プロアクティブなサブドメイン防御:DNS乗っ取りアラートを新たに導入

プロアクティブなサブドメイン防御:DNS乗っ取りアラートを新たに導入

サブドメインのメールセキュリティにおける対策強化

作成

サブドメインのメールセキュリティにおけるギャップを解消

メインドメインでDMARCを厳格に適用(p=reject)していても、攻撃者はサブドメインの設定ミスや放置されたDNSレコードを悪用し、認証を通過するなりすましメールを送信します。
広く確認されているSubdoMailingキャンペーンなど、こうした攻撃経路からブランドを守るため、PowerAlertsモジュールに第4のアラートカテゴリーとして「DNS乗っ取りアラート」が追加されました。

5つの攻撃ベクトルを自動検出

定期的な外部監査に頼るのではなく、PowerAlertsは監視対象として登録されたドメインおよび関連するサブドメインを継続的にスキャンし、参照先を失ったDNSレコードを検出します。
攻撃者が未登録のリソースを取得して送信レピュテーションを乗っ取る前に、脆弱な設定を検知します。

検出範囲の拡大

検出エンジンは、以下5つの主要なDNS乗っ取りリスクを監視します。

Dangling NS(参照先を失ったネームサーバー)
解決不能または期限切れのネームサーバーを参照しているサブドメインのNSレコードを検出し、サブドメイン全体の乗っ取りを未然に防ぎます。
SPFサブドメイン乗っ取り
期限切れドメインを参照するincludeメカニズム、redirect修飾子、existsメカニズムなど、参照先を失ったSPF設定を検出します。
Dangling CNAME(参照先を失ったCNAME)
廃止されたクラウドサービスなど、解決不能なホスト名を参照しているCNAMEレコードを検出します。
Dangling MX(参照先を失ったMXレコード)
存在しないホスト名を参照しているメールサーバーのエントリを検出します。
第三者にそのホスト名を取得されると、当該サブドメイン宛のメールを受信されるおそれがあります。
Dangling A/AAAA(参照先を失ったアドレスレコード)
第三者に再取得される可能性のあるIPアドレスを参照しているA・AAAAレコードを検出します。
SPFの用語について
RFC 7208では、SPFレコードを構成する用語(term)はメカニズム(mechanism)と修飾子(modifier)の2種類に分類されます(RFC 7208 Section 4.6.1)。
includeとexistsはメカニズム(Section 5.2、Section 5.7)、redirectは修飾子(Section 6.1)です。
Section 4.6.3には「Modifiers are not mechanisms.」と明記されています。

主な機能

コンテキストに応じたアラートルールの設定
特定のイベントトリガー(例:ネームサーバーレコードが解決不能、CNAMEターゲットが解決不能など)を選択し、あらかじめ設定された重要度(緊急または高)と組み合わせて設定します。
是正手順への直接アクセス
新設された「DNS乗っ取りアラート」ログタブで検出結果を確認します。
各検出結果には、DNSプロバイダー側で無効なレコードを更新・削除するための手順がインラインで表示されます。
検出結果のインテリジェントなグルーピング
自動重複排除により、アラート疲れ(alert fatigue)を防ぎます。
同一サブドメイン・同一イベントタイプの複数の不正レコードは、1件の対応可能なインシデントにまとめられます。
APIによる自動化
Business・Enterpriseプランのお客様は、専用のDNS Takeover APIエンドポイントを通じて検出結果をプログラムで取得し、社内のSOCダッシュボードへ直接連携できます。

ご利用開始方法

DNS乗っ取りルールを監視ワークフローに追加するには、ダッシュボードからアラートウィザードに従って設定します。

PowerAlerts ➤ Configuration ➤ Add Alert Configuration

  1. ステップ1(監視対象エンティティ):監視対象とするメインドメインを選択します。
  2. ステップ2(アラートタイプ):アラートタイプのドロップダウンから「DNS Takeover」を選択します。
  3. ステップ3(条件):対象のイベントタイプ(例:SPFサブドメイン乗っ取り)とイベントトリガーを選択します。「+ Add New DNS Takeover Event」をクリックすると、1つのルールで複数のチェックを監視できます。
  4. ステップ4(通知グループ):任意の通知グループを割り当て、「Save」をクリックします。

弊社からの補足

本機能で検出できない状態があります
本機能が検出するのは、参照先が解決できない状態(dangling)のレコードです。
攻撃者が既に参照先のドメインやクラウドリソースを取得してしまった場合、そのレコードは正常に解決するため、danglingとしては検出されません。
つまり、本機能は乗っ取られる前の予防を目的としたものであり、既に乗っ取られた状態の検知を保証するものではありません。
既存のサブドメインについては、本機能による監視と併せて、初回導入時に棚卸しを実施することを推奨します。
Null MXを設定しているドメインについて
RFC 7505で定義されるNull MX(優先度0、交換ホスト名が「.」の単一MXレコード)は、「このドメインはメールを受信しない」ことを明示的に宣言するものであり、参照先を失ったMXレコードではありません(RFC 7505 Section 3)。
メールを受信しないサブドメインにNull MXを設定している場合、Dangling MXとして検出されないか、検出結果をご確認ください。
サブドメインへのDMARCポリシー適用
DNS乗っ取りアラートによる検出と併せて、DMARCレコードのspタグでサブドメイン向けポリシーを明示することを推奨します。
組織ドメインのDMARCレコードにspタグがない場合、サブドメインにはpタグの値が継承されますが、意図を明示する観点からspタグを設定しておくことに意味があります。