זו נקודה שמנהלים רבים מפספסים: אבטחת דומיינים אינה רק משימה של מי שמנהל את האתר. היא חלק ממשטח התקיפה. דומיין ותיק מחזיק מוניטין, קישורים נכנסים, תעבורת גולשים, רשומות DNS, זיכרון אצל לקוחות וספקים, ולעיתים גם תעבורת דואר אלקטרוני שעדיין מחפשת יעד. מי שקונה אותו אחריכם לא קונה רק שם. הוא קונה אמון.
לאחרונה פרסמנו ב 010 מבזק על רכישת דומיינים שפג תוקפם לצורכי תקיפה. המאמר הזה הולך צעד אחד עמוק יותר. הוא לא שואל רק מה התוקפים עושים. הוא שואל למה ארגונים משאירים להם את הדלת הזו פתוחה, ואיך סוגרים אותה בצורה מסודרת.
מה באמת קורה כשדומיין פג
דומיין שפג תוקפו אינו מתנתק מיד מהעולם. ברוב המקרים הוא עובר תקופת חידוש, לאחר מכן שלב התאוששות, ורק בהמשך עשוי להשתחרר לרישום מחדש. מדיניות ICANN מתארת תהליכי חידוש והתאוששות עבור דומיינים גנריים, אבל הנקודה העסקית פשוטה יותר: יש חלון שבו עדיין אפשר להציל את הנכס, ויש רגע שבו הוא עלול להפוך לנכס של מישהו אחר. אפשר לקרוא על כך במדיניות הרשמית של ICANN לניהול רישום שפג.
הבעיה מתחילה כשאף אחד בארגון לא יודע מי הבעלים של הדומיין. הכספים חושבים שזה שיווק. השיווק חושב שזה ספק הדיגיטל. הספק חושב שהלקוח מחדש. ה IT לא רואה את זה כשרת. אבטחת המידע לא מקבלת התרעה. ואז התשלום לא מתחדש, הודעות החידוש נשלחות לתיבת מייל של עובד שעזב, והדומיין עובר לשוק.
למה דומיין ישן מסוכן יותר מדומיין חדש
מערכות אבטחה אוהבות מוניטין. גם משתמשים אוהבים מוניטין. דומיין שנראה ותיק, מופיע בתוצאות חיפוש, מקושר מאתרים אחרים ולא נראה כמו כתובת שנולדה הבוקר, מקבל לעיתים יחס סלחני יותר. זו בדיוק הסיבה שתוקפים רוצים אותו.
דמיינו דומיין של אירוע חברה משנת 2019. הוא הופיע במצגות, נשלח ללקוחות, קיבל קישורים מאתרי חדשות, אולי אפילו הופיע בחתימות מייל. האירוע נגמר. האתר ירד. אבל הקישורים נשארו. העובדים זוכרים את השם. מערכות סינון מסוימות עדיין רואות עבר לגיטימי. ברגע שמישהו אחר רוכש את הדומיין, הוא יכול להקים עליו דף התחברות מזויף, להפנות אותו לעמוד הורדה, או להשתמש בו כחוליה בשרשרת הפניות שמסתירה את היעד האמיתי.
הסיכון השקט: מיילים ורשומות DNS שנשארו מאחור
הרבה ארגונים חושבים על דומיין כאתר. זו טעות. דומיין הוא גם דואר, זהויות, תעבורה, אימות, תתי דומיינים, שירותי צד שלישי ורשומות שנשארות באזור ה DNS הרבה אחרי שמישהו זוכר למה הן נוצרו.
במחקר של watchTowr Labs על דומיינים שפגו ותעבורת מייל הוצג תרחיש מטריד: רשומות MX שהצביעו על דומיינים ישנים או נכסים שיצאו משימוש עלולות לאפשר למי שרוכש את הדומיין לקבל מיילים שלא נועדו אליו. זה לא תרחיש קולנועי. זו תוצאה של תחזוקת DNS חלשה.
אותו עיקרון חל גם על רשומות CNAME שנשארו פתוחות, על דומיינים של ספקי קמפיינים, על כתובות שירות ישנות, על תתי דומיינים של סביבת בדיקות ועל כתובות שהוגדרו פעם עבור כלי שיווקי, מערכת תמיכה או שירות ענן. כל אלה אינם נראים מסוכנים כשהם לבד. יחד הם מספרים לתוקף איפה הארגון שכח לנקות אחריו.
איפה זה פוגש את העסק
הנה תרחיש שאנחנו רואים יותר מדי פעמים במבנים שונים. חברה מפעילה קמפיין גיוס לקוחות בדומיין נפרד. הדומיין מנוהל אצל ספק חיצוני. אחרי שנתיים הקמפיין נסגר, הספק מתחלף, איש הקשר עוזב, והתשלום השנתי מפסיק. הדומיין משתחרר. תוקף רוכש אותו ומקים עליו עמוד שנראה כמו שירות ישן של החברה. לאחר מכן הוא שולח מיילים לעובדים וללקוחות עם קישור שנראה מוכר. חלקם לוחצים כי הם ראו את השם בעבר. חלקם מזינים פרטים. חלקם מורידים קובץ.
בגרסה אחרת, התוקף לא פונה ללקוחות אלא לספקים. הוא משתמש בדומיין הישן כדי להיראות כמו פרויקט לגיטימי, מבקש עדכון פרטי תשלום, או שולח קובץ שנראה קשור לעבודה משותפת. כאן הסיכון מתחבר ישירות למאמר שלנו על אבטחת ספקים וגישה חיצונית. שרשרת אמון שלא מנוהלת עד הסוף הופכת לשרשרת תקיפה.
וזה עוד לפני שדיברנו על דואר. אם דומיין ישן עדיין מזוהה על ידי לקוחות ככתובת לגיטימית, ואם אין שליטה טובה על SPF, DKIM ו DMARC, מתקפות התחזות הופכות קלות יותר לזיהוי מאוחר וקשות יותר לעצירה מוקדמת. הרחבנו על זה במאמר אין לכם DMARC, וגם ההנחיות של Google לשולחי דואר מדגישות אימות דומיין, SPF, DKIM ו DMARC כחלק מהיכולת למנוע התחזות ולשפר מסירה.
הטעות הגדולה: דומיינים מנוהלים כמו חשבוניות, לא כמו נכסי סייבר
ברוב הארגונים יש רשימת שרתים. יש רשימת משתמשים. יש רשימת מערכות ענן. אבל כששואלים על רשימת דומיינים מלאה, התשובה נהיית מעורפלת. יש את הדומיין הראשי, אולי עוד שניים מוכרים, וכל השאר נמצא אצל ספקים, אצל רכש, אצל שיווק, אצל חברה שנרכשה או בתוך תיבת מייל ישנה.
זו לא בעיית סדר. זו בעיית סיכון. נכס דיגיטלי שאין לו בעלים, תאריך חידוש, מטרה עסקית ומדיניות סגירה הוא נכס שמחכה להפוך לאירוע. לכן דומיין צריך לקבל יחס דומה לחשבון אדמין או למפתח API. לא בגלל שהוא תמיד מסוכן, אלא בגלל שכאשר הוא נופל לידיים הלא נכונות, הוא מגיע עם הרשאת אמון מוכנה.
איך בודקים אם אתם חשופים
הבדיקה הנכונה אינה מתחילה בשאלה כמה דומיינים יש לנו. היא מתחילה בשאלה אילו דומיינים בעולם עדיין גורמים לאנשים ולמערכות לחשוב עלינו. זה הבדל חשוב.
- הוציאו רשימה של כל הדומיינים שבבעלות הארגון, כולל מותגים ישנים, קמפיינים, חברות שנרכשו, מוצרים שנסגרו ודומיינים שנרשמו על ידי ספקים.
- בדקו מי הרשם, מי איש הקשר, לאיזו תיבת מייל מגיעות התרעות חידוש, ומה קורה אם אותו עובד עוזב.
- עברו על רשומות DNS פעילות, כולל MX, TXT, CNAME, A ו AAAA, וחפשו הפניות לשירותים שכבר אינם בשימוש.
- בדקו תתי דומיינים שאינם פעילים. תת דומיין ישן יכול להיות מסוכן גם כשהדומיין הראשי מנוהל היטב.
- מפו דומיינים של ספקים שנושאים את שם המותג שלכם או שימשו אתכם בקמפיינים.
- חפשו קישורים חיצוניים לדומיינים ישנים שלכם מאתרי חדשות, דפי נחיתה, פורומים, מסמכי PDF וחתימות מייל.
- ודאו שדומיינים שאינם אמורים לשלוח דואר מוגדרים במדיניות אימות דואר קשיחה ככל האפשר.
- הגדירו בעלים עסקי ובעלים טכנולוגי לכל דומיין, גם אם הוא רק נשמר למניעת שימוש לרעה.
מה עושים עם דומיין שכבר לא צריך
לא כל דומיין ישן חייב להישאר פעיל, אבל כמעט אף דומיין בעל עבר עסקי לא צריך להשתחרר בלי החלטה מודעת. יש שלוש אפשרויות סבירות.
האפשרות הראשונה היא לשמר את הדומיין ולנעול אותו. זה מתאים לדומיינים שמחזיקים מוניטין, קישורים, לקוחות שמכירים אותם, או סיכון התחזות ברור. העלות השנתית בדרך כלל נמוכה בהרבה מעלות אירוע.
האפשרות השנייה היא להפעיל הפניה מבוקרת לדומיין הראשי, עם ניטור. כך אפשר לראות אם עדיין מגיעה תנועה, מאיפה היא מגיעה, ומה צריך לעדכן. אם יש תנועה משמעותית, זה סימן שהדומיין עדיין חי מבחינת הציבור.
האפשרות השלישית היא סגירה מתועדת. לפני שמשחררים דומיין, צריך למחוק או לעדכן קישורים, להסיר רשומות DNS, לוודא שאין דואר שמצביע אליו, לעדכן ספקים ולקוחות רלוונטיים, ולתעד מי אישר את השחרור. זו לא פעולה טכנית קטנה. זו החלטת סיכון.
איזה ניטור צריך להפעיל
ארגון בוגר לא מסתפק ברשימה. הוא מפעיל ניטור. בדקו האם תחנות בארגון פונות לדומיינים שנרשמו מחדש לאחרונה. בדקו האם יש שאילתות DNS חריגות לדומיינים ותיקים שחזרו לפעילות פתאומית. בדקו האם יש דומיינים דומים למותג שלכם שנרשמו לאחרונה. בדקו האם הודעות דואר מגיעות מדומיינים שנראים קרובים מדי לשמות שלכם.
כאן נכנסת שכבת מודיעין סייבר לתמונה. לא כדי להיבהל מכל דומיין דומה, אלא כדי לדעת מה מתפתח סביב המותג, סביב הספקים וסביב נכסים ישנים. שכבת SIEM SOC מוסיפה את החלק התפעולי: לראות התנהגות חריגה בזמן, לחבר אירועי DNS, דואר, עמדות קצה וענן, ולהבין האם מדובר ברעש או בתחילת אירוע.
גם סינון דואר רלוונטי מאוד, כי דומיין ישן ומוכר הוא פיתיון מצוין לקישור זדוני. סינון נכון לא מסתפק בשאלה האם הכתובת נראית ותיקה. הוא בודק הקשר, יעד סופי, התנהגות קישור, קבצים מצורפים ודפוסי התחזות. ובמקומות שבהם מידע רגיש עלול לצאת בעקבות התחזות, מניעת דלף מידע הופכת לשכבה שמקטינה נזק גם אחרי לחיצה לא טובה.
צ׳קליסט קצר להחלטה מהירה
- האם הדומיין הופיע בעבר בפרסום, דיוור, אתר, מוצר, אירוע או מסמך רשמי.
- האם לקוחות או ספקים עדיין עשויים לזהות אותו כקשור אליכם.
- האם קיימות אליו הפניות מאתרים חיצוניים או תוצאות חיפוש.
- האם קיימות רשומות MX או TXT שקשורות לדואר.
- האם קיימים תתי דומיינים או שירותים ישנים תחתיו.
- האם הוא קשור למותג, חברה שנרכשה, פעילות רגולטורית או מוצר רגיש.
- האם יש בעלים עסקי ברור שמאשר את השחרור.
- האם קיימת תוכנית ניטור לאחר סגירה.
אם התשובה לאחת השאלות החשובות אינה ידועה, אל תשחררו את הדומיין. קודם ממפים, אחר כך מחליטים.
השורה התחתונה
הדומיין ששכחתם אינו בעיה של רשם דומיינים. הוא בעיה של אמון. והאמון הזה לא נמחק כאשר האתר יורד. הוא נשאר בתוצאות חיפוש, במיילים, בקישורים, בזיכרון של לקוחות, ובמנגנוני הגנה שעשויים לחשוב שהכול בסדר כי הכתובת מוכרת.
תוקפים הבינו שאפשר לקנות היסטוריה במקום לבנות אותה. ארגונים צריכים להבין שאפשר לאבד היסטוריה אם לא מנהלים אותה. לכן אבטחת דומיינים צריכה להיכנס לשגרה של סקרי סיכון, מודיעין סייבר, ניטור SOC, סינון דואר וניהול ספקים. לא כי כל דומיין ישן הוא אירוע. אלא כי דומיין ישן שלא מנוהל הוא הזמנה.
הפעולה המומלצת: קבעו השבוע בעלים לרשימת הדומיינים המלאה של הארגון, והתחילו בדיקה של דומיינים שפג תוקפם, דומיינים שמתקרבים לחידוש ודומיינים שאיש אינו יודע למה הם קיימים. מה שלא מנוהל, בסוף מישהו אחר ינהל במקומכם.
