サブドメインのセキュリティは重要ではない もう一度考えろ!

英国の有名な企業向け小売ウェブサイト(クライアント/見込み客とのミーティングに先立って体系的に実施)に関する最近の監査レポートをまとめてみると、一つの明白な見解が際立っていた。サブドメイン保護はほとんど無視されている。 実際には、監査された各小売業者について、彼らのウェブサイトのドメインのおよそ1/3は保護されていなかった。 これはちょっとした驚きだった。 結局のところ、より多くのサブドメインを持つ企業はより大きな「攻撃対象領域」を持つが、これを将来のセキュリティリーダーに指摘すると、問題に対処する意欲がほとんどないことが多い。 「パスワードで保護されているため、価値のあるものは何もない。

隠された危険に用心する

サブドメインの乗っ取りは、一般的に知られているように増加しているが、それにもかかわらず、それはしばしば不十分に対応しており、それを軽減するための限られた措置が講じられている。 これには単純な理由がある。 リソースと予算に追われたセキュリティ部門はすでに拡大しているため、プライマリドメインのセキュリティ確保に注目する傾向がある。 システム内で脆弱なドメインを見つけることは簡単な作業ではないが、サブドメインのセキュリティは同様に重要な側面であり、チェックを付けないままにしておくと良いことよりも害を及ぼす可能性がある。 DNSの衛生状態が悪いと、組織とその利害関係者のセキュリティに大混乱をもたらす可能性のあるあらゆる種類の悪用の扉が開く。

サブドメインとは何か、およびそれらが重要である理由

サブドメインはあなたのルートウェブサイトのドメインへの付録- support.companydomainname.comである。 それらは様々な理由のためにセットアップされる:別のブログやキャリアサイトをホストするため、ウェブサイトのテスト環境を作成するため、または組織の主要なデジタルプレゼンスとは別のエンティティを作成するため、すなわちサッカーチームのウェブサイトのためのファン「ショップ」。

ハッカーはどのようにサブドメインを悪用できるのか、またなぜサブドメインを悪用するのか。

セッションクッキーやソースコードを盗むことで、悪意のある攻撃者は正当なサブドメインへの不正アクセスを試み、リソースを改ざんしたり、偽のサイトに置き換えたりする。 そして、疑う余地のないユーザーを騙してアクセスさせたり、クッキーやフィッシング詐欺の資格情報を盗み出したりして、企業に金銭的および評判にダメージを与えたり、

サブドメインの乗っ取りから企業を守るには?

サブドメインの管理と可視性
メインドメインだけでなく、すべてのドメインにSSL認証を実装することから始める。 驚くべきことに、この標準手順は必ずしも実装されていない。

次のことは、未使用または今はなくなったDNSエントリをクリアすることである。 「ブランドブック」にしばしば含まれるものと同様のサブドメインと機能の包括的なライブラリを構築することは、正当なサブドメインとその用途を把握するのに役立つ。

ウェブアプリケーション保護

すべてのサブドメインをWeb Application Firewall（WAF）とボット管理ソリューションで保護することで、悪者の動きやアクセスを試みる方法を監視できる。 ウェブサイトのサブドメインは異なった目的を有し、かなり頻繁に、異なった催す会社はそれらを監視する。 つまり、WAFやボット管理システムの管理方法が異なり、それらを管理するITマネージャに問題が発生する可能性がある。
奇妙な車に入るようにそれについて考えなさい-風防ガラスワイパーがあるが、いかに制御されているか変える本当らしいことを知っている。 すべてのサブドメインが単一の保護スキームで保護されるようにする。つまり、統合されたWebアプリケーションと、統合されたWAFとボット管理を1つのプラットフォームとインターフェイスに備えたAPI保護（WAAP）ソリューションにより、すべてのサブドメインにわたる脅威の監視と軽減が容易になる。

DNS監視
DNSがトップレベルドメイン全体に対して管理される共通の場所を持つことで、脆弱性を探し、変更を監視することが容易になる。 新しいエントリや既存のエントリへの変更を監視することは、悪いアクターをチェックするための素晴らしいステップである場合がある。

定期的な監査
確立された監査ツールを使用することはウェブサイトの衛生の重要な部分である。 すべてのサブドメインとその場所にある保護レベルが公開される。 また、これらのツールは、どのような攻撃ベクトルが最も成功する可能性があるかについての指標を提供するために、悪質なアクターによってもしばしば使用されることに注意してください。

強力なサイバーセキュリティ態勢は、サブドメインを含むデジタルプレゼンスの隅々までセキュリティを確保することから始まる。 システム内で脆弱な領域を見つけることは簡単な作業ではないが、いくつかの単純なルーチンを導入することで、ブランドは長期的に資産と評判をよりよく保護できる。

Edgio Applicationsプラットフォームは、Webサイトアクセラレーションツールと組み合わせた管理とDDoS保護の両方を含む、完全なアプリケーションとAPI保護を提供し、すべてを単一の画面で管理する。

サブドメインの包括的な監査を希望する場合は、セキュリティ監査にサインアップするか、当社の専門家に相談する。

サポートコンテンツ

• https://hackernoon.com/how-hackers-attack-subdomains-and-how-to-protect-them-rc7j37f2
• https://informer.io/resources/subdomain-takeover
• https://www.theregister.com/2021/06/30/subdomain_vulnerabiilties/