Jeres IT-afdeling slukkede testserveren for et år siden. Men DNS-posten, der pegede på den, eksisterer stadig.
En hacker registrerede samme navn i skyen og modtager nu alt, jeres systemer sender derhen.
Dangling DNS: Enklere end det lyder
Det hedder dangling DNS, og det er enklere, end det lyder.
Når en virksomhed opretter en cloud-ressource, fx en testserver, en webshop eller en kampagneside, sættes en DNS-post til at dirigere trafik derhen.
Når ressourcen nedlægges, glemmer de fleste at slette DNS-posten. Den hænger bare der og peger på noget, der ikke længere eksisterer.
Hackeren overtager adressen
En angriber kan registrere en ny ressource med samme navn hos cloud-udbyderen. DNS-posten peger nu automatisk på angriberens server.
Alt, der stadig henter data fra det gamle subdomain, leveres nu indhold, som angriberen kontrollerer.
8 millioner forespørgsler på fire måneder
Sikkerhedsforskere demonstrerede det i praksis. De overtog 150 nedlagte cloud-ressourcer fra store virksomheder og myndigheder via glemte DNS-poster.
Over fire måneder modtog de 8 millioner forespørgsler, heriblandt requests efter softwareopdateringer, container-images og VPN-konfigurationer.
Havde det været angribere, kunne de have distribueret ondsindet kode via betroede kanaler.
Tusindvis af sårbare poster
Et sikkerhedsfirma identificerede over 1.250 tilfælde af subdomain-overtagelsesrisiko hos deres kunder på ét år. Et andet fandt over 2.000 udnyttelige DNS-poster hos én enkelt kunde.
Det kræver ingen teknisk exploit. Ingen sårbarhed. Bare en DNS-post, som ingen slettede.
Tredje kapitel i cloud-risikoen
I mine to foregående opslag skrev jeg om AI-kode, der planter bagdøre, og hackere, der bruger din cloud-kryptering mod dig.
Det her er det tredje kapitel i cloud-risikoen: den infrastruktur, I glemte at rydde op efter.
AI-agenter forstærker problemet
Og risikoen vokser.
Ifølge sikkerhedsanalyser forstærker AI-agenter problemet markant. AI-agenter følger DNS-opslag pr. design og har ingen mekanisme til at vurdere, om et subdomain er kompromitteret.
Skjulte instruktioner på en overtaget side kan få en AI-agent til at udlevere interne data. Agenten stoler på, at adressen er legitim, fordi jeres egen DNS siger, den er det.
Fem ting du kan gøre nu
Lav en DNS-oprydning. Gennemgå alle jeres DNS-poster og kortlæg, om de ressourcer, de peger på, faktisk stadig eksisterer. Slet poster, der peger på nedlagte tjenester. Det er ofte hurtigere, end man tror.
Indfør en regel: DNS-posten slettes FØR cloud-ressourcen nedlægges. Ikke efter. Gør det til et obligatorisk tjekpunkt ved afvikling af tjenester. Rækkefølgen er afgørende.
Automatisér overvågningen med kvartalsvise DNS-audits. Sammenlign jeres DNS-poster med de faktiske cloud-ressourcer. Uoverensstemmelser skal flagges og håndteres med det samme.
Inkludér DNS-oprydning i jeres nedlukningsprocedurer. Når en SaaS-tjeneste opsiges, en kampagneside lukkes eller en leverandør skiftes ud, skal DNS-posten fjernes som en del af afslutningen. Ikke som en eftertanke.
Spørg jeres IT-leverandør, om de kan dokumentere, hvilke DNS-poster der hører til hvilke cloud-ressourcer. Hvis ingen har det overblik, har I sandsynligvis allerede glemte poster, der venter på at blive udnyttet.
Det I glemte at slette
De fleste sikkerhedssamtaler handler om det, I skal tilføje. Flere kontroller. Mere overvågning. Bedre værktøjer.
Men nogle af de farligste risici kommer fra det, I glemte at fjerne.
En DNS-post fra et projekt i 2022. En testserver, der aldrig blev ryddet op. Et subdomain til en kampagne, der sluttede for to år siden.
Alt sammen stadig aktivt. Alt sammen potentielt i hænderne på en angriber.
Få gennemgået jeres DNS-infrastruktur
En teknisk sikkerhedsgennemgang kortlægger jeres DNS-poster og identificerer dem, der peger på nedlagte ressourcer og udgør en overtagelsesrisiko.
Et leverandøraudit afslører, om jeres IT-leverandør har overblik over DNS-posterne, eller om oprydningen er faldet mellem to stole.
Og en cybersikkerhedsaudit giver jer det samlede billede af jeres sikkerhedsposition, inklusiv den infrastruktur, I glemte eksisterede.
Serveren blev slukket. DNS-posten blev ikke. Ved I, hvad jeres glemte adresser peger på?
Har du brug for at få gennemgået jeres DNS-infrastruktur?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
