Come OnDMARC supporta un'igiene DNS completa

I domini registrabili e il DNS svolgono un ruolo fondamentale nella costruzione dell'identità e della fiducia online, ma la loro importanza viene spesso sottovalutata. Durante la configurazione di nuovi servizi, gli aggiornamenti dei record vengono spesso trascurati, accumulando voci obsolete. Con team di infrastruttura sempre più sovraccarichi, i servizi possono essere disattivati in modo errato senza una corretta pulizia, lasciando dietro di sé una proliferazione di record. Queste voci orfane continuano a delegare fiducia per conto della tua azienda, spesso necessariamente e talvolta con un rischio maggiore per la sicurezza

Questo porta a una deriva della configurazione DNS—che si riferisce ai cambiamenti graduali o alle incongruenze nelle impostazioni DNS che si verificano nel tempo a causa di aggiornamenti manuali, manutenzione trascurata o configurazioni errate—generando rischi significativi per la cybersecurity e per il business in generale. All'inizio di quest'anno, abbiamo pubblicato la nostra guida alla campagna SubdoMailing, in cui attori malevoli abusavano dei record SPF per autorizzare l'invio di milioni di email camuffate da domini e sottodomini legittimi.

Oltre a consentire agli attaccanti di impersonare i tuoi domini legittimi, i record DNS rimasti possono renderti vulnerabile a takeover di dominio che possono essere sfruttati per una serie di attacchi, tra cui furto di credenziali, phishing, defacement e distribuzione di malware—tutto sotto le mentite spoglie dei domini affidabili della tua azienda.

In questo blog, discuteremo un particolare tipo di minaccia derivante da record DNS non gestiti: il furto di cookie.

Example.com è una piattaforma composta da diversi prodotti e funzionalità sotto sottodomini che condividono tutti lo stesso cookie di accesso—una pratica comune ma insicura, involontariamente facilitata dalle impostazioni del browser.

Un attaccante nota che un sottodominio non è più in uso ma ha ancora un record CNAME dimenticato che punta a un servizio ospitato precedentemente utilizzato. Poiché questo servizio non ha ancora implementato la verifica della proprietà—una svista comune anche tra i provider più grandi—l'attaccante lo rivendica, prendendo di fatto il controllo del sottodominio.

L'attaccante avvia quindi una campagna sui social media rivolta ai follower della piattaforma, attirandoli verso il sottodominio compromesso per raccogliere i loro cookie di accesso. Gli utenti che non sono già connessi vengono indirizzati al portale di accesso legittimo. Con quei cookie, l'attaccante può ora impersonare gli utenti sulla piattaforma.

Tra gli utenti colpiti c'è un amministratore della piattaforma, il che garantisce all'attaccante accesso completo a tutti i dati. L'attaccante può quindi vendere i dati ad attori illegittimi e malintenzionati, estorcere denaro all'azienda per mantenere nascosta la violazione, o ricattare singoli utenti con materiale compromettente trovato nei dati esfiltrati.

Sebbene questo possa sembrare un esempio estremo, è una minaccia reale che si verifica a causa di una gestione scadente del patrimonio di domini e dei record DNS, un compito di cybersecurity spesso impegnativo ma fondamentale.

Prima di entrare in Red Sift come Customer Engineer, Antony ha lavorato come Information Security Manager in un'azienda che aveva accumulato centinaia di domini nel corso di anni di fusioni e acquisizioni. Ogni acquisizione portava con sé la propria collezione unica di domini aziendali, di prodotto, di marchio e marketing. Come la maggior parte delle aziende, tutti i domini erano impostati per il rinnovo automatico, ma senza un processo regolare per verificare quali domini fossero ancora necessari, l'inventario continuava a espandersi senza controllo.

Uno dei progetti guidati da Antony consisteva nell'inventariare tutti i domini e i record DNS dell'organizzazione, identificare tutte le risorse ancora in uso sotto quei domini, e pulire i record e i domini che non erano più necessari.

Questo processo ha richiesto innumerevoli ore di lavoro nell'arco di sei mesi e ha comportato:

• Individuare tutti i domini presso diversi registrar,
• Raccogliere tutte le zone DNS,
• Esaminare ogni record,
• Categorizzare e stabilire le priorità dei record,
• Identificare i referenti responsabili, poiché nel corso degli anni molti dei richiedenti originali avevano lasciato l'azienda, e
• Coordinarsi con gli stakeholder per confermare quali risorse potessero essere pulite o migrate in sicurezza.

Per semplificare la sfida che lo attendeva, Antony ha introdotto Red Sift OnDMARC in azienda. OnDMARC semplifica la gestione dei record DMARC, SPF e DKIM, garantendo la deliverability delle email in tutta l'organizzazione. Con OnDMARC, Antony è stato in grado di identificare facilmente quali domini erano ancora attivamente utilizzati per l'invio di email, individuare i sistemi utilizzati per inviare tali email, e pulire le fonti obsolete che non erano più necessarie, raggiungendo rapidamente 'p=reject' per la maggior parte dei domini dell'organizzazione.

Da allora, Red Sift OnDMARC ha introdotto DNS Guardian, che utilizza i log di Certificate Transparency (log CT) e altre fonti proprietarie per identificare automaticamente e continuamente record DNS dimenticati e sottodomini dirottati.

Con DNS Guardian, Antony sarebbe stato informato immediatamente dei problemi a più alto rischio, permettendogli di concentrarsi sulla risoluzione delle vulnerabilità critiche il prima possibile, riducendo al minimo il rischio o l'impatto di potenziali exploit.

Iscriviti oggi per saperne di più su Red Sift OnDMARC, ora con DNS Guardian!