Was ist eine Subdomain, ein weiterer Angriffsvektor in Unternehmen?

Was ist eine Subdomain?

Eine Subdomain ist ein untergeordneter Teil eines Domainnamens, der als „Unterzweig“ innerhalb des hierarchischen Domain Name Systems (DNS) fungiert. Wenn Sie beispielsweise die Domain example.com besitzen, können Sie Subdomains wie shop.example.com oder mail.example.com erstellen. Subdomains ermöglichen es, verschiedene Dienste, Websites oder Namensräume unter einer Hauptdomain zu organisieren.

Subdomains als Angriffsvektor im Unternehmen

Subdomains können aufgrund ihrer oft komplexen und verteilten Verwaltung ein erhebliches Sicherheitsrisiko für Unternehmen darstellen. Angreifer nutzen Schwachstellen in DNS-Konfigurationen oder verwaiste Subdomains, um bösartige Aktivitäten wie Phishing, Malware-Verbreitung oder Datenmissbrauch durchzuführen.

Häufige Angriffsarten auf Subdomains

Subdomain Hijacking: Angreifer übernehmen verwaiste Subdomains, die auf nicht mehr
existierende Dienste verweisen. Dies ermöglicht ihnen, bösartige Inhalte zu hosten oder Nutzer umzuleiten. Beispiel: Fehlkonfigurierte DNS-Einträge wie CNAMEs, die auf nicht mehr aktive Cloud-Dienste zeigen, können übernommen werden.
SubdoMailing: Eine spezielle Form des Subdomain-Hijackings, bei der gekaperte Subdomains genutzt werden, um authentifizierte Phishing-E-Mails im Namen des Unternehmens zu versenden.
Dangling DNS: Alte oder ungenutzte DNS-Einträge bleiben aktiv und werden von Angreifern ausgenutzt, um Zugriff auf Subdomains zu erlangen.
Domain Shadowing: Hacker kompromittieren legitime Domains und erstellen unbemerkt Subdomains für schädliche Aktivitäten wie Malware-Verbreitung.

Wie wird eine Subdomain eingerichtet?

Subdomains werden durch DNS-Einträge in der Zonendatei eines Domainnamens erstellt. Der häufigste DNS-Eintragstyp für Subdomains ist der CNAME-Eintrag, der die Subdomain als Alias für einen anderen Domainnamen definiert. Alternativ können auch andere Eintragstypen wie A-Records verwendet werden, um die Subdomain direkt mit einer IP-Adresse zu verknüpfen.
Wildcard (*.example.com) sind ein Sicherheitsrisiko. Sie bieten eine Angriffsfläche, da sie alle nicht definierten Subdomains abdecken. Ein kompromittierter Eintrag kann potenziell alle Subdomains gefährden. Angreifer können Wildcard-Subdomains ausnutzen, um gefälschte Subdomains zu erstellen und diese für Phishing-Kampagnen zu verwenden, was durch die vertrauenswürdige Hauptdomain legitim erscheint.
Subdomain Takeover: Fehlkonfigurierte Wildcard-DNS-Einträge können zu einer Übernahme durch Angreifer führen, insbesondere wenn sie auf nicht mehr existierende Dienste verweisen.

Anwendungsfälle für Subdomains

Subdomains haben vielfältige Einsatzmöglichkeiten:

Organisatorische Trennung: Zum Beispiel shop.example.com für einen Online-Shop oder mail.example.com für einen E-Mail-Dienst.
Technische Implementierungen: Systeme wie DKIM (DomainKeys Identified Mail) nutzen Subdomains zur Speicherung von Authentifizierungsinformationen (z. B. selector._domainkey.example.com).
Domain-Verifizierung: Zertifizierungsstellen verwenden oft zufällige Subdomains zur Überprüfung des Besitzes eines Domainnamens bei der Ausstellung von SSL/TLS-Zertifikaten.

Wie findet man alle Subdomains einer Domain?

Die vollständige Liste aller Subdomains einer Domain zu finden, hängt davon ab, ob Sie Zugriff auf die DNS-Zonendatei haben:

Zugriff auf die DNS-Zonendatei

Wenn Sie der Eigentümer oder Administrator der Domain sind, können Sie direkt in der DNS-Zonendatei nachsehen.
Viele DNS-Anbieter bieten Funktionen wie den Export der Zonendatei (z. B. als CSV-Datei), um eine Übersicht über alle Subdomains zu erhalten.

Methoden ohne direkten Zugriff

Falls kein Zugriff auf die Zonendatei besteht, können folgende Ansätze helfen:

Brute Force/Raten: Tools testen systematisch mögliche Subdomain-Namen.
Reverse-DNS-Lookups: Überprüfen von IP-Adressen auf zugehörige Domains.
Online-Tools und Scanner: Spezialisierte Dienste durchsuchen öffentlich zugängliche Datenbanken und führen automatisierte Abfragen durch.

Kombination von Methoden

Um eine möglichst umfassende Liste zu erhalten, empfiehlt sich eine Kombination aus den oben genannten Ansätzen.

Fazit

Subdomains bieten Flexibilität und zahlreiche Anwendungsmöglichkeiten, bergen jedoch auch Risiken, insbesondere wenn ungenutzte oder ungesicherte Subdomains existieren. Die beste Methode zur Verwaltung und Überprüfung von Subdomains ist der direkte Zugriff auf die DNS-Zonendatei. Wir bieten einen SaaS-Service zusammen mit NodeZro, durch welchen eine umfassende Analyse des Namensraums und der Lieferantenkette laufend durchgeführt und mögliche Risiken aufgezeigt werden.
Kontaktieren Sie uns für einen weiteren Austausch: let.us.help@globalipaction.swiss