甚麼是子域劫持？

我們都很反感 IT 部門為了提醒大家提防可疑通訊而發送的釣魚測試電郵。但現時黑客的手段越來越隱蔽，仿冒看似真實的域名也變得越來越容易。隨着機構持續快速遷移至雲端基礎設施，網絡安全威脅也在同步快速演變。子域劫持就是一類需要重點關注的新興風險——如果放任這類漏洞不理，攻擊者就能藉此取得通往受信任域名的後門。

認識子域劫持

子域在 Web 基礎設施中擔當重要角色，可協助企業拆分服務、託管應用、簡化營運流程。但如果機構變更託管環境後沒有及時清理過時的 DNS 條目，就會產生懸空 DNS 記錄：即配置中仍然留存、但已不再指向活躍資源的子域。

這種疏忽會給攻擊者可乘之機。惡意行為人識別出這些孤立子域後，可重新註冊關聯的雲端資源，實際控制外觀合法的域名。其後果是甚麼？釣魚活動、憑證竊取、惡意軟件傳播以及品牌聲譽受損，且所有攻擊行為都偽裝成受信任實體發起。

風險真實存在

這類攻擊向量過去一直未受到足夠關注，但現在安全研究人員正逐步揭露其普遍存在的現狀。Certitude（一個道德黑客組織）近期發布的一份報告顯示，包括政府機構、金融機構在內的大量知名機構都曾存在子域劫持的風險。在部分案例中，攻擊者成功攻陷了澳洲外交貿易部、英國氣象局以及多家美國州級機構等主體的子域。

這些發現印證了一個值得警惕的現實：沒有任何機構能對此類風險免疫。網絡基礎設施規模越大、架構越複雜，存在被忽略漏洞的風險就越高。

攻擊者如何利用子網域劫持攻擊

了解這類攻擊的運作機制，就能明白它為何屬於高威脅風險。攻擊者一般會依循以下步驟：

1. 識別存在漏洞的子網域：網絡罪犯利用自動化工具掃描公共 DNS 記錄與雲服務配置，定位孤立子網域。
2. 接管雲資源：如果已過期的雲服務仍關聯着懸空 DNS 記錄，攻擊者通常可在其控制下重新註冊這些服務。
3. 部署惡意內容：一旦取得控制權，攻擊者就可以在看似來自合法來源的網域下託管釣魚頁面、分發惡意軟件或進行其他欺詐活動。
4. 利用用戶信任：由於該子網域仍歸屬原始父網域，缺乏警惕的用戶可能會信任該網站，繼而提升釣魚攻擊與憑據竊取活動的成功率。
   

紓緩子網域劫持風險

考慮到這類攻擊可能造成的後果，各機構必須主動採取措施消除這個攻擊向量。完善的安全策略應包含以下最佳實踐：

1. 定期進行 DNS 審計：備存所有 DNS 記錄的完整清單，確保子網域均有效指向可用資源。
2. 清理孤立 DNS 條目：立即刪除指向已停用服務的 DNS 記錄，防止攻擊者取得控制權。
3. 監控子網域活動：借助安全工具偵測子網域的未授權變更，標記潛在漏洞。
4. 重新評估通配符證書的使用：儘管通配符 SSL 證書可簡化證書管理，但它們會將信任範圍擴展至所有子網域，包括可能被劫持的子網域。在條件許可的情況下，應優先選擇單網域證書。
5. 強化雲安全策略：建立嚴格的網域管理流程，落實嚴格的存取控制機制，確保雲配置符合安全最佳實踐。
6. 改用短有效期證書：如果懸空子網域仍持有有效證書，攻擊者就可以少突破一道安全屏障。採用較短有效期的證書可縮短此類攻擊及其他漏洞利用方式的攻擊窗口。
   

子網域安全的未來發展

隨著對子網域劫持攻擊的認知不斷提升、可見性持續增強，網絡安全從業員正開發自動化解決方案，以便在漏洞被利用前偵測並緩減此類風險。但機構不能被動等待所謂的「銀彈」解決方案。

透過樹立主動安全意識，企業可以填補 DNS 配置中的安全缺口，保護數碼資產，鞏固客戶信任。隨着網絡威脅持續演變，保障網絡基建的基礎安全並非可選事項，而是必須完成的要務。

結語

子網域劫持是一種可預防但不容忽視的關鍵安全風險。透過落實細緻的安全運維工作、主動監測以及制訂體系化的安全防護措施，企業可以有效緩減該威脅，維持穩定可靠的數碼業務運作狀態。想了解更多內容？可收聽 Tim Callan 與 Jason Soroko 的播客節目《Root Causes》.

相關文章：

什麼是釣魚攻擊？它會對我的網站造成哪些影響？

最常見的5種網站攻擊類型有哪些？

Root Causes 第365期：什麼是子網域劫持？