A modern webes infrastrukt\u00far\u00e1k egyik kev\u00e9sb\u00e9 ismert, m\u00e9gis komoly biztons\u00e1gi kock\u00e1zata a \u201edangling CNAME\u201d rekordok jelenl\u00e9te. B\u00e1r els\u0151re \u00e1rtalmatlannak t\u0171nhetnek, ezek az elhagyott vagy rosszul karbantartott DNS-bejegyz\u00e9sek lehet\u0151s\u00e9get adhatnak t\u00e1mad\u00f3knak arra, hogy jogosnak t\u0171n\u0151 domaineken kereszt\u00fcl hajtsanak v\u00e9gre rosszindulat\u00fa tev\u00e9kenys\u00e9geket. De mit is jelent pontosan ez a jelens\u00e9g, \u00e9s mi\u00e9rt kell vele foglalkozni?<\/span><\/p>\n A CNAME \u2013 Canonical Name \u2013 rekord egy DNS-bejegyz\u00e9s, amely egy domaint egy m\u00e1sik domainhez ir\u00e1ny\u00edt \u00e1t. P\u00e9ld\u00e1ul a blog.ceg.hu mutathat egy k\u00fcls\u0151 szolg\u00e1ltat\u00f3, p\u00e9ld\u00e1ul egy felh\u0151szolg\u00e1ltat\u00e1s \u2013 pl. example.azurewebsites.net \u2013 \u00e1ltal kezelt c\u00edmre.<\/span><\/p>\n A probl\u00e9ma akkor jelentkezik, amikor a c\u00e9lk\u00e9nt megadott er\u0151forr\u00e1s \u2013 pl. a felh\u0151ben fut\u00f3 alkalmaz\u00e1s vagy szolg\u00e1ltat\u00e1s \u2013 megsz\u0171nik, a DNS-ben szerepl\u0151 CNAME rekordot azonban nem t\u00f6rlik.\u00a0<\/span><\/p>\n Ilyenkor a domain \u201e\u00e1rv\u00e1n marad\u201d, azaz l\u00e9tezik egy hivatkoz\u00e1s egy nem l\u00e9tez\u0151 er\u0151forr\u00e1sra. Ez az \u00fagynevezett dangling CNAME.<\/span><\/p>\n A t\u00e1mad\u00f3k sz\u00e1m\u00e1ra ezek az elhagyott DNS-bejegyz\u00e9sek aranyb\u00e1ny\u00e1t jelenthetnek. Ha p\u00e9ld\u00e1ul egy v\u00e1llalat t\u00f6r\u00f6l egy felh\u0151s szolg\u00e1ltat\u00e1st \u2013 mondjuk egy AWS S3 bucket-et vagy egy Azure Web App-ot \u2013, de a hozz\u00e1 tartoz\u00f3 CNAME rekordot meghagyja, egy t\u00e1mad\u00f3 megpr\u00f3b\u00e1lhatja \u00fajra regisztr\u00e1lni ugyanazt az er\u0151forr\u00e1snevet a felh\u0151szolg\u00e1ltat\u00f3n\u00e1l.<\/span><\/p>\n Ha ez siker\u00fcl, a CNAME rekord automatikusan a t\u00e1mad\u00f3 \u00e1ltal kontroll\u00e1lt er\u0151forr\u00e1sra fog mutatni. Ez gyakorlatilag azt jelenti, hogy a t\u00e1mad\u00f3 \u00e1tveszi az ir\u00e1ny\u00edt\u00e1st a domain egy r\u00e9sze felett an\u00e9lk\u00fcl, hogy hozz\u00e1f\u00e9r\u00e9se lenne a DNS-hez.<\/span><\/p>\n Az ilyen t\u00edpus\u00fa t\u00e1mad\u00e1sok t\u00f6bbf\u00e9lek\u00e9ppen is kihaszn\u00e1lhat\u00f3k:<\/span><\/p>\n A dangling CNAME rekordok gyakran hossz\u00fa ideig rejtve maradnak a szervezetek el\u0151tt, mivel a DNS-rendszer \u00f6nmag\u00e1ban nem \u00e9rz\u00e9keli probl\u00e9m\u00e1snak ezeket a bejegyz\u00e9seket. Technikailag a rekord tov\u00e1bbra is \u00e9rv\u00e9nyesnek sz\u00e1m\u00edt, m\u00e9g akkor is, ha a m\u00f6g\u00f6tte l\u00e9v\u0151 szolg\u00e1ltat\u00e1s vagy er\u0151forr\u00e1s m\u00e1r nem l\u00e9tezik. Emiatt a hib\u00e1k sokszor nem jelennek meg sem riaszt\u00e1sk\u00e9nt, sem m\u0171k\u00f6d\u00e9si rendelleness\u00e9gk\u00e9nt.\u00a0<\/span><\/p>\n Tov\u00e1bb nehez\u00edti a felismer\u00e9st, hogy az \u00e9rintett aldomaineket gyakran m\u00e1r nem haszn\u00e1lj\u00e1k akt\u00edvan, \u00edgy azok monitoringja is elmarad. Egy r\u00e9gi kamp\u00e1nyoldal, tesztk\u00f6rnyezet vagy kor\u00e1bban haszn\u00e1lt felh\u0151szolg\u00e1ltat\u00e1s k\u00f6nnyen \u201eelfelejt\u0151dhet\u201d az infrastrukt\u00far\u00e1ban, mik\u00f6zben a hozz\u00e1 tartoz\u00f3 DNS-bejegyz\u00e9s v\u00e1ltozatlanul megmarad.<\/span><\/p>\n A kock\u00e1zatot fokozza, hogy a felh\u0151szolg\u00e1ltat\u00f3k nem minden esetben akad\u00e1lyozz\u00e1k meg a kor\u00e1bban haszn\u00e1lt er\u0151forr\u00e1snevek \u00fajb\u00f3li regisztr\u00e1ci\u00f3j\u00e1t. Ha egy alkalmaz\u00e1s, bucket vagy webszolg\u00e1ltat\u00e1s megsz\u0171nik, el\u0151fordulhat, hogy ugyanazt a nevet k\u00e9s\u0151bb b\u00e1rki lefoglalhatja. Ilyen esetben a megmaradt CNAME rekord automatikusan az \u00faj tulajdonos infrastrukt\u00far\u00e1j\u00e1ra fog mutatni, ami lehet\u0151s\u00e9get teremthet vissza\u00e9l\u00e9sekre vagy ak\u00e1r teljes aldomain-\u00e1tv\u00e9telre is.<\/span><\/p>\n Ez k\u00fcl\u00f6n\u00f6sen nagyv\u00e1llalati k\u00f6rnyezetben jelent komoly probl\u00e9m\u00e1t, ahol t\u00f6bb sz\u00e1z vagy ak\u00e1r t\u00f6bb ezer aldomain \u00e9s k\u00fcls\u0151 szolg\u00e1ltat\u00e1s m\u0171k\u00f6dik p\u00e1rhuzamosan. A komplex infrastrukt\u00far\u00e1kban k\u00f6nnyen el\u0151fordulhat, hogy egy-egy elavult DNS-bejegyz\u00e9s \u00e9veken \u00e1t \u00e9szrev\u00e9tlen marad, mik\u00f6zben folyamatos biztons\u00e1gi kock\u00e1zatot jelent.<\/span><\/p>\n A dangling CNAME rekordokb\u00f3l ered\u0151 kock\u00e1zatok megfelel\u0151 \u00fczemeltet\u00e9si \u00e9s biztons\u00e1gi gyakorlatokkal nagyr\u00e9szt megel\u0151zhet\u0151k. A biztons\u00e1got fokoz\u00f3 tev\u00e9kenys\u00e9g p\u00e9ld\u00e1ul a(z)\u00a0<\/span><\/p>\n <\/span><\/li>\n <\/span><\/li>\n <\/span><\/li>\n <\/span><\/li>\n <\/span><\/li>\nMi az a CNAME rekord, \u00e9s mikor v\u00e1lik dangling rekordd\u00e1?<\/b><\/h2>\n
Hogyan haszn\u00e1lj\u00e1k ki a t\u00e1mad\u00f3k az elhagyott CNAME rekordokat?\u00a0<\/b><\/h2>\n
\n
Mi\u00e9rt vesz\u00e9lyesek a nem haszn\u00e1lt CNAME rekordok?\u00a0<\/b><\/h2>\n
Hogyan el\u0151zhet\u0151 meg a dangling CNAME rekordok kihaszn\u00e1l\u00e1sa?<\/b><\/h2>\n
\n
<\/b>Id\u0151szakosan \u00e9rdemes \u00e1tvizsg\u00e1lni a DNS-z\u00f3n\u00e1kat, \u00e9s ellen\u0151rizni, hogy minden CNAME rekord m\u00f6g\u00f6tt l\u00e9tezik-e m\u00e9g a c\u00e9l-er\u0151forr\u00e1s.<\/span>\n
<\/b>Sz\u00e1mos biztons\u00e1gi eszk\u00f6z \u00e9s open-source megold\u00e1s l\u00e9tezik (pl. Subjack, Amass), amelyek k\u00e9pesek azonos\u00edtani a potenci\u00e1lisan vesz\u00e9lyes, dangling rekordokat.<\/span>\n
<\/b>Ha infrastrukt\u00fara mint k\u00f3d (IaC) megk\u00f6zel\u00edt\u00e9st haszn\u00e1lunk, \u00e9rdemes biztos\u00edtani, hogy az er\u0151forr\u00e1sok t\u00f6rl\u00e9sekor a kapcsol\u00f3d\u00f3 DNS-rekordok is automatikusan megsz\u0171njenek.<\/span>\n
<\/b>Egyes szolg\u00e1ltat\u00f3k k\u00edn\u00e1lnak v\u00e9delmi mechanizmusokat (pl. domain ownership validation), ezeket \u00e9rdemes bekapcsolni \u00e9s haszn\u00e1lni.<\/span>\n
<\/b>Minimaliz\u00e1lni kell azok sz\u00e1m\u00e1t, akik DNS-rekordokat hozhatnak l\u00e9tre vagy m\u00f3dos\u00edthatnak. Emellett \u00e9rdemes elk\u00fcl\u00f6n\u00edteni a kritikus \u00e9s nem kritikus domaineket is.<\/span>\n
<\/b>Figyelni kell az inakt\u00edv vagy hib\u00e1san m\u0171k\u00f6d\u0151 aldomain-eket, \u00e9s c\u00e9lszer\u0171 riaszt\u00e1st be\u00e1ll\u00edtani az anom\u00e1li\u00e1kra.<\/span><\/li>\n<\/ul>\nDangling CNAME rekordok: kis hiba, komoly biztons\u00e1gi kock\u00e1zat<\/b><\/h2>\n