-Eintrag besitzt, der auf einen zuvor genutzten Hosting-Dienst verweist. Da dieser Dienst noch keine Eigentumsverifizierung implementiert hat – ein häufiges Versäumnis, selbst bei den größten Anbietern – übernimmt der Angreifer diesen und erlangt so effektiv die Kontrolle über die Subdomain.

Der Angreifer startet daraufhin eine Kampagne in sozialen Medien, die sich an die Follower der Plattform richtet, und lockt sie auf die kompromittierte Subdomain, um ihre gespeicherten Cookies abzugreifen. Nutzer, die noch nicht eingeloggt sind, werden zum legitimen Login-Portal weitergeleitet. Mit diesen Cookies kann der Angreifer nun Nutzer auf der Plattform imitieren.

Unter den betroffenen Nutzern befindet sich ein Administrator der Plattform, wodurch der Angreifer vollen Zugriff auf alle Daten erhält. Der Angreifer kann die Daten dann an illegitime und böswillige Akteure verkaufen, das Unternehmen erpressen, um den Vorfall zu verschleiern, oder einzelne Nutzer mit belastendem Material aus den exfiltrierten Daten unter Druck setzen.

Auch wenn dies wie ein extremes Beispiel erscheinen mag, handelt es sich um eine reale Bedrohung, die durch mangelhafte Verwaltung des Domain-Bestands und der DNS-Einträge entsteht – eine oft herausfordernde, aber entscheidende Aufgabe im Bereich der Cybersicherheit.

Bevor Antony als Customer Engineer zu Red Sift kam, war er als Information Security Manager bei einem Unternehmen tätig, das im Laufe jahrelanger Fusionen und Übernahmen Hunderte von Domains angesammelt hatte. Jede Übernahme brachte ihre eigene, einzigartige Sammlung von Unternehmens-, Produkt-, Marken- und Marketing-Domains mit sich. Wie bei den meisten Unternehmen waren alle Domains auf automatische Verlängerung eingestellt, doch ohne einen regelmäßigen Prozess zur Überprüfung, welche Domains noch benötigt wurden, wuchs das Inventar ungehindert weiter.

Ein Projekt, das Antony leitete, bestand darin, sämtliche Domains und DNS-Einträge der Organisation zu inventarisieren, alle unter diesen Domains noch genutzten Assets zu identifizieren und Einträge sowie Domains zu bereinigen, die nicht mehr benötigt wurden.

Dieser Prozess nahm über sechs Monate hinweg unzählige Arbeitsstunden in Anspruch und umfasste:

• Das Auffinden aller Domains bei mehreren Registraren,
• Das Zusammentragen aller DNS-Zonen,
• Die Überprüfung jedes einzelnen Eintrags,
• Die Kategorisierung und Priorisierung der Einträge,
• Die Identifizierung zuständiger Ansprechpartner, da im Laufe der Jahre viele der ursprünglichen Antragsteller das Unternehmen bereits verlassen hatten, und
• Die Abstimmung mit Beteiligten, um zu bestätigen, welche Assets sicher bereinigt oder migriert werden konnten.

Um die bevorstehende Herausforderung zu vereinfachen, führte Antony Red Sift OnDMARC im Unternehmen ein. OnDMARC vereinfacht die Verwaltung von DMARC-, SPF- und DKIM-Einträgen und gewährleistet die Zustellbarkeit von E-Mails im gesamten Unternehmen. Mit OnDMARC konnte Antony problemlos identifizieren, welche Domains noch aktiv zum Versenden von E-Mails genutzt wurden, die zum Versand dieser E-Mails verwendeten Systeme erkennen und veraltete Quellen bereinigen, die nicht mehr benötigt wurden – wodurch er für die meisten Domains der Organisation rasch ‚p=reject‘ erreichen konnte.

Seitdem hat Red Sift OnDMARC DNS Guardian eingeführt, das Certificate-Transparency-Protokolle (CT-Logs) und andere proprietäre Quellen nutzt, um automatisch und kontinuierlich verwaiste DNS-Einträge und gekaperte Subdomains zu identifizieren.

Mit DNS Guardian wäre Antony sofort auf die risikoreichsten Probleme aufmerksam gemacht worden, sodass er sich schnellstmöglich auf die Behebung kritischer Schwachstellen hätte konzentrieren können, wodurch das Risiko oder die Auswirkungen potenzieller Angriffe minimiert worden wären.

Melden Sie sich noch heute an, um mehr über Red Sift OnDMARC zu erfahren – jetzt mit DNS Guardian!