Не позволяйте субдоменам снижать вашу безопасность

Источник · Перевод автора

Если у вашего предприятия есть веб-сайт (а в 2021 году можно было бы надеяться на это!), У него также есть поддомены. Эти префиксы основного доменного имени вашей организации необходимы для наведения структурного порядка в контенте и услугах на вашем веб-сайте, что предотвращает мгновенное бегство посетителей в Интернете в ужасе, презрении или замешательстве.

У крупных предприятий могут быть тысячи поддоменов. У IBM, например, примерно 60 000 поддоменов, а у Walmart.com «всего» 2 132 поддомена.

Какую бы ценность поддомены ни приносили предприятиям – а они приносят много – они представляют больше целей для злоумышленников. Ведь только в прошлом году поддомены Chevron, 3M, Warner Brothers, Honeywell и многих других крупных организаций были захвачены хакерами, которые перенаправляли посетителей на сайты с порнографией, вредоносными программами, азартными играми в Интернете и другими видами деятельности сомнительного характера.

«Это постоянная проблема для сайтов, размещенных в Azure», – написал TechRadar, ссылаясь на март 2020 года, когда служба Vullnerability сообщила, что обнаружила более 670 уязвимых поддоменов Microsoft с помощью автоматического сканирования. По словам компании, виной всему была плохая практика службы доменных имен (DNS) Microsoft. (Забавный факт: у Microsoft поразительное 122 571 поддомен.)

Захват поддоменов, как писала Уязвимость, может быть разрешен через просроченные услуги хостинга или неправильную конфигурацию DNS. После того, как злоумышленники получат полные права в системе после захвата субдомена, они могут загружать файлы, создавать базы данных, отслеживать трафик данных и клонировать основной веб-сайт. Хуже того, «невозможно обнаружить, что субдомен» был взломан, что делает систему предприятия уязвимой для различных типов атак.

В новом документе, который будет представлен на 30-м симпозиуме по безопасности USENIX, исследователи из Венского технологического университета исследуют атаки «связанных доменов» и предлагают ИТ-специалистам несколько советов по защите от атак субдоменов.

В документе говорится, что помимо неправильной конфигурации DNS, поддомены могут быть использованы, если они назначены ненадежным пользователям. «Висячие записи DNS», то есть записи, указывающие на истекшие ресурсы, могут быть уязвимы для захвата неавторизованными сторонами. Прекращенные сторонние сервисы также могут обеспечить вход в систему.

По словам исследователей, последствия могут быть еще более ужасными, включая атаки с перехватом сеанса, атаки с фиксацией сеанса, обход всей веб-безопасности и содействие фишинговым атакам. Честно говоря, они перечисляют так много способов использования субдоменов для атак, что вы просто впадете в депрессию и, возможно, подумаете о смене карьеры. Так что давайте сосредоточимся на полезных советах, которые они дают на своем веб-сайте https://canitakeyoursubdomain.name/.

Чтобы определить, какие из ваших поддоменов уязвимы для захвата, исследователи предлагают «просмотреть все записи DNS типа CNAME, указывающие на внешние домены, и все записи A / AAAA, указывающие на IP-адреса, которые напрямую не контролируются вашей организацией, например, сервисов и поставщиков облачных услуг». Если вы определите, что это неработающие ссылки, «вам следует удалить соответствующие записи DNS».

Исследователи говорят, что если вы хотите защитить свои веб-приложения от взлома, веб-разработчики должны «писать политики безопасности в соответствии с принципом наименьших привилегий, то есть максимально ограничивать поверхность атаки».

Согласитесь, «максимально ограничивайте поверхность атаки» – хороший совет!

Разработчикам также настоятельно рекомендуется «рассмотреть возможность использования префикса __Host- cookie, если файлы cookie, установленные вашим веб-приложением, не нуждаются в совместном использовании с другими связанными доменами».

Несмотря на этот совет, исследователи обнаружили, что через шесть месяцев после того, как они сообщили о потенциальных уязвимостях владельцам протестированных веб-сайтов, «85% поддоменов, которые мы тестировали, все еще подвержены уязвимостям, связанным с захватом поддоменов». Люди! Сделайте лучше.

Итог: поддомены легко потерять, особенно если у вас крупная компания. Но игнорируете их вы на свой страх и риск.