[ DNS e domini ]
Delega DNS e record pendenti: valutare l'esposizione all'acquisizione
Valuta le dipendenze DNS obsolete utilizzando prove di proprietà e protezione del provider senza confondere le interruzioni con la comprovata esposizione all'acquisizione.
A cura del team di ricerca EmailAuth · 8 minuti di lettura
[ Punti chiave ]
- Un riferimento pendente non dimostra di per sé che un aggressore possa rivendicare il suo bersaglio.
- Valuta CNAME, deleghe e dipendenze degli indirizzi utilizzando i loro modelli di proprietà distinti.
- Coordina DNS e ritiro delle risorse senza registrare o rivendicare risorse di terze parti.
[ Porta via ]
Classificare onestamente la dipendenza osservata, convalidare le protezioni e la proprietà del provider e rimuovere o ripristinare solo l'ambito approvato.
[Per ruolo]
Cosa significa questo per te
Scegli il tuo ruolo per i prossimi passi pratici.
Amministratore IT/Posta
Traccia l'intera dipendenza
La prima risposta DNS corretta potrebbe nascondere un'associazione al servizio downstream non valida.
Prossimi passi
- Cattura l'alias o la catena di delega.
- Conferma la proprietà della risorsa con il proprietario dell'infrastruttura.
- Testare nuovamente DNS e il servizio aziendale previsto dopo la correzione.
CISO/SecOps
Separare l'esposizione dal sospetto
Un'etichetta di interruzione o dello scanner non costituisce prova di riutilizzo non autorizzato.
Prossimi passi
- Controlli di prenotazione e convalida specifici del fornitore di documenti.
- Evita tentativi di rivendicazione e registrazioni di risorse.
- Tieni traccia della proprietà non risolta come risultato esplicito.
Fondatore / Non tecnico
Partecipa DNS e all'offboarding delle risorse
Flussi di lavoro di eliminazione separati possono lasciare nomi di aziende che puntano a servizi ritirati.
Prossimi passi
- Assegnare un proprietario responsabile per la chiusura.
- Controlla se l'applicazione è veramente ritirata.
- Richiedere una decisione di riparazione mirata e reversibile.
[ Domande frequenti ]
Domande frequenti
NXDOMAIN dimostra che è possibile rilevare un obiettivo?
No. Segnala l'inesistenza DNS da tale osservazione; non stabilisce regole di assegnazione dei fornitori o se un'altra parte può vincolare il nome dell'organizzazione.
Una delegazione debole è la stessa cosa di un CNAME penzolante?
No. Una delega debole riguarda il servizio autoritativo previsto per una zona delegata. Una dipendenza CNAME segue la risoluzione degli alias e può comportare un modello di proprietà dell'applicazione separato.
Un record A può essere obsoleto mentre DNS continua a risolversi?
SÌ. L'indirizzo archiviato può rimanere sintatticamente valido dopo che la risorsa prevista cambia o viene ritirata. Conferma la proprietà attuale e l'associazione al servizio con il proprietario autorizzato.
Microsoft: Previeni le voci DNS pendenti ed evita il controllo dei sottodomini
Dovrei rivendicare un obiettivo per dimostrare l'esposizione?
Nessuna azione di questo tipo fa parte di questa guida. Utilizzare l'inventario approvato, la documentazione del fornitore e i chiarimenti del proprietario. La rivendicazione delle risorse non è necessaria per una valutazione difendibile della dipendenza obsoleta.
Le protezioni del Servizio app di Azure si applicano a ogni fornitore?
No.No La prenotazione dei nomi e il comportamento del token di verifica rientrano nell'ambito dei tipi e delle condizioni di risorse del servizio app documentati. Verifica altri servizi in modo indipendente.
Microsoft: impedire l'acquisizione di sottodomini nel servizio app
Il riutilizzo protetto significa che il record obsoleto può rimanere per sempre?
No. Una protezione può ridurre il riutilizzo ostile mentre l'applicazione rimane non disponibile o ritirata. Rimuovi i riferimenti non necessari attraverso il processo del ciclo di vita approvato dal proprietario.
Microsoft: impedire l'acquisizione di sottodomini nel servizio app
Gli alias di Azure eliminano tutti i rischi legati ai DNS pendenti?
No. Gli indirizzi documentati di accoppiamento del ciclo di vita delle risorse supportavano obiettivi alias. Le registrazioni ordinarie, gli altri servizi e la disponibilità delle applicazioni necessitano ancora di revisione.
Quali prove dovrebbero chiudere una riparazione?
Conservare l'ambito approvato, le risposte autorevoli dopo la modifica, la decisione sul flusso di lavoro aziendale e le osservazioni sulla cache residua. Evitare di sostenere che un exploit sia stato dimostrato se non vi sono prove attendibili che lo dimostrino.
Microsoft: Previeni le voci DNS pendenti ed evita il controllo dei sottodomini
[ Fonti ]
Fonti
- RFC9499
Sezioni §6. Server e client DNS · §7. Zone
- RFC1034
Sezioni §3.6 Alias e nomi canonici · §4.2 Come è suddiviso il database in zone · §4.3.4 Caching delle risposte negative
- RFC2308
Sezioni §2. Risposte negative · §5. Memorizzazione nella cache delle risposte negative
- RFC1035
Sezioni §3.3.1 Formato CNAME RDATA · §3.3.13 Formato SOA RDATA · §4.1.1 Formato della sezione di intestazione
- Microsoft: Previeni le voci DNS pendenti ed evita il controllo dei sottodomini
Sezioni Che cos'è l'acquisizione del sottodominio? · Prevenire voci DNS pendenti. · Correggere voci DNS pendenti
- Microsoft: impedire l'acquisizione di sottodomini nel servizio app
Sezioni In che modo il servizio app impedisce le acquisizioni di sottodomini · Come impedire le acquisizioni di sottodomini
- Microsoft: panoramica dei record alias Azure DNS
Sezioni Funzionalità · Prevenire record DNS pendenti · Ospitare applicazioni con carico bilanciato all'apice della zona
[ Glossario ]
Glossario
- Riferimento penzolante
- Una dipendenza DNS che rimane dopo che la relazione di risorsa o servizio prevista non è valida o è stata ritirata.
Microsoft: Previeni le voci DNS pendenti ed evita il controllo dei sottodomini
- Delegazione zoppa
- Una delega per la quale un server designato non fornisce il servizio autorevole previsto.
- Rivendicabilità
- Se l'allocazione del fornitore e le condizioni di verifica consentirebbero a un'altra parte di ottenere il controllo della relazione con la risorsa di riferimento.
Microsoft: impedire l'acquisizione di sottodomini nel servizio app
- Accoppiamento del ciclo di vita
- Una funzionalità del provider che collega il comportamento del record DNS alle modifiche in una risorsa di destinazione supportata.
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK