DNS kontrolünü e-posta güveninin bir parçası olarak değerlendirin
DNS ele geçirme, istemcinin güvendiği bilgi veya çözüm yolunda yetkisiz bir değişiklik yapılmasıdır. Bir e-posta ekibi için önemli soru yalnızca bir alan adının web sitesinin taşınıp taşınmayacağı değildir. Hangi yetkinin, hesabın veya çözümleyicinin etkilendiğini, hangi postayla ilgili adların değiştiğini ve etkilenen aralıkta hangi alıcıların gözlemleyebileceğini belirleyin. Artık net bir cevap, daha önceki teslimat kararlarının aynı verileri kullandığını kanıtlamıyor.
Yetkili devralmayı, önbellek zehirlenmesinden ve yerel çözümleyici yeniden yönlendirmesinden ayrı tutun. Benzer semptomlara neden olabilirler ancak farklı iyileşme sahiplerine ihtiyaç duyarlar. Bir kayıt şirketi hesabı yetkilendirmeyi etkileyebilir; yetkili bir barındırma hesabı bölge içeriğini değiştirebilir; güvenliği ihlal edilmiş bir uç nokta beklenmeyen bir çözümleyici kullanabilir. NIST DNS dağıtım kılavuzu Yetkili, özyinelemeli ve saplama hizmetlerine yönelik tehditleri ayırt eder. Bu ayrım, kullanışlı bir olay haritasının başlangıç noktasıdır.
Taşınan güven sınırını belirleyin
Bilinen kayıt ve yetkilendirme temel çizgisini mevcut yetkili hizmetle karşılaştırın. Kayıt şirketini, DNS barındırmayı, imzalama altyapısını ve kurtarma iletişim kişilerini kimin yönettiğini kaydedin. Bir değişikliği kötü amaçlı olarak nitelendirmeden önce yetkilendirilip yetkilendirilmediğini kontrol edin: planlı geçişler, devredilen alt alanlar ve bölünmüş görünümler meşru farklılıklara neden olabilir. Kayıtlar veya hesap günlükleri mevcut olmadığında belirsizliği koruyun.
Yetkili hiyerarşi önemlidir çünkü eski sağlayıcıdan güvenilir görünen bir bölge aktarımı artık kamu delegasyonunu tanımlamayabilir. RFC 1034 bölüm 4.2 Bölge sınırlarını ve delegasyonu açıklar. Olay kanıtları, yalnızca yanıt metnini yeniden oluşturmakla kalmayıp, her gözlem için kullanılan sunucuyu ve yolu tanımlamalıdır. Sorgulanan adı, kayıt türü ve zaman damgası olmayan bir ekran görüntüsü, neyin değiştiğine dair zayıf bir kanıttır.
Etkilenen hesapları korumak, ilgili günlükleri muhafaza etmek ve restorasyonu koordine etmek için yerleşik olay prosedürlerini kullanın. Bu eylemler kuruluşun iznini gerektirir; Bu makale, değişiklikleri canlı bir hizmete yönlendirmez. Olay sahibi etkilenen durumu ele geçirmeden önce hesapları silerek, tüm kayıtları değiştirerek veya tüm önbellekleri temizleyerek yararlı kanıtları yok etmekten kaçının.
Gelen ve giden postalar için farklı sonuçları izleme
Yetkisiz bir MX değişikliği, gelen postaları teslim etme girişimlerini yeniden yönlendirebilir. Belirli bir gönderenin gerçekten teslimat yapıp yapmaması, seçilen rotaya, aktarım korumalarına ve sonuçta ortaya çıkan bağlantıya bağlıdır. Posta kutusu içeriğinin yalnızca MX farkından okunduğu sonucunu çıkarmayın. Etkilenen aralığı belirleyin ve bir maruz kalma iddiasında bulunmadan önce teslimat kanıtlarını inceleyin.
Giden kimlik kontrollerinin farklı bağımlılıkları vardır. SPF altında DNS ilkesini kullanarak, değerlendirilen etki alanı için bağlantı adresinin yetkili olup olmadığını değerlendirir. RFC 7208. Bu politikayı bir düşman kontrol ediyorsa, SPF geçişi meşru iş yetkilendirmesi yerine yetkisiz bir politikayı yansıtabilir. Bir değiştirilmesi DKIM genel anahtar doğrulamayı etkileyebilir ancak bir anahtarın yayınlanması eski mesaj imzalarını değiştirmez veya eski özel anahtarı açığa çıkarmaz. Anahtar arama ve doğrulama süreci şurada açıklanmıştır: RFC 6376 bölüm 3.6 ve 6.1.2.
DMARC Yazar Etki Alanı ile uyumlu, kimliği doğrulanmış bir tanımlayıcıya dayanır. Onaylanmış çalışanların veya satıcıların bağımsız bir kaydı değildir. Ele geçirilen bir alan adının kimlik doğrulama materyali, başarılı bir sonucun ardındaki varsayımları zayıflatabilir. Etki alanı politikası ayrıca, yukarıda açıklandığı gibi, evrensel bir sonucu garanti etmek yerine, alıcı yönetimini de bilgilendirir. RFC 9989 bölüm 4.4 ve 5.4.
Hangi korumaların hangi riske yönelik olduğunu anlayın
DNSSEC Doğrulamanın kullanılabilir bir güven zincirine sahip olması durumunda DNS verileri için kaynak kimlik doğrulaması ve bütünlük sağlar. Yetkili bir imzalama sistemi aracılığıyla yapılan bir değişikliğin, sahibinin niyetini yansıttığını tasdik etmez. Güvenliği ihlal edilmiş bir yetkili yönetim yolu tarafından kabul edilen ve imzalanan kötü amaçlı bir düzenleme yine de doğrulanabilir. RFC 4033 bölüm 3 DNSSEC sağladığı hizmetleri belirler; hesap koruması ve onay kontrolleri farklı bir katmana hitap ediyor.
Ulaştırma politikalarının da kendi analizlerine ihtiyacı var. Mevcut bir MTA-STS politika, gönderenleri uygulamak için izin verilen MX ana bilgisayarlarını ve TLS doğrulamasını kısıtlayabilir, ancak ilk keşif ve politika önbelleğe almanın sınırları vardır. DANE SMTP DNSSEC tarafından doğrulanmış bilgilere ve uygun TLSA kayıtları. Her iki mekanizma da idari alanın ele geçirilmesine karşı evrensel bir panzehir olarak tanımlanmamalıdır. Danışın RFC 8461 bölüm 10 Ve RFC 7672 bölüm 2 farklı güven modelleri için.
Tartışmalı bir MX değişikliğinin kurgusal işlenmiş örneği
Örnek Atölyeler adlı kurgusal organizasyonda bir uyarı, example.com artık farklı bir MX hedefine sahip olduğunu bildiriyor. Posta yöneticisinin eski DNS paneli hâlâ beklenen değeri gösteriyor. Önerilen bir araştırma, panelin artık yetkili olup olmadığına karar vermeden önce delegasyonu, mevcut yetkili cevapları ve kayıt şirketi değişiklik kayıtlarını karşılaştıracaktır.
Olay kaydının daha sonra yetkisiz bir delegasyon değişikliği tespit ettiğini varsayalım. Yanıt sahibi, onaylanmış otoritenin restorasyonunu koordine edecek ve zaman penceresini gönderen günlükleri ve ulaşım politikası kanıtlarına göre değerlendirecektir. İlgisiz bir giden mesaja yapılan kimlik doğrulama geçişi, gelen teşhir sorusunu kapatmaz. Bu senaryo icat edilmiştir ve gözlemlenen bir olay, sağlayıcı hesabı erişimi veya test edilmiş geri yükleme içermez.
Kurtarmayı tek bir yanıtı geri yüklemenin ötesinde tanımlayın
Onaylanan kayıt farkını, bağımlılık haritasını ve geri yükleme malzemesini koruyun, ardından geri yüklenen yetkili yolu ve seçilen özyinelemeli görünümleri doğrulayın. Her sırrın açığa çıktığını varsaymadan, gerçek güvenlik ihlalinin içerdiği tüm anahtarları, kimlik bilgilerini veya politika uç noktalarını inceleyin. Yinelenmeyi ve çözülmemiş maruz kalma sorularını izlemek için sahiplik atayın.
Olayı yalnızca açık kriterlere göre kapatın: yönetim kontrol edilir, amaçlanan kayıtlar sunulur, bağımlı hizmetler doğrulanır ve kanıt aralığı anlaşılır. Önbelleğe alınmış yanıtlar ve sıraya alınmış postalar görünür onarımdan daha uzun süre dayanabilir. Orijinal onay ve değişiklik sonrası arama kanıtları burada eksik olduğundan, bu eğitici açıklama tamamlanmış bir ele geçirme değerlendirmesi veya herhangi bir alan adının güvenli olduğuna dair bir beyan değildir.