Avvisi di appropriazione del DNS: individuazione e prevenzione degli attacchi di appropriazione dei sottodomini

La vostra organizzazione ha svolto un lavoro impegnativo. Avete implementato SPF, DKIM e DMARC su tutti i domini di invio e siete passati al livello "p=reject". Sulla carta, l'autenticazione delle vostre e-mail è completa.

Esiste tuttavia un modo in cui un malintenzionato può inviare e-mail a nome del tuo marchio che superano i controlli SPF e l'allineamento DMARC e arrivano senza problemi nella posta in arrivo, senza essere rilevate in nessuna fase. La tecnica si chiama “subdomain takeover” e l'applicazione del DMARC non è in grado di impedirla.

Oggi presentiamo un nuovo tipo di avviso in PowerAlerts, creato appositamente per individuare questo tipo di minaccia: gli avvisi di dirottamento DNS.

Il problema: un attacco che il protocollo DMARC non è mai stato progettato per bloccare

Il protocollo DMARC in modalità "enforcement" è ampiamente riconosciuto come lo standard di riferimento nell'autenticazione delle e-mail, e a ragione. Verifica che un'e-mail che dichiara di provenire da un determinato dominio sia effettivamente autorizzata e indica ai server di destinazione di rifiutare qualsiasi messaggio che non lo sia. Tuttavia, questa protezione si basa interamente sui record DNS, che possono facilmente essere trascurati quando l'infrastruttura subisce modifiche.

Si consideri uno scenario che si verifica più spesso di quanto la maggior parte dei team creda. La vostra organizzazione raggiunge lo stato "p=reject" su tutti i domini di invio. Alcuni mesi dopo, uno sviluppatore disattiva un ambiente di staging ma non rimuove il relativo record CNAME, che continua a puntare a una risorsa cloud ormai inesistente. Un malintenzionato individua il record DNS "dangling", si appropria della stessa risorsa cloud, configura un server di posta e inizia a inviare e-mail di phishing dall'indirizzo @staging.yourcompany.com.

I messaggi di phishing superano i controlli SPF e DMARC e raggiungono le caselle di posta, sfruttando il nome del vostro marchio. Non si tratta di una preoccupazione puramente teorica. La campagna SubdoMailing del febbraio 2024 ha dimostrato l’efficacia di questa tecnica su larga scala, inviando milioni di e-mail fraudolente da sottodomini compromessi appartenenti a marchi che applicavano pienamente il protocollo DMARC. L’applicazione del protocollo da sola lascia questa superficie di attacco completamente non monitorata.

La soluzione: presentazione degli avvisi di dirottamento DNS

"Avvisi di appropriazione del DNS" è un nuovo tipo di avviso all'interno della nostra funzionalità PowerAlerts che monitora costantemente l'infrastruttura del tuo dominio alla ricerca di configurazioni DNS errate che potrebbero consentire l'appropriazione di sottodomini. Quando viene rilevato un rischio, ricevi una notifica immediata con una spiegazione in linguaggio semplice del problema e della relativa soluzione, consentendoti di risolverlo prima che un malintenzionato lo scopra.

Questa funzionalità è integrata direttamente nel modulo PowerAlerts che già utilizzi. Si affianca agli avvisi DNS, Threshold e Forensic già presenti e segue lo stesso flusso di configurazione, quindi non è necessario imparare a usare un nuovo strumento né monitorare una dashboard separata.

Come configurare gli avvisi di dirottamento DNS

La configurazione richiede tre semplici passaggi; al resto ci pensa la piattaforma:

Passaggio 1: Selezionare domini/gruppi di domini

Scegli i domini o i gruppi di domini che desideri monitorare per individuare eventuali rischi di appropriazione indebita. Selezionali singolarmente oppure applica un gruppo per includere più domini contemporaneamente.

Fase 2: Scegli il tipo di avviso

Seleziona “DNS Takeover” dall’elenco dei tipi di avviso, che si trova accanto agli avvisi esistenti relativi a DNS, soglie e analisi forense.

Fase 3: Impostazione delle condizioni di avviso

Seleziona i tipi di controllo che desideri eseguire, da NS e MX "dangling" a CNAME, SPF e A/AAAA, oppure attiva tutti e cinque per una copertura completa.

Passaggio 4: Selezionare i gruppi di notifiche

Indica il team o i contatti che devono essere avvisati quando viene rilevato un rischio, in modo che le persone giuste possano intervenire non appena scatta un allarme.

Cinque controlli che coprono l'intera superficie di attacco

Molte piattaforme che affrontano questo rischio coprono solo i casi più comuni. Gli avvisi di DNS Takeover di PowerDMARC offrono cinque tipi distinti di controlli, di cui due non monitorati da nessun’altra piattaforma DMARC.

1. NS sospeso (critico)

Record dei server dei nomi che puntano a un server che non esiste più. Se un malintenzionato registra il server dei nomi scaduto, ottiene il pieno controllo DNS del sottodominio. Questo è lo scenario di rischio più elevato.

2. Conquista del sottodominio SPF (critica)

I record SPF contenenti le direttive `include:` o `redirect=` che puntano a domini scaduti. Un malintenzionato può registrare il dominio, creare il relativo record SPF e inviare e-mail autenticate a nome dell'utente. Questo controllo viene effettuato su tutti e cinque i meccanismi: `include`, `redirect`, `a`, `mx` ed `exists`.

3. MX sospeso (critico)

Record MX che puntano a un nome host di un server di posta che non è più risolvibile. Un malintenzionato può configurare un server di posta con quel nome host e intercettare o spacciarsi per il mittente delle e-mail in arrivo.

4. CNAME non risolto (Alto)

Record CNAME che puntano a un nome host che non è più risolvibile, una conseguenza frequente della cancellazione di risorse cloud o della disdetta di servizi SaaS. Un malintenzionato può creare una risorsa allo stesso indirizzo e appropriarsi del sottodominio.

5. A/AAAA sospeso (Avviso)

Record A o AAAA che puntano a indirizzi IP che potrebbero non essere più sotto il tuo controllo e che potrebbero essere rivendicati da terzi.

I vantaggi di PowerDMARC

Gli ultimi due controlli, “Dangling MX” e “Dangling A/AAAA”, garantiscono una copertura che non è disponibile altrove nel mercato DMARC.

Perché è importante

L'applicazione del protocollo DMARC costituisce una base fondamentale, che garantisce che i mittenti legittimi siano allineati e autorizzati. Gli avvisi di appropriazione indebita del DNS estendono tale protezione all'infrastruttura DNS circostante, offrendo una difesa più completa:

Individuare e correggere le configurazioni errate prima che un malintenzionato possa sfruttarle, anziché intervenire solo dopo l'invio di un'e-mail fraudolenta.
Cinque tipi di controlli monitorano l'intera gamma di record "dangling", compresi gli scenari "Dangling MX" e "Dangling A/AAAA" non trattati altrove nel mercato DMARC.
Al momento del salvataggio viene eseguita immediatamente una scansione iniziale, mentre il monitoraggio continuo tiene sotto controllo le modifiche apportate ai record DNS nel corso del tempo.
Ogni avviso include il livello di gravità, il sottodominio interessato e un messaggio in linguaggio semplice che spiega esattamente cosa occorre correggere.
La funzionalità è integrata nel modulo PowerAlerts che già utilizzi, senza bisogno di imparare a usare nuovi strumenti né di monitorare una dashboard separata.

Disponibilità

Gli avvisi di dirottamento DNS sono disponibili nei piani PowerDMARC Enterprise. Per iniziare, apri il modulo PowerAlerts, crea un nuovo avviso di dirottamento DNS ed esegui la tua prima scansione, oppure contatta il nostro team per ulteriori informazioni.

Informazioni su
Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

Presentazione degli avvisi di dirottamento DNS: colmare le lacune che il DMARC non riesce a coprire