サブドメイン乗っ取り
サブドメイン乗っ取り とは何ですか?
サブドメイン乗っ取り宙吊りになった DNS レコード(多くは CNAME)が、誰にも所有されていないクラウドや SaaS リソースを指している隙を突き、攻撃者がそのリソースを取得してサブドメインに成りすます攻撃。
サブドメイン乗っ取り(subdomain takeover)は、被害者ドメインの DNS レコードが、すでに使われていない外部サービスを指し続けているときに発生します。典型例は assets.example.com -> example-bucket.s3.amazonaws.com のような CNAME で、S3 バケットや GitHub Pages、Heroku アプリ、Azure リソースが削除済みのケースです。攻撃者が同じ外部名を取り直すと、その被害者サブドメイン配下に任意のコンテンツを配信でき、Cookie、OAuth コールバック、CORS の信頼オリジン、ブランドの信用に悪影響を及ぼします。検知には DNS レコードの継続的な棚卸し、乗っ取りに弱いプロバイダのフィンガープリンティング、クラウドインベントリとの突合が必要です。対策は宙吊り CNAME の削除や付け替え、リソース廃止時の DNS 衛生、可能ならドメイン所有確認トークンの利用です。
● 例
- 01
削除済みの GitHub Pages サイトを攻撃者が再取得し、CNAME が依然として docs.example.com を指している状態を悪用する。
- 02
失効した Azure Traffic Manager プロファイルから、同じ FQDN を攻撃者が取り戻し、フィッシングページを配信する。
● よくある質問
サブドメイン乗っ取り とは何ですか?
宙吊りになった DNS レコード(多くは CNAME)が、誰にも所有されていないクラウドや SaaS リソースを指している隙を突き、攻撃者がそのリソースを取得してサブドメインに成りすます攻撃。 サイバーセキュリティの ネットワークセキュリティ カテゴリに属します。
サブドメイン乗っ取り とはどういう意味ですか?
宙吊りになった DNS レコード(多くは CNAME)が、誰にも所有されていないクラウドや SaaS リソースを指している隙を突き、攻撃者がそのリソースを取得してサブドメインに成りすます攻撃。
サブドメイン乗っ取り からどのように防御しますか?
サブドメイン乗っ取り に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
サブドメイン乗っ取り の別名は何ですか?
一般的な別名: 宙吊り CNAME 乗っ取り, Dangling DNS テイクオーバー。