Tomada de subdominio
O que é Tomada de subdominio?
Tomada de subdominioAtaque em que um registro DNS orfao (geralmente um CNAME) aponta para um recurso de nuvem ou SaaS nao reivindicado, permitindo que um atacante o registre e personifique o subdominio.
A tomada de subdominio ocorre quando um registro DNS do dominio da vitima ainda aponta para um servico externo que nao esta mais em uso. O caso classico e um CNAME como assets.example.com -> example-bucket.s3.amazonaws.com cujo bucket, site GitHub Pages, app Heroku ou recurso Azure foi removido. Um atacante que consiga re-registrar esse mesmo nome externo passa a controlar o conteudo servido sob o subdominio da vitima, afetando cookies, callbacks OAuth, origens confiaveis no CORS e reputacao da marca. A deteccao exige inventario continuo de registros DNS, fingerprinting de provedores vulneraveis e reconciliacao com inventarios de nuvem. As mitigacoes incluem remover ou re-apontar CNAMEs orfaos, manter higiene DNS no desativamento de recursos e usar tokens de propriedade quando disponiveis.
● Exemplos
- 01
Um atacante re-registra um site GitHub Pages excluido cujo CNAME ainda aponta para docs.example.com.
- 02
Um perfil expirado do Azure Traffic Manager permite ao atacante retomar o mesmo FQDN e servir paginas de phishing.
● Perguntas frequentes
O que é Tomada de subdominio?
Ataque em que um registro DNS orfao (geralmente um CNAME) aponta para um recurso de nuvem ou SaaS nao reivindicado, permitindo que um atacante o registre e personifique o subdominio. Pertence à categoria Segurança de rede da cibersegurança.
O que significa Tomada de subdominio?
Ataque em que um registro DNS orfao (geralmente um CNAME) aponta para um recurso de nuvem ou SaaS nao reivindicado, permitindo que um atacante o registre e personifique o subdominio.
Como funciona Tomada de subdominio?
A tomada de subdominio ocorre quando um registro DNS do dominio da vitima ainda aponta para um servico externo que nao esta mais em uso. O caso classico e um CNAME como assets.example.com -> example-bucket.s3.amazonaws.com cujo bucket, site GitHub Pages, app Heroku ou recurso Azure foi removido. Um atacante que consiga re-registrar esse mesmo nome externo passa a controlar o conteudo servido sob o subdominio da vitima, afetando cookies, callbacks OAuth, origens confiaveis no CORS e reputacao da marca. A deteccao exige inventario continuo de registros DNS, fingerprinting de provedores vulneraveis e reconciliacao com inventarios de nuvem. As mitigacoes incluem remover ou re-apontar CNAMEs orfaos, manter higiene DNS no desativamento de recursos e usar tokens de propriedade quando disponiveis.
Como se defender contra Tomada de subdominio?
As defesas contra Tomada de subdominio costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
Quais são outros nomes para Tomada de subdominio?
Nomes alternativos comuns: Takeover de CNAME orfao, DNS dangling.
● Termos relacionados
- attacks№ 338
Sequestro de DNS
Ataque que redireciona a resolução de DNS para respostas controladas pelo atacante, alterando definições do cliente, configurações do router, respostas do resolver ou registos DNS autoritativos.
- attacks№ 343
Spoofing de DNS
Ataque que injeta respostas DNS falsificadas para redirecionar vítimas de um domínio legítimo para um IP controlado pelo atacante.
- attacks№ 349
Sequestro de domínio
Tomada não autorizada do controlo de um nome de domínio registado, ao nível do registrar ou do registo, permitindo ao atacante redirecionar tráfego, e-mail e confiança para infraestrutura maliciosa.
- network-security№ 1159
TLS (Transport Layer Security)
Protocolo criptográfico padronizado pelo IETF que fornece confidencialidade, integridade e autenticação ao tráfego entre duas aplicações em rede.
- network-security№ 092
Sequestro BGP
Ataque em que um sistema autonomo anuncia prefixos IP que nao sao legitimamente seus, atraindo e podendo interceptar trafego da Internet global.
- attacks№ 337
Envenenamento de cache DNS
Ataque que insere registos forjados na cache de um resolver DNS, fazendo com que consultas seguintes devolvam endereços do atacante até expirar o TTL.
● Veja também
- № 344Tunelamento DNS
- № 342DNS Rebinding