DNS 제어를 이메일 신뢰의 일부로 취급
DNS 하이재킹은 클라이언트가 신뢰하는 정보 또는 확인 경로를 무단으로 변경하는 것입니다. 이메일 팀의 경우 중요한 질문은 단순히 도메인의 웹사이트가 이동되었는지 여부가 아닙니다. 어떤 기관, 계정 또는 확인자가 영향을 받았는지, 어떤 메일 관련 이름이 변경되었는지, 영향을 받은 기간 동안 어떤 수신자가 관찰할 수 있었는지 확인합니다. 이제 명확한 대답은 이전 배송 결정이 동일한 데이터를 사용했다는 것을 입증하지 않습니다.
캐시 중독 및 로컬 확인자 리디렉션과 별도로 권한 있는 인수를 유지하세요. 비슷한 증상이 나타날 수 있지만 다른 복구 소유자가 필요합니다. 등록기관 계정은 위임에 영향을 미칠 수 있습니다. 신뢰할 수 있는 호스팅 계정은 영역 콘텐츠를 변경할 수 있습니다. 손상된 엔드포인트는 예상치 못한 확인자를 사용할 수 있습니다. NIST 의 DNS 배포 가이드 권위 있는 서비스, 재귀적인 서비스, 스텁 서비스에 대한 위협을 구별합니다. 이러한 구별은 유용한 사건 지도의 출발점입니다.
이동된 신뢰 경계 식별
알려진 등록 및 위임 기준을 현재 권한 있는 서비스와 비교합니다. 등록 기관, DNS 호스팅, 서명 인프라 및 복구 연락처를 관리하는 사람을 기록합니다. 악의적이라고 부르기 전에 변경 사항이 승인되었는지 확인하십시오. 계획된 마이그레이션, 위임된 하위 도메인 및 분할 보기로 인해 정당한 차이가 발생할 수 있습니다. 기록이나 계정 로그를 사용할 수 없을 때 불확실성을 유지하십시오.
이전 공급자의 신뢰할 수 있는 영역 내보내기가 더 이상 공개 위임을 설명하지 않을 수 있으므로 권위 있는 계층 구조가 중요합니다. RFC 1034 섹션 4.2 영역 경계 및 위임에 대해 설명합니다. 사건 증거는 단순히 답변 텍스트를 재현하는 것이 아니라 각 관찰에 사용된 서버와 경로를 식별해야 합니다. 쿼리된 이름, 기록 유형 및 타임스탬프가 없는 스크린샷은 변경된 사항에 대한 약한 증거입니다.
확립된 사고 절차를 사용하여 영향을 받은 계정을 보호하고 관련 로그를 보존하며 복원을 조정합니다. 이러한 작업에는 조직의 승인이 필요합니다. 이 문서는 라이브 서비스에 대한 변경 사항을 지시하지 않습니다. 사건 소유자가 영향을 받은 상태를 캡처하기 전에 계정을 삭제하거나 모든 기록을 교체하거나 모든 캐시를 지워 유용한 증거를 파괴하지 마십시오.
인바운드 및 아웃바운드 메일에 대한 다양한 결과 추적
승인되지 않은 MX 변경으로 인해 인바운드 메일 전달 시도가 리디렉션될 수 있습니다. 특정 발신자가 실제로 전송하는지 여부는 선택한 경로, 전송 보호 및 결과 연결에 따라 달라집니다. MX 차이만으로 사서함 내용을 읽었다고 추론하지 마십시오. 영향을 받는 간격을 설정하고 노출 주장을 하기 전에 배송 증거를 검사하십시오.
아웃바운드 신원 확인에는 다양한 종속성이 있습니다. SPF 아래의 DNS 정책을 사용하여 연결 주소가 평가된 도메인에 대해 승인되었는지 여부를 평가합니다. RFC 7208. 공격자가 해당 정책을 제어하는 경우 SPF 패스는 합법적인 비즈니스 승인이 아닌 승인되지 않은 정책을 반영할 수 있습니다. 교체 DKIM 공개 키는 확인에 영향을 미칠 수 있지만 키를 게시해도 이전 메시지 서명이 변경되거나 이전 개인 키가 공개되지는 않습니다. 키 조회 및 확인 프로세스는 다음 항목에 설명되어 있습니다. RFC 6376 섹션 3.6 및 6.1.2.
DMARC 작성자 도메인과 일치하는 인증된 식별자에 의존합니다. 이는 승인된 직원이나 공급업체의 독립적인 등록 기관이 아닙니다. 하이재킹된 도메인의 인증 자료는 통과 결과 뒤에 있는 가정을 약화시킬 수 있습니다. 또한 도메인 정책은 에 설명된 대로 보편적인 결과를 보장하기보다는 수신자 처리에 대해 알립니다. RFC 9989 섹션 4.4 및 5.4.
어떤 보호 조치가 어떤 위험을 해결하는지 이해
DNSSEC 검증에 사용 가능한 신뢰 체인이 있는 경우 DNS 데이터에 대한 원본 인증 및 무결성을 제공합니다. 승인된 서명 시스템을 통해 이루어진 변경 사항이 소유자의 의도를 반영했음을 인증하는 것은 아닙니다. 손상된 권한 있는 관리 경로에 의해 승인되고 서명된 악의적인 편집은 여전히 유효할 수 있습니다. RFC 4033 섹션 3 DNSSEC 제공하는 서비스를 명시합니다. 계정 보호 및 승인 제어는 다른 계층을 처리합니다.
교통 정책에도 자체적인 분석이 필요합니다. 기존 MTA-STS 정책은 허용되는 MX 호스트와 발신자 구현을 위한 TLS 유효성 검사를 제한할 수 있지만 초기 검색 및 정책 캐싱에는 제한이 있습니다. DANE SMTP DNSSEC 인증 정보와 적합한 정보에 의존합니다. TLSA 기록. 두 메커니즘 모두 관리 도메인 탈취에 대한 보편적인 해독제로 설명되어서는 안 됩니다. 찾다 RFC 8461 섹션 10 그리고 RFC 7672 섹션 2 그들의 독특한 신뢰 모델을 위해.
논란이 되고 있는 MX 변경에 대한 가상의 실제 사례
가상의 조직인 example Workshops에서는 example.com 에 이제 다른 MX 대상이 있다는 경고가 보고됩니다. 메일 관리자의 이전 DNS 패널에는 여전히 예상 값이 표시됩니다. 제안된 조사에서는 패널이 더 이상 권위가 없는지 여부를 결정하기 전에 위임, 현재 권위 있는 답변 및 레지스트라 변경 기록을 비교합니다.
나중에 사건 기록에서 무단 위임 변경이 발생했다고 가정해 보겠습니다. 응답 소유자는 승인된 권한의 복원을 조정하고 보낸 사람 로그 및 전송 정책 증거를 기준으로 기간을 평가합니다. 관련되지 않은 아웃바운드 메시지에 대한 인증 패스는 인바운드 노출 질문을 종료하지 않습니다. 이 시나리오는 고안되었으며 관찰된 사고, 공급자 계정 액세스 또는 테스트된 복원을 포함하지 않습니다.
하나의 답을 복원하는 것 이상의 회복을 정의
승인된 기록 차이, 종속성 맵 및 자료 복원을 유지한 다음 복원된 신뢰할 수 있는 경로와 선택한 반복 보기를 확인합니다. 모든 비밀이 노출되었다고 가정하지 않고 실제 손상과 관련된 모든 키, 자격 증명 또는 정책 엔드포인트를 검토하세요. 재발 및 해결되지 않은 노출 질문을 모니터링하기 위한 소유권을 할당합니다.
명시적인 기준에 따라서만 사고를 종료합니다. 즉, 관리가 제어되고, 의도된 기록이 제공되고, 종속 서비스가 확인되고, 증거 간격이 이해됩니다. 캐시된 답변과 대기 중인 메일은 눈에 보이는 수리보다 오래 지속될 수 있습니다. 원래 승인 및 변경 후 조회 증거가 여기에 누락되어 있으므로 이 교육적 설명은 완료된 하이재킹 평가나 도메인이 안전하다는 선언이 아닙니다.