Prise de controle de sous-domaine
Qu'est-ce que Prise de controle de sous-domaine ?
Prise de controle de sous-domaineAttaque ou un enregistrement DNS orphelin (souvent un CNAME) pointe vers une ressource cloud ou SaaS non revendiquee, permettant a un attaquant de la recreer et d'usurper le sous-domaine.
La prise de controle de sous-domaine (subdomain takeover) survient lorsqu'un enregistrement DNS du domaine de la victime pointe encore vers un service externe qui n'est plus utilise. Le cas classique est un CNAME comme assets.example.com -> example-bucket.s3.amazonaws.com dont le bucket, le site GitHub Pages, l'application Heroku ou la ressource Azure a ete supprime. Un attaquant qui parvient a recreer le meme nom externe controle alors le contenu servi sous le sous-domaine de la victime, y compris cookies, callbacks OAuth, origines de confiance CORS et reputation de marque. La detection passe par l'inventaire continu des enregistrements DNS, l'empreinte des fournisseurs vulnerables et la reconciliation avec les inventaires cloud. La mitigation consiste a supprimer ou rediriger les CNAME orphelins, a appliquer une hygiene DNS au demantelement et a utiliser des jetons de propriete lorsque disponibles.
● Exemples
- 01
Un attaquant recree un site GitHub Pages supprime dont le CNAME pointe toujours vers docs.example.com.
- 02
Un profil Azure Traffic Manager expire permet a un attaquant de reprendre le meme FQDN pour servir des pages de phishing.
● Questions fréquentes
Qu'est-ce que Prise de controle de sous-domaine ?
Attaque ou un enregistrement DNS orphelin (souvent un CNAME) pointe vers une ressource cloud ou SaaS non revendiquee, permettant a un attaquant de la recreer et d'usurper le sous-domaine. Cette notion relève de la catégorie Sécurité réseau en cybersécurité.
Que signifie Prise de controle de sous-domaine ?
Attaque ou un enregistrement DNS orphelin (souvent un CNAME) pointe vers une ressource cloud ou SaaS non revendiquee, permettant a un attaquant de la recreer et d'usurper le sous-domaine.
Comment fonctionne Prise de controle de sous-domaine ?
La prise de controle de sous-domaine (subdomain takeover) survient lorsqu'un enregistrement DNS du domaine de la victime pointe encore vers un service externe qui n'est plus utilise. Le cas classique est un CNAME comme assets.example.com -> example-bucket.s3.amazonaws.com dont le bucket, le site GitHub Pages, l'application Heroku ou la ressource Azure a ete supprime. Un attaquant qui parvient a recreer le meme nom externe controle alors le contenu servi sous le sous-domaine de la victime, y compris cookies, callbacks OAuth, origines de confiance CORS et reputation de marque. La detection passe par l'inventaire continu des enregistrements DNS, l'empreinte des fournisseurs vulnerables et la reconciliation avec les inventaires cloud. La mitigation consiste a supprimer ou rediriger les CNAME orphelins, a appliquer une hygiene DNS au demantelement et a utiliser des jetons de propriete lorsque disponibles.
Comment se défendre contre Prise de controle de sous-domaine ?
Les défenses contre Prise de controle de sous-domaine combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Prise de controle de sous-domaine ?
Noms alternatifs courants : Takeover CNAME orphelin, DNS dangling.
● Termes liés
- attacks№ 338
Détournement DNS
Attaque qui redirige la résolution DNS vers des réponses contrôlées par l'attaquant en modifiant les paramètres clients, la configuration du routeur, les réponses du résolveur ou les enregistrements DNS autoritaires.
- attacks№ 343
Usurpation DNS
Attaque qui injecte des réponses DNS falsifiées pour rediriger les victimes d'un domaine légitime vers une adresse IP contrôlée par l'attaquant.
- attacks№ 349
Détournement de domaine
Prise de contrôle non autorisée d'un nom de domaine enregistré au niveau du registrar ou du registre, permettant à l'attaquant de rediriger trafic, e-mail et confiance vers une infrastructure malveillante.
- network-security№ 1159
TLS (Transport Layer Security)
Protocole cryptographique standardisé par l'IETF qui fournit confidentialité, intégrité et authentification au trafic entre deux applications en réseau.
- network-security№ 092
Detournement BGP
Attaque dans laquelle un systeme autonome annonce des prefixes IP qu'il ne possede pas legitimement, attirant et potentiellement interceptant du trafic Internet mondial.
- attacks№ 337
Empoisonnement de cache DNS
Attaque qui insère des enregistrements falsifiés dans le cache d'un résolveur DNS afin que les requêtes ultérieures renvoient des adresses choisies par l'attaquant jusqu'à expiration du TTL.
● Voir aussi
- № 344Tunneling DNS
- № 342DNS Rebinding