Não é importante? Pensem outra vez!

Olhando coletivamente para os nossos recentes relatórios de auditoria para vários conhecidos websites de retalho de empresas do Reino Unido (que sistematicamente realizamos antes das reuniões de clientes/potenciais), uma observação gritante destacou-se: A proteção de subdomínios está a ser largamente ignorada. De facto, para cada retalhista auditado, cerca de 1/3 dos seus domínios no website estavam desprotegidos. Isto veio como uma surpresa. Afinal, as empresas com mais subdomínios têm uma “superfície de ataque” maior, mas quando eu aponto para o potencial líder de segurança, muitas vezes há pouco apetite para resolver o problema. “Não há nada de valioso neles; eles são protegidos por senha – então, por que se preocupar?”

Cuidado com um perigo escondido

A aquisição de subdomínios, como é mais conhecida, está em ascensão, mas apesar disso, muitas vezes é mal servida, e existem medidas limitadas para a mitigar. Há uma razão simples para isto. Os departamentos de segurança afetados por recursos e orçamento já estão esticados, portanto a atenção tende a concentrar-se na segurança dos domínios primários. Encontrar domínios vulneráveis dentro de um sistema não é uma tarefa simples, mas a segurança de subdomínio é um aspeto igualmente crítico que pode acabar por causar mais danos do que bons se não for verificada. A má higiene do DNS abre a porta a todos os tipos de abusos que podem causar estragos na segurança da sua organização e das suas partes interessadas.

O que são subdomínios e por que são importantes?

Um subdomínio é um apêndice do domínio do seu website raiz – support.companydomainname.com. Eles são criados por uma variedade de razões: Para hospedar um blog separado ou um site de carreiras, criar um ambiente de teste de sites ou uma entidade diferente da principal presença digital de uma organização – ou seja, uma ‘loja’ de fãs de um site de equipa de futebol.

Como é que os hackers podem explorar subdomínios e porque é que o fazem?

Ao roubar cookies de sessão ou código-fonte, os maus atores tentam obter acesso não autorizado a um subdomínio legítimo para adulterar o recurso ou substituí-lo por um site falso. Eles podem então enganar os utilizadores desavisados a visitá-lo, roubar os seus cookies e criar credenciais, causando danos financeiros e reputacionais a uma empresa,

Como é que as empresas podem proteger-se da aquisição de subdomínios?

Gestão e visibilidade de subdomínios
Comece por implementar a certificação SSL em todos os domínios, não apenas no principal. Surpreendentemente, este procedimento padrão nem sempre é implementado.

A próxima coisa a fazer é limpar entradas de DNS não utilizadas ou agora extintas. Construir uma biblioteca abrangente de subdomínios e funções semelhantes ao que muitas vezes está contido num “livro de marca” ajuda a manter o controlo sobre o que são subdomínios legítimos e os seus usos.

Proteção de aplicações web

Ter todos os subdomínios protegidos através de um Web Application Firewall (WAF) e uma solução de gestão de bots ajuda a manter um olho no movimento dos maus atores e na forma como estão a tentar obter acesso. Os subdomínios de sites têm diferentes propósitos, e muitas vezes, diferentes empresas de hospedagem os supervisionam. Isso significa que a forma como o WAF ou os sistemas de gestão de bots são administrados pode variar, causando problemas para o gestor DE TI responsável pela gestão dos mesmos.
Pense nisso como entrar num carro estranho – você sabe que há limpadores de para-brisas, mas como eles são controlados é provável que varie. Garantir que todos os subdomínios estejam protegidos através de um único esquema de proteção, ou seja, uma aplicação Web unificada e uma solução de proteção de API (WAAP) com gestão de WAF e bot integrada numa única plataforma e interface, torna mais fácil observar e garantir a atenuação de ameaças em todos os subdomínios.

Monitorização de DNS
Ter um local comum onde o DNS é administrado para todo o domínio de nível superior torna mais fácil procurar vulnerabilidades e monitorizar alterações. Monitorizar novas entradas e alterações às entradas existentes pode ser um grande passo para verificar os maus atores.

Auditoria regular
Usar uma ferramenta de auditoria estabelecida é uma parte vital da higiene do website. Irá expor todos os subdomínios e o nível de proteção em vigor. Cuidado também que essas ferramentas são frequentemente usadas por maus atores para fornecer uma indicação sobre quais vetores de ataque podem ser mais bem sucedidos.

Uma forte postura de segurança cibernética começa com a segurança de todos os cantos da sua presença digital, incluindo os seus subdomínios. Encontrar domínios vulneráveis dentro de um sistema não é uma tarefa simples, mas, ao introduzir algumas rotinas simples, as marcas podem proteger melhor os seus ativos e a sua reputação a longo prazo.

A plataforma Edgio Applications fornece proteção completa de aplicativos e API, incluindo gerenciamento e proteção DDoS combinada com ferramentas de aceleração de sites, tudo gerenciado através de um único painel de vidro.

Se quiser uma auditoria abrangente dos seus subdomínios, inscreva-se numa auditoria de segurança ou fale com um dos nossosespecialistas.

Conteúdo de apoio

• https://hackernoon.com/how-hackers-attack-subdomains-and-how-to-protect-them-rc7j37f2
• https://informer.io/resources/subdomain-takeover
• https://www.theregister.com/2021/06/30/subdomain_vulnerabiilties/