Вопрос или проблема
Имеется древний домен. Регистратор NameCheap, неймсерверы указывают на Linode, сервер не запущен. Если выполнить dig +trace, не возвращаются никакие DNS записи, что ожидаемо. Однако домен, видимо, использовался с сертификатом для спама и отображается на virustotal.com.
https://www.virustotal.com/gui/domain/burklabs.com/details
Похоже, есть что-то новое, чему мне нужно научиться. Не понимаю, как кто-то другой мог получить сертификат для домена. Не могу понять, почему virustotal утверждает, что получил A запись для домена, но, возможно, эти данные на самом деле приходят не из DNS. crt.sh говорит, что его продлевают как минимум несколько лет, если это имеет значение.
https://crt.sh/?q=burklabs.com
Главное – выяснить, где я ошибся, и исправить это. Первая мысль – развернуть сервер для домена и заставить Let’s Encrypt обновить сертификат для него досрочно. Но без понимания, как это произошло, я не уверен, что это предотвратит повторное случившееся. Буду благодарен за любые советы или подсказки.
Ответ или решение
Ваш вопрос о возможно угнанном домене и получении несанкционированного сертификата Let’s Encrypt чрезвычайно актуален в современных условиях, так как это может иметь последствия как для безопасности вашего бизнеса, так и для его репутации. Давайте подробно разберемся с этой проблемой, чтобы понять, как можно было бы исправить ситуацию и предотвратить её повторение в будущем.
Теория
Сертификаты Let’s Encrypt выдаются автоматически на основе властных доказательств владения доменом. Для этого используется одна из нескольких процедур, чаще всего это HTTP-01 и DNS-01.
- HTTP-01: Требует, чтобы сервер, связанный с доменом, возвратил определённый файл по заранее заданному URL.
- DNS-01: Проверяющий запросы может быть выполнен к определенной DNS-записи, добавленной в зону вашего домена.
Таким образом, для успешного получения сертификата злоумышленник должен иметь возможность управления либо DNS, либо серверным оборудованием, которым связан ваш домен.
Пример
Ваша ситуация предполагает, что кто-то действительно смог получить контроль над доменом через один из этих механизмов. Это может произойти в случае, если ваши DNS-записи были взломаны или заменены, либо если существовал компрометированный сервер, находящийся под опасным контролем.
Применение
Анализ ситуации
-
Проверка DNS: Несмотря на то, что
dig +traceне возвращает DNS-записи, возможно, злоумышленники временно изменили записи, чтобы пройти проверку и получить сертификат. Используйте различные DNS-сервисы, чтобы проверить кэшированные версии и убедиться, что все записи, указывающие на ваш домен, соответствуют вашим ожиданиям. -
История сертификатов: crt.sh показывает историю выпусков сертификатов, что важно для выявления несанкционированного выпуска. Проверьте, были ли отмечены подозрительные изменения в период, когда ваш сертификат мог быть выдан не вами.
-
Разбор отчётов VirusTotal: Возможное наличие A-записи в отчетах, возможно, было временной мерой злоумышленников. Вы можете использовать данные анализа, чтобы определить, какой IP указывал на ваш домен, и выяснить, связано ли это с какой-либо компрометацией.
Устранение и предупреждение
-
Обеспечение защиты DNS: Конфиденциальность и защита вашей DNS-записи имеет первостепенное значение. Рассмотрите возможность использования таких технологий, как DNSSEC, для дополнительно защиты.
-
Мониторинг изменений: Установите мониторинг за изменениями DNS или другая активность, чтобы своевременно реагировать на любые несанкционированные попытки манипуляций.
-
Обеспечение безопасности доступа и серверов: Пересмотрите ваши меры безопасности, включая защиту от DDoS-атак и брандмауэры, чтобы ненадёжные третьи лица не могли эксплуатировать ваш домен.
-
Обновление и аудит: Регулярно обновляйте и проводите аудит вашего регистратора и хостинг-сервера, чтобы убедиться в отсутствии уязвимостей и нежелательных изменений.
-
Проактивные уведомления: Настройте уведомления от crt.sh и других аналогичных сервисов для получения оповещений о каждом новом выпуске сертификата для вашего домена.
Чтобы предотвратить подобные проблемы в будущем, настоятельно рекомендуется проводить регулярные обзоры вашей ИТ-инфраструктуры и безопасности, включая многоступенчатую аутентификацию и усиленное управление доступом. Возможное угон сертификата — это сигнал, что в инфраструктуре есть пробелы, требующие внимания и исправления.
Если после выполнения этих действий проблема не разрешена, целесообразно привлечь специалистов по информационной безопасности для детального анализа и разработки комплексной стратегии защиты.