A csendes biztonsági rés a DNS beállításaidban

Olyanokat látunk folyamatosan a NameOceannál: a fejlesztők heteket töltenek az alkalmazásaik megerősítésével, az OWASP ajánlásaik megvalósításával, a CI/CD folyamataik beállításával — majd a domainjük biztonsági konfigurációját az alapértelmezett állapotban hagyják.

Ez a rés az, amire a támadók számítanak.

A domain nem csak egy cím — az első védelmi vonalad. Amikor a DNS rekordok rosszul vannak beállítva, az e-mail hitelesítés megbukik, vagy az SSL tanúsítványok csendben lejárnak, nem csak technikai problémákat kockáztatsz. A hírneved, az e-mailjeid kézbesítése, és végső soron az ügyfeleid bizalma kerül veszélybe.

A jó hír? Ezeknek a problémáknak a javítása gyakran gyorsabb, mint egy elromlott deployment pipeline debugolása. Csak tudnod kell, mit keress.

Mit ellenőriz valójában egy domain biztonsági szkenner

Egy átfogó domain biztonsági felmérés öt párhuzamos vizsgálatot végez, amelyek együtt teljes képet adnak a domain sebezhetőségéről:

1. DNS és DNSSEC ellenőrzés

A DNS rekordjaid az internet telefonkönyve — és DNSSEC nélkül a támadók megmérgezhetik ezt a telefonkönyvet. A DNSSEC kriptográfiai aláírásokat ad a DNS válaszaidhoz, gyakorlatilag lehetetlenné téve, hogy a támadók hamisítsák a rekordokat és a felhasználóidat rosszindulatú szerverekre irányítsák.

A szkenner ellenőrzi, hogy a DNSSEC megfelelően alá van-e írva, vizsgálja a névszerverek redundanciáját (legalább két földrajzilag elosztott névszerverre van szükséged), és validálja a CAA rekordjaidat. Ezek a CAA rekordok különösen fontosak: meghatározzák, mely tanúsítványkiadó jogosult SSL tanúsítványt kiállítani a domain neve alatt. Nélkülük bármely kompromittált vagy gondatlan CA kiállíthatna tanúsítványt a nevedben.

2. E-mail hitelesítés (SPF, DKIM, DMARC)

Ha valaha is a spam mappában landoltak az e-mailjeid, vagy még rosszabb, ha a domainedet adathalász támadásokhoz használták az ügyfeleid ellen — az e-mail hitelesítés ennek az oka.

Az SPF megmondja a fogadó levelezőszervereknek, mely szerverek jogosultak a domainedről e-mailt küldeni. A DKIM kriptográfiai aláírást ad hozzá, amely bizonyítja, hogy az e-mailjeidet nem módosították közben. A DMARC összefogja mindezt egy házirenddel, amely megmondja a fogadóknak, mit tegyenek, ha a hitelesítés megbukik — monitorozzon, karanténba tegyen, vagy utasítson el.

A legtöbb domainnek van legalább SPF beállítása, de a DMARC elterjedtsége meglepően alacsony. Ha a DMARC nincs "reject" módra állítva, a támadók gond nélkül hamisíthatják a domained. Ez nem elméleti kockázat — ez az oka annak, hogy az ügyfeleid adathalász e-maileket kapnak, amelyek úgy néznek ki, minna tőled jönnének.

3. SSL/TLS tanúsítvány állapot

Az SSL tanúsítványod nem egy "beállítod és elfeled" komponens. A tanúsítványok lejárnak (néha figyelmeztetés nélkül), elavult TLS verziókat használnak, vagy hiányoznak belőlük a HSTS fejlécek, amelyek megakadályozzák a downgrade támadásokat.

A szkenner élő TLS kézfogást végez a tanúsítvány érvényességének ellenőrzésére, a lejárati dátum vizsgálatára, a használt TLS verzió megerősítésére és a HSTS konfiguráció észlelésére. Ha API-t működtetsz vagy fizetéseket kezelsz, ezek a részletek fontosabbak, mint amennyire a legtöbb fejlesztő felismeri.

4. Biztonsági fejlécek értékelése

A webkiszolgáló HTTP válaszfejlécei egy csendes biztonsági réteg, amelyet sok alkalmazás teljesen figyelmen kívül hagy. A szkenner ellenőrzi:

• Content Security Policy (CSP) — megakadályozza a cross-site scripting és adatinjektálási támadásokat
• X-Frame-Options — megakadályozza a clickjackinget azzal, hogy szabályozza, beágyazható-e a webhelyed frame-ekbe
• X-Content-Type-Options — megakadályozza, hogy a böngészők MIME-sniffinget végezzenek (gyakori támadási vektor)
• Referrer-Policy — szabályozza, milyen információ szivárog, amikor a felhasználók elhagyják az oldalad
• Permissions-Policy — korlátozza a böngésző funkcióinak elérését, mint a kamera, mikrofon és geolokáció

Ezek a fejlécek percek alatt beállíthatók és értelmes védelmet nyújtanak egész támadási osztályok ellen. Mégis túl gyakran látjuk, hogy production alkalmazásokat nélkülük telepítenek.

Mit jelent valójában a biztonsági pontszámod

A pontozási modell a legnagyobb súlyt az e-mail biztonságnak adja (30%), mert a domainhamisítás az egyik legnagyobb hatású támadási vektor a legtöbb szervezetnél. Egyetlen adathalász kampány, amely a CEO-dnak adja ki magát, számos technikai ellenőrzést megkerülhet.

Íme a pontozási skála gyakorlatban:

• A osztály (90-100): Kiváló helyzet. A domained megfelel vagy túlszárnyalja a biztonsági legjobb gyakorlatokat.
• B osztály (75-89): Jó biztonság, kisebb fejlesztési lehetőségekkel. Alacsonyan lógó gyümölcsök elérhetők.
• C osztály (60-74): Megfelelő biztonság, több hézaggal. Védve vagy az alkalmi támadások ellen, de a célzottak ellen nem.
• D osztály (45-59): Gyenge biztonság, jelentős problémákkal. Valószínűleg tapasztalsz vagy tapasztalni fogsz valódi problémákat.
• F osztály (45 alatt): Kritikus hiányosságok. Azonnali beavatkozás szükséges.

Itt van a kellemetlen igazság: a legtöbb, biztonsági megerősítés nélküli production domain C-D tartományban van. Ha egy olyan startup vagy, amely nem végezett kifejezett domain biztonsági auditot, nagy az esélye, hogy a tiéd is közéjük tartozik.

Valós forgatókönyvek, ahol ez számít

Indítás előtti validáció

Mielőtt átfordítanád a kapcsolót egy új terméknél, futtass egy biztonsági szkennert. Ellenőrizd, hogy az SSL tanúsítványaid érvényesek, az e-mail hitelesítésed működik, és a biztonsági fejléceid a helyükön vannak. Sokkal könnyebb ezeket a problémákat felhasználók előtt javítani, mint utánuk.

Migráció utáni ellenőrzés

Domainek áthelyezése, hosting szolgáltató váltása, vagy DNS konfiguráció frissítése? A biztonsági beállítások csendben elromolhatnak migrációk során. Egy szkenn futtatása bármilyen infrastruktúra változás után időben elkapja ezeket a problémákat, még mielőtt support ticketekké válnának.

Partner és szállítói átvilágítás

Mielőtt integrálódnál egy új szállítóval, vagy érzékeny adatokat osztanál meg egy partnerrel, ellenőrizd a domainjük biztonsági pontszámát. Az ő biztonsági helyzetük közvetlenül befolyásolja a tiedet — különösen az e-mail hitelesítés esetében.

MSP ügyfélértékelések

Ha MSP vagy ügynökség vagy, amely több ügyfelet kezel, a domain biztonsági szkennerek konkrét, objektív adatokat adnak a biztonsági beszélgetésekhez. Absztrakt ajánlások helyett megmutathatod az ügyfélnek a D osztályú e-mail biztonságát, és pontosan végigvezetheted, mi változtatásra szorul.

A gyors sikerek, amelyek számítanak

A legtöbb biztonsági fejlesztés, amely a pontszámodat C-ről A-ra viszi, nem igényel kódváltoztatást:

1. Engedélyezd a DNSSEC-et — A Cloudflare, az Amazon Route 53 és a Google Cloud DNS ezt egyetlen kapcsolóval teszi lehetővé. A fő lépés a DS rekord közzététele a regisztrátornál, ami általában 15-30 percet vesz igénybe.

2. Adj hozzá CAA rekordokat — Korlátozd, mely tanúsítványkiadók állíthatnak ki tanúsítványt a domain neve alatt. Körülbelül 15 perc a DNS szolgáltatódnál.

3. Konfiguráld a DMARC-ot — Kezdd "p=none" monitorozással, majd szigorítsd "p=quarantine"-re, végül "p=reject"-re, miután ellenőrizted, hogy a legitim levelek átmennek.

4. Adj hozzá biztonsági fejléceket — A legtöbb web framework és CDN szolgáltató ezeket konfiguráción keresztül engedélyezi. Nincs szükség alkalmazáskód módosításra.

5. Megújítsd a tanúsítványokat lejárat előtt — Állíts be monitoringot, vagy használj olyan szolgáltatót, amely automatikusan kezeli a megújítást.

A domain biztonság beépítése a munkafolyamatodba

A kihívás nem az, hogy tudod, mit kell tenni — hanem az, hogy a biztonsági ellenőrzések rutinná váljanak, ne reaktívvá. Azt ajánljuk, hogy adj hozzá egy domain biztonsági szkennert a deployment checklistédhez, úgy kezelve, ahogyan a lint ellenőrzést vagy a tesztcsomagot.

A NameOceannál hiszünk abban, hogy a biztonságnak elérhetőnek kell lennie, nem misztikusnak. A domain a online jelenléted alapja, és megérdemli ugyanazt a figyelmet, amit bármely más kritikus infrastruktúrának adsz.

Futtass egy szkennert a domaineden ma. Meglepethet, mit találsz — és milyen gyorsan ki tudod javítani.

Szeretnéd ellenőrizni a domained biztonsági helyzetét? A NameOcean integrált eszközei megkönnyítik a DNSSEC beállítását, a DNS rekordok kezelését és a biztonsági beállítások monitorozását egyetlen dashboardról.