V10.3.3 Application Integrity

Requirement:

Verify that the application has protection from subdomain takeovers if the application relies upon DNS entries or DNS subdomains, such as expired domain names, out of date DNS pointers or CNAMEs, expired projects at public source code repos, or transient cloud APIs, serverless functions, or storage buckets (autogen-bucket-id.cloud.example.com) or similar. Protections can include ensuring that DNS names used by applications are regularly checked for expiry or change.

Explanation:

Поскольку DNS-имена можно легко подделать или сообщить неверно, а продукту может быть сложно определить, был ли скомпрометирован доверенный DNS-сервер, DNS-имена не являются допустимым механизмом аутентификации. Когда продукт выполняет обратное преобразование DNS для IP-адреса, если злоумышленник управляет DNS-сервером для этого IP-адреса, он может заставить сервер вернуть произвольное имя хоста. В результате злоумышленник может обойти аутентификацию, вызвать запись неправильного имени хоста в файлы журнала, чтобы скрыть действия, или выполнить другие атаки. Злоумышленники могут подделывать DNS-имена либо (1) скомпрометировав DNS-сервер и изменив его записи (иногда это называется отравлением кэша DNS), либо (2) получив законный контроль над DNS-сервером, связанным с их IP-адресом.

Remediation:

Вот несколько рекомендуемых шагов по исправлению для защиты от захвата поддоменов:

• Регулярно контролируйте записи DNS: регулярно проверяйте все записи DNS, используемые приложением, чтобы убедиться, что они актуальны и срок их действия не истек. Это можно сделать с помощью таких инструментов, как служба мониторинга домена или ручная проверка.
• Использовать строгую аутентификацию для управления DNS: требовать строгой аутентификации для всех операций управления DNS, включая изменения записей DNS. Это может включать двухфакторную аутентификацию или использование безопасных токенов.
• Используйте инструменты обнаружения захвата поддоменов. Используйте инструменты обнаружения захвата поддоменов, чтобы определить любые потенциальные риски захвата поддоменов. Эти инструменты могут сканировать записи DNS приложения и предупреждать администраторов в случае обнаружения потенциального захвата. Убедитесь, что общедоступные репозитории исходного кода управляются надлежащим образом.
• Убедитесь, что все общедоступные репозитории исходного кода, используемые приложением, управляются должным образом и что доступ к ним разрешен только авторизованным пользователям.
• Используйте уникальные субдомены для облачных ресурсов. Используйте уникальные субдомены для всех облачных ресурсов, таких как API, бессерверные функции и сегменты хранилища, чтобы снизить риск захвата субдоменов. Это затрудняет злоумышленникам поиск и использование любых неправильных конфигураций в этих ресурсах.
• Внедрите строгую транспортную безопасность HTTP (HSTS). Внедрите HSTS, чтобы обеспечить шифрование всех коммуникаций между приложением и его пользователями. HSTS может помочь предотвратить захват поддоменов, принудительно используя безопасные соединения и снижая риск атак типа «злоумышленник посередине».
• Поддерживайте программное обеспечение в актуальном состоянии: регулярно обновляйте все программное обеспечение, используемое приложением, включая инструменты управления DNS и средства обнаружения захвата поддоменов, чтобы обеспечить их актуальность и новейшие средства защиты. 

Выполняя эти действия по исправлению, вы можете снизить риск захвата поддоменов и обеспечить надлежащее управление и защиту DNS-записей приложения.

Additional:

CWE - CWE-350: Reliance on Reverse DNS Resolution for a Security-Critical Action (4.10) (mitre.org)