Doménhijacking megelőzése: Hogyan védje meg doménét az ellopástól

Minden évben ezreket a domain nevet lopnak el a domain-eltérítésként ismert gyakorlat révén. Az ICANN Biztonsági és Stabilitási Tanácsadó Bizottsága szerint a jogosulatlan domain-átvitelek továbbra is az egyik legtöbb bejelentett visszaélés kategóriája, és az esetek bármilyen méretű vállalkozásokat érintenek. A következmények messze túlmutatnak egy webes cím elvesztésén. Az eltérített domain átirányíthatja ügyfeleit phishing-oldalakra, megsemmisítheti az évek SEO-rangsorolását, és egyetlen éjszaka alatt alááshatja márkája hitelességét. A jó hír az, hogy a domain-eltérítés nagyrészt megelőzhető. A regisztrátori beállítások, a hitelesítési gyakorlatok és a folyamatos monitorozás megfelelő kombinációjával rendkívül nehéz céltárgyá tehetik dománjeit az ellopásra. Ez az útmutató végigvezeti Önt a konkrét lépéseken, amelyekkel lezárhatja domain-portfólióját.

Mi a domain-eltérítés?

A domain-eltérítés a domain név jogosulatlan átvitele annak jogos tulajdonosától. A támadók úgy szereznek hozzáférést, hogy kihasználják a regisztrátori fiók gyenge biztonsági intézkedéseit, szociális mérnöki módszereket alkalmaznak a regisztrátori támogatási munkatársak ellen, vagy kihasználják a lejárt domaineket. Miután egy domain új regisztrátorához kerül a támadó ellenőrzése alatt, az helyreállítása hetekig vagy hónapokig tarthat, és néha jogi lépéseket igényel. Az ICANN Transfer Dispute Resolution Policy erre a célra létezik, de az eljárás lassú és nem garantálja a sikert.

A sikeres eltérítés hatása súlyos. Az üzletek elveszítik az e-mail funkcionalitást, a weboldal forgalma nullára esik, és az ügyfelek kitéve lehetnek az ellopott domainről kiszolgált rosszindulatú tartalomnak. 2023-ban a Palo Alto Networks biztonsági kutatói dokumentáltak több olyan esetet, ahol az eltérített domaineket phishing-kampányokra használták fel az átvitel befejezése után néhány órán belül. Az olyan szervezetek számára, amelyek az SPF és DKIM rekordokon keresztüli e-mail hitelesítésre támaszkodnak a domain számára, az eltérítési esemény az adott domainről korábban küldött minden e-mail biztonságát is kompromittálhatja.

Gyakori domain-eltérítési módszerek

Annak megértése, hogy a támadók hogyan lopnak domaineket, az első lépés a megelőzés felé. A legtöbb domain-eltérítési eset nem igényel kifinomult hackelést. Helyette az emberi hibákat, a gyenge hitelesítést, vagy a regisztrátori eljárási hiányosságokat kihasználnak. A szociális mérnöki módszer a leggyakoribb vektor, ahol a támadók a domain tulajdonosaként adják ki magukat a regisztrátori támogatás felkeresésénél. De számos más módszer is létezik, amely egyformán veszélyes és érdemes részletesen megismerni.

• Szociális mérnöki - A támadók hívnak vagy e-maileznek a regisztrátori szupportnak, azt állítva, hogy a domain tulajdonosa, és a nyilvánosan elérhető WHOIS adatokat felhasználva válaszolnak az ellenőrzési kérdésekre
• Hitelesítési adatok lopása - A regisztrátori bejelentkezési oldalakat utánzó phishing e-mailek megtévesztik a domain tulajdonosokat, hogy felfedezzék felhasználónevüket és jelszavukat
• Lejárt domain foglalása - Ha egy domain lejár az megújítás elmulasztása miatt, a támadók azonnal regisztrálják azt a drop periódusban
• E-mail fiók biztonsági sérülése - Ha a regisztrátori fiókon lévő e-mail cím biztonsági sérülésben részesül, a támadók visszaállíthatják a regisztrátori jelszót és teljes kontrollt szerezhetnek
• Regisztrátori sebezhetőségek - Alkalmanként maguk a regisztrátoratok is rendelkeznek biztonsági hiányosságokkal, amelyek lehetővé teszik a jogosulatlan hozzáférést a domain kezelési paneljeihez
• DNS-eltérítés - A domain átforgalmazása helyett a támadók módosítják a DNS-rekordokat a forgalom átirányításához, miközben a tulajdonos még mindig technikailag az domainet tartja

Az átviteli zárolások szerepe

Az átviteli zárolások az Ön első védelmi vonala a jogosulatlan domain-átvitelek ellen. Ha egy domain a clientTransferProhibited státuszú kóddal rendelkezik, a registry visszautasít bármely átviteli kérelmet, amíg a jelenlegi regisztrátori kifejezetten fel nem oldja a zárolást. Ez azt jelenti, hogy még ha a támadó hozzáférést szerez az Ön regisztrátori fiókjához, még szüksége van a domain feloldásának további lépésére az átvitel kezdeményezése előtt. Ez az extra lépés egy olyan ablakot hoz létre, ahol a monitorozási eszközök észlelik a változást és értesítik Önt. Annak ellenére, hogy ingyenes és gyakorlatilag minden regisztrátortól elérhető, az domainek meglepően nagy száma továbbra is nyitott marad.

A registry zárolások, más néven serverTransferProhibited, még erősebb védelmi réteget biztosítanak. Az ügyféloldali zárolásokkal ellentétben, amelyeket a regisztrátori ellenőrzési panelen keresztül lehet feloldani, a registry zárolások közvetlen ellenőrzést igényelnek a registry operátor felé, jellemzően egy több lépésből álló kézi folyamaton keresztül. A Verisign Registry Lock szolgáltatása például a .com és .net domainek számára az előzetesen engedélyezett kapcsolattól szükséges telefonos ellenőrzést igényel bármely módosítás elvégzése előtt. Ez szinte lehetetlenné teszi a jogosulatlan átviteleket. A hátránya a költség, mivel a registry zárolások jellemzően 25 és 300 dollár közötti éves költséget adnak az TLD-tól függően, valamint az, hogy a szándékos átvitelek feldolgozása hosszabb időt vesz igénybe.

Biztonsági ellenőrzőlista a domain védelemhez

A domainek védelme egy rétegzett megközelítést igényel. Egyetlen intézkedés sem elegendő önmagában, de több biztonsági intézkedés kombinálása rendkívül valószínűtlenné teszi az eltérítést. Az alábbi ellenőrzőlista az alapvető lépéseket ismerteti, amelyeket minden domain tulajdonosnak követnie kellene, amely nagyjából a legkritikusabbtól a kiegészítésig van sorrendezve. Ha csak három dologot tesz meg, akkor engedélyezze az átviteli zárolásokat, használjon kétfaktoros hitelesítést, és állítson be WHOIS adatvédelmet. Ez a három lépés önmagában legyőzi az eltérítési kísérletek többségét.

• Engedélyezze a clientTransferProhibited funkciót minden domainen a regisztrátori ellenőrzési panelen keresztül
• Aktiválja a kétfaktoros hitelesítést a regisztrátori fiók számára, lehetőleg egy hitelesítő alkalmazás használatával az SMS helyett
• Engedélyezze a WHOIS adatvédelmet, hogy a kapcsolattartási adatok ne jelenjenek meg a nyilvános WHOIS rekordokban
• Használjon egy dedikált, biztonságos e-mail címet a regisztrátori fiók számára, amely máshol nem használatos
• Vegyen figyelembe registry lock szolgáltatásokat a legértékesebb domainei számára
• Engedélyezze a regisztrátori fiók módosítási értesítéseit, hogy értesülést kapjon bármely módosításról
• Negyedévente ellenőrizze az engedélyezett kontaktokat a regisztrátori fiókon, és távolítsa el azokat, akiknek már nincs szüksége hozzáférésre
• Tartsa meg a domain regisztrációt jól előre megújítva, legalább 60 nappal a lejárat előtt
• Dokumentálja a domain portfólióját a regisztrátori hitelesítési adatokkal, amelyeket egy jelszókezelőben tárol

Monitorozás a jogosulatlan módosítások ellen

Az erős megelőző intézkedések mellett a monitorozás egy kritikus detektálási réteget ad hozzá. Ha egy támadó valahogy megkerüli az Ön zárolási és hitelesítési rendszereit, a monitorozó eszközök értesíthetik Önt az illetéktelen módosításokról, mielőtt a kár véglegessé válna. Az ICANN átviteli folyamata a legtöbb gTLD átvitel esetén kötelező 5 napos várakozási időt tartalmaz, amely szűk időablakot biztosít az Önnek a kifogásra. De csak akkor tudja ezt az ablakot felhasználni, ha tudja, hogy az átvitel zajlik. Az olyan szolgáltatások, mint a DomainExpiryCheck.com, észlelik, amikor egy tartomány átviteli zárolási státusza megváltozik, korai figyelmeztető jelet adva. Figyelemmel kell kísérnie tartománya DNS-rekordjait, WHOIS regisztrációs adatait és nameserver beállításait a váratlan változásokra. Az automatikus riasztások beállítása az adatok ezen pontjaihoz azt jelenti, hogy nem kell manuálisan naponta ellenőriznie az egyes tartományokat. A nagyobb portfólióknál ez a fajta monitorozás nem választható, hanem szükséges. Kombinálja a külső monitorozást regisztrátora beépített értesítési rendszerével, és egy olyan biztonsági hálót hoztál létre, amely a legtöbb hackelési kísérleteket azok korai szakaszában elkapja.