Что такое злоупотребление доменами?

Разгадка злоупотреблений доменами: Исследование незаконной деятельности и неправомерного использования интернет-доменов и адресов электронной почты в целях повышения безопасности Интернета.

Время чтения: 8 мин
Что такое злоупотребление доменами?
Оглавление-

Злоупотребление доменами - досадный недостаток доменной системы. Злоупотребление происходит, когда доменное имя регистрируется в злонамеренных целях или для осуществления какой-либо другой неэтичной деятельности.

Если это не будет своевременно обнаружено и наказано, то это может привести к большому ущербу для репутации законного владельца доменного имени.

В этом блоге мы подробнее поговорим о злоупотреблениях доменами и о том, как предотвратить их появление.

Обзор злоупотреблений доменами

Злоупотребление доменами является распространенной формой киберпреступности, причем количество атак растет.

Злоупотребление доменом происходит, когда доменное имя используется с незаконной целью или с целью, не соответствующей назначению доменного имени. При этом владелец может не иметь намерения или не знать о таком использовании.

ICANN разработала Система отчетов об активности злоупотреблений в доменах (DAAR) для выявления и отслеживания различных видов злоупотреблений в доменах. В своей системе они выделяют несколько основных типов угроз безопасности:

  • SEO-спам - Использование домена для манипулирования рейтингом поисковых систем путем создания низкокачественных страниц, содержащих обратные ссылки на другие сайты.
  • Схемы размещения ссылок - Создание ссылок между несвязанными сайтами с единственной целью - увеличить трафик на эти сайты.
  • Распространение вредоносного ПО - Размещение вредоносных программ на сайте с целью заражения посетителей.
  • Спам по электронной почте - Рассылка спам-сообщений с доменов, которые кажутся легитимными.

Наиболее распространенные виды злоупотреблений доменами

Наиболее распространенными формами злоупотребления доменами являются:

Типосквоттинг

Типосквоттинг Это разновидность киберсквоттинга, которая заключается в регистрации доменных имен, похожих на имена известных организаций, в надежде на то, что пользователи ошибочно наберут URL-адрес и окажутся на сайте компании-тайпсквоттера.

Затем опечатка может попытаться продать рекламное место на сайте или использовать его для очередного интернет-мошенничества.

Фишинг

Фишинговые атаки заключаются в отправке электронных писем или текстов, которые выглядят как письма от доверенного источника, но содержат вредоносные ссылки или вложения.

Они часто используются вместе с typosquatting для обмана пользователей, заставляя их переходить по ссылкам в электронных письмах или на профилях социальных сетей.

Киберсквоттинг

Под киберсквоттингом понимается регистрация названий товарных знаков в качестве доменных имен с целью извлечения прибыли путем их последующей перепродажи или использования в качестве платформы для рассылки спама и других злоупотреблений.

Пагубное влияние злоупотребления доменами на доверие к бренду и его репутацию

Злоупотребление доменами, в том числе опечатки и самозванство, создает серьезные проблемы для безопасности организаций любого масштаба.

Злоумышленники используют похожие домены для атак на клиентов и сотрудников, что приводит к краже учетных данных, подрыву репутации и потенциальным финансовым потерям.

Сложность выявления и борьбы с тайпсквоттингом заключается в отсутствии контроля за регистрацией новых доменов, что приводит к реактивному удалению вредоносного контента, зачастую уже после нанесения значительного ущерба.

Unraveling Domain Abuse: Передовые методы обнаружения и идентификации

Обнаружение и идентификация злоупотреблений в доменах - сложный процесс, включающий в себя множество компонентов.

Экспертиза и анализ DNS

DNS Криминалистическая экспертиза исследует активность DNS на предмет наличия признаков несанкционированной регистрации, передачи и других злоупотреблений доменными именами.

Интеграция информации об угрозах

Интеграция с аналитикой угроз позволяет организациям выявлять новые домены, используемые в злонамеренных целях, за счет использования сторонних источников данных с историческими сведениями об угрозах.

Это обеспечивает дополнительный уровень защиты от векторов атак, которые ранее не были выявлены в вашей среде.

Поведенческая аналитика активности доменов

Поведенческая аналитика обеспечивает видимость деятельности доменов в вашей среде путем мониторинга следующих моделей поведения:

Активность в диапазонах IP-адресов, принадлежащих домену (например, IP-адреса хостов C2)

Domain name server (DNS) requests to resolve backdoors on subdomains of primary domains (e.g., www.<malicious_domain>).

Мониторинг и анализ WHOIS-данных

Распространенным способом обнаружения злоупотреблений доменами является мониторинг данных WHOIS для доменов, зарегистрированных на ваш или другие принадлежащие вам домены.

Важно знать, что многие регистраторы доменов предоставляют премиум-услуги, требующие ежемесячной оплаты (например, GoDaddy), или взимают плату каждый раз, когда хотят отслеживать конкретную информацию о размещенных у них доменах (например, Namecheap).

Скоринг репутации доменов на основе машинного обучения

Алгоритмы машинного обучения, такие как машины опорных векторов (SVM) или искусственные нейронные сети (ANN), используются для выявления закономерностей в строках доменных имен. Эти шаблоны позволяют обнаружить домены, которые могут использоваться в злонамеренных целях.

Выявить закономерности можно путем анализа WHOIS-информации, связанной с доменным именем (информация о регистранте, регистраторе и т.д.). Этот вид анализа известен как фингерпринтинг.

Доменная фингерпринтинг и распознавание образов

При фингерпринтинге для заданного доменного имени определяется набор атрибутов (например, количество букв, дефисов и т.д.).

Затем, когда встречается новый домен, он сравнивается с этим отпечатком, чтобы определить, соответствует ли он одному из известных плохих доменов.

При распознавании образов набор известных плохих образцов (например, "xyz" как часть домена третьего уровня) используется для определения соответствия неизвестного домена одному из них.

Защита от злоупотреблений доменами: Эффективные стратегии защиты

Чтобы защитить своих клиентов, сотрудников и партнеров от этой угрозы, необходимо реализовать ряд лучших практик в рамках стратегии управления доменами.

Тройная защита от злоупотреблений в доменах: Внедрение DMARC, SPF и DKIM

  • Отчеты и соответствие аутентификации сообщений на основе домена (DMARC) это комплексная система политик, использующая SPF и DKIM для защиты от злоупотреблений в доменах. С помощью DMARC владельцы доменов могут указать действия, которые необходимо предпринять в отношении писем, не прошедших проверки SPF и DKIM.

Владельцы доменов могут отслеживать, помещать в карантин или отклонять такие сообщения. Кроме того, DMARC позволяет владельцам доменов получать от провайдеров электронной почты отчеты о результатах проверки подлинности писем, отправленных с их домена. 

Эти отчеты позволяют получить ценную информацию о несанкционированном использовании электронной почты и потенциальных попытках злоупотребления доменом. Используя DMARC, владельцы доменов могут активно предотвращать несанкционированное использование своего домена для таких вредоносных действий, как фишинг и подмена почты.

  • SPF (Sender Policy Framework) - это система проверки электронной почты, используемая администраторами для предотвращения несанкционированного использования своих доменов. SPF является мощным средством защиты от злоупотреблений в домене, поскольку позволяет предотвратить подмену электронной почты. Указывая авторизованные почтовые серверы для домена, SPF гарантирует, что только легитимные серверы могут отправлять электронные сообщения от имени этого домена.

Если сервер-отправитель не авторизован, письмо помечается как подозрительное или вовсе отклоняется, что пресекает попытки злоупотребления доменом путем подделки электронной почты.

  • DKIM (DomainKeys Identified Mail) - это криптографический метод проверки источника электронной почты, отправляемой через Интернет. DKIM обеспечивает дополнительный уровень защиты от злоупотреблений доменами, гарантируя целостность электронной почты. Он подтверждает, что содержимое письма не было изменено при передаче и что письмо действительно исходит от заявленного домена. Это позволяет предотвратить злоупотребления доменами, связанные с фальсификацией электронной почты, и повышает доверие к ней.

SPF, DKIM и DMARC представляют собой надежное трио механизмов аутентификации электронной почты, которые в совокупности борются со злоупотреблениями в доменах. Они не позволяют неавторизованным лицам отправлять электронные сообщения от имени домена, обеспечивают целостность электронной почты и предоставляют ценную информацию о потенциальных попытках злоупотреблений.

DNSSEC (Domain Name System Security Extensions)

DNSSEC - это набор расширений для системы доменных имен (DNS), позволяющих аутентифицировать данные DNS с помощью криптографии с открытым ключом вместо доверия, основанного только на IP-адресе.

Он был создан для предотвращения DNS-спуфинга и других атак на DNS, таких как отравление кэша, которые могут быть использованы для перенаправления пользователей на вредоносные сайты или перехвата злоумышленниками конфиденциальной информации, например паролей или номеров кредитных карт.

Читайте также: Что такое аутентификация DNS?

TFA/MFA (двухфакторная аутентификация/многофакторная аутентификация) для управления доменами

TFA/MFA - это функция безопасности, требующая использования двух или более различных методов проверки для получения доступа к учетной записи или сервису.

Это позволяет предотвратить несанкционированный доступ, требуя от пользователей подтверждения их личности по нескольким каналам перед предоставлением доступа.

Это можно сделать с помощью физических аппаратных токенов или SMS-кодов, которые используются с паролями или PIN-кодами (Personal Identification Numbers).

Связанное чтение: Многофакторная аутентификация по электронной почте

Сертификаты TLS/SSL и применение HTTPS

A сертификат TLS/SSL используется для защиты конфиденциальных данных, передаваемых через Интернет, путем их шифрования, чтобы их могли прочитать только те, кто имеет соответствующие ключи.

Она обеспечивает конфиденциальность и безопасность данных, передаваемых между веб-сервером и браузером. В то же время она передается через Интернет, что предотвращает доступ третьих лиц к этой информации во время передачи.

Читайте также: Что такое шифрование TLS?

Смягчение последствий DDoS и фильтрация трафика

A Распределенная атака типа "отказ в обслуживании" (DDoS) происходит, когда несколько компьютеров переполняют веб-сайт таким объемом трафика, что он становится недоступным для обычных пользователей.

Цель этого типа атак - вывести из строя веб-сайты, перегрузив их трафиком со взломанных компьютеров жертв, которых обманом заставили участвовать в атаке.

Службы защиты от DDoS-атак могут помочь предотвратить эту атаку, отфильтровывая вредоносный трафик до того, как он достигнет вашего сайта или серверов приложений.

Читайте также: Понимание DoS- и DDoS-атак

Использование DRS с интеграцией TI

Когда речь идет о предотвращении или смягчении последствий злоупотребления доменами, существуют две основные стратегии: превентивные меры и меры реагирования.

Превентивные меры направлены на то, чтобы остановить злоумышленников до того, как они зарегистрируют домены или совершат другие вредоносные действия в Интернете; реактивные меры направлены на обнаружение злоумышленников после того, как они уже совершили мошенничество или злоупотребление.

Как сообщить о злоупотреблении доменом?

Сообщение о злоупотреблениях в доменах - важный шаг, помогающий поддерживать безопасную и надежную среду в Интернете. Злоупотребление доменами может принимать различные формы, такие как спам, фишинг, распространение вредоносных программ, нарушение авторских прав и другие виды вредоносной деятельности. Если вы обнаружили домен, который ведет себя неправомерно, выполните следующие действия, чтобы сообщить о нем:

  1. Собрать информацию: Прежде чем подавать заявление, соберите как можно больше информации о домене, на котором были совершены нарушения. Это может быть доменное имя, конкретные URL-адреса, скриншоты, заголовки электронных писем и любые другие доказательства, которые могут подтвердить ваши претензии.
  2. Выявление злоупотребляющего действия: Определите тип злоупотребления доменом (спам, фишинг, вредоносное ПО и т.д.), поскольку разные типы злоупотреблений могут требовать сообщения в разные организации.
  3. Связаться с регистратором домена: Начните с обращения к регистратору домена. Информацию о регистраторе можно найти с помощью средств поиска WHOIS, например, ICANN's WHOIS Lookup (https://whois.icann.org/). В результатах поиска найдите "Registrar Abuse Contact Email" или "Registrar Abuse Contact Phone". Свяжитесь с ними и предоставьте доказательства злоупотреблений, а также информацию о домене, в отношении которого были допущены нарушения.
  4. Связаться с хостинг-провайдером: Если неправомерные действия связаны с размещением контента, обратитесь к хостинг-провайдеру, ответственному за размещение сайта или контента. Аналогично поиску регистратора, используйте информацию WHOIS для определения хостинг-провайдера и найдите его контактные данные для связи со злоумышленниками. Предоставьте им доказательства злоупотреблений.
  5. Отчет в соответствующие органы: В зависимости от характера злоупотребления может потребоваться сообщить о нем в соответствующие органы. Например, о фишинговых атаках следует сообщать в такие организации, как Anti-Phishing Working Group (APWG) или Федеральная торговая комиссия (FTC) в США. В случае нарушения авторских прав можно обратиться к хостинг-провайдеру сайта, а при значительном нарушении - подать уведомление о нарушении DMCA.
  6. Использование форм сообщений о злоупотреблениях в режиме онлайн: Многие организации и компании предоставляют онлайновые формы для сообщения о злоупотреблениях. Например, Google имеет специальную форму для сообщений о фишинговых сайтах и других видах злоупотреблений.
  7. Информ Интернет-провайдеры (ISP): Если злоумышленный домен рассылает спам или ведет другую неправомерную деятельность через провайдера Интернета, свяжитесь с ним напрямую и предоставьте необходимые доказательства.
  8. Отчет в CERT (Computer Emergency Response Team): CERT - это группы, которые занимаются инцидентами кибербезопасности в определенных регионах или отраслях. Если в вашей стране или организации есть CERT, вы можете сообщить о злоупотреблении доменом и туда.

Заключительные слова

Понимание проблемы злоупотребления доменами имеет решающее значение для сохранения целостности цифрового ландшафта. Интернет стал неотъемлемой частью нашей повседневной жизни, и с ростом его популярности злоупотребления доменами превратились в серьезную угрозу. От фишинговых атак и распространения вредоносных программ до создания контрафактных сайтов и нарушения прав интеллектуальной собственности - злоупотребление доменами принимает различные формы, и его последствия могут быть катастрофическими. 

Как пользователи, владельцы сайтов и организации, мы должны сохранять бдительность и активно бороться с этой угрозой. Применение надежных мер безопасности, регулярный мониторинг активности доменов и своевременное информирование о подозрительном поведении - вот основные шаги в борьбе с доменным злоупотреблением. Кроме того, повышение осведомленности частных лиц и компаний о рисках, связанных со злоупотреблением доменами, может способствовать созданию более безопасной среды в Интернете для всех. 

Сотрудничая с регистраторами доменов, правоохранительными органами и органами управления Интернетом, мы можем совместно стремиться к тому, чтобы цифровое пространство стало местом доверия, инноваций и возможностей для всех. Давайте вместе защитим неприкосновенность доменных имен и сохраним открытый, доступный и безопасный Интернет, который дорог нам сегодня и будущим поколениям.

 

Последние сообщения Ахона Рудра (см. все)
Риски кибербезопасности генеративного ИИРиски кибербезопасности генеративного ИИРуководство по доставке электронной почты Microsoft OLC