پژوهشی تحت عنوان Danglegeddon به بررسی سرعت و مقیاس شناسایی و تصاحب رکوردهای DNS رها شده (Dangling DNS) پرداخته است. رکورد DNS رها شده زمانی رخ می‌دهد که یک رکورد همچنان به سرویسی اشاره کند که پیش از این حذف شده است؛ برای مثال، یک رکورد CNAME فراموش شده که به یک منبع ابری (Cloud Resource) از رده خارج شده اشاره می‌کند. در چنین شرایطی، هر کسی که بتواند آن سرویس را مجدداً ایجاد یا تصاحب کند، کنترل کامل ساب‌دومین مربوطه را در دست می‌گیرد.
یافته‌های پژوهش و نقش هوش مصنوعی
در این تحقیق، تیم تحلیل‌گر ۱۲,۵۰۰ دامنه اصلی (Apex Domains) را در سازمان‌های دولتی، بانکی، داروسازی و خودروسازی اسکن کردند که منجر به شناسایی حدود ۸۵,۰۰۰ رکورد DNS رها شده شد. نکته کلیدی اینجاست که با بهره‌گیری از هوش مصنوعی (AI) برای اعتبارسنجی و نقشه‌برداری از یافته‌ها، این لیست به ۱۶,۰۰۰ مورد اولویت‌دار کاهش یافت که پتانسیل بالایی برای اکسپلویت داشتند.
سطوح ریسک و عوامل ایجاد آسیب‌پذیری
این پژوهش نشان می‌دهد که رکوردهای مختلف DNS سطوح متفاوتی از ریسک را به همراه دارند:
- CNAME: امکان میزبانی صفحات فیشینگ (Phishing) روی یک ساب‌دومین مورد اعتماد.
- MX و NS: احتمال تصاحب کامل زون DNS و دسترسی به جریان ارتباطات.
عواملی مانند ادغام شرکت‌ها (Mergers)، تملک‌ها (Acquisitions)، تعدیل نیرو یا تغییرات در تیم‌های فنی باعث می‌شود که بسیاری از رکوردها مدت‌ها پس از خاموش شدن سرویس‌ها، در تنظیمات DNS باقی بمانند و به عنوان یک نقطه ورود برای مهاجمان عمل کنند.
راهکارهای دفاعی و پیشگیرانه
برای مقابله با این تهدید، مدیران امنیت و تیم‌های SOC باید اقدامات زیر را در دستور کار قرار دهند:
- حذف رکوردها پیش از حذف سرویس: اطمینان حاصل کنید که رکورد DNS پیش از غیرفعال کردن (Deprovisioning) سرویس ابری حذف شده است.
- تعیین مالکیت رکوردها: برای هر رکورد DNS یک مالک مشخص تعیین کنید تا مدیریت چرخه حیات آن تضمین شود.
- استفاده از رکوردهای CAA: انتشار رکوردهای Certification Authority Authorization برای محدود کردن صدور گواهینامه‌های SSL/TLS.
- مانیتورینگ مستمر: بررسی دوره‌ای و خودکار رکوردها برای شناسایی سریع موارد رها شده.
