ドメインネームシステム（DNS）レコードにおける単純な設定ミスが、政府機関をなりすましや盗聴などさまざまなリスクにさらしています。
SH Consultingの創設者であるAlex Shakhov氏は、政府関連の2万5,000を超えるドメインを対象とした調査を実施しました。その結果、DNSレコードがタイプミスのあるドメイン、失効したドメイン、あるいは別用途に転用されたドメインを参照しているケースが数十件見つかりました。数は多くないものの、該当したのは米国の町、市、郡、規制委員会などを代表するさまざまな機関です。
誤ったレコードの多くは、攻撃者が取得可能な、あるいはすでに取得済みのドメインを指していました。誤りの内容によっては、攻撃者が脆弱な政府機関になりすましてメールを送受信したり、DNSレコードを書き換えたり、セキュリティ関連のレコードを読み取ったりできる可能性があります。
Shakhov氏はDark Readingの取材に対し、次のように語っています。「DNSのタイプミスは非常に危険です。技術的には、システムに侵入されることなく組織がハッキングされているのと同じだからです。長年かけて評判を築いてきたドメインがすでにあります。そこへ攻撃者が好きなIPをDNSに登録し、メールサーバを立ち上げ、その評判とユーザーの信頼を悪用してメールを送信します。しかも、攻撃者は何も破壊していないため、検知は極めて困難です。誰もその存在を知らなかった、DNSに載ったままのドメインを登録しただけなのです」
ドメインのタイプミス1つが攻撃者の侵入口に
ウェブサイトのセキュリティにおいて、DNSレコードほど重要なものはほとんどありません。DNSレコードには、ウェブサイトがIP空間のどこにあるか（A/AAAA）、ドメイン（CNAME）、メールの処理方法（MX、TXT）、そしてこれらの詳細を誰が決定するか（NS）といった指示が記述されています。ただし、これらは平文で完全に公開されている情報です。こうした指示のどれか1つにタイプミスがあるだけで、驚くほど大きな影響が生じかねません。
ミシガン州リビングストン郡とケンタッキー州パイクビル市を例に見てみましょう。この2つの自治体は、日常のメール運用にAmazon Simple Email Service（SES）の利用を認可しているようで、TXTレコードには信頼できる第三者プロバイダとして記載されています。ところが、記載されたドメインにはタイプミスがありました。「amzonses[.]com」と「amasonses[.]com」です。この誤りのせいで、両機関はAmazon以外の主体が自らの名義でメールを送信することを許可してしまっていました。
その結果はどうなったのでしょうか。Shakhov氏が2機関の送信ドメイン認証（SPF）の許可リストを調べたところ、パイクビル市では75個のIPアドレス、リビングストン郡では3万2,000を超えるIPアドレスが、公式ドメインの代理でメールを送信できる状態になっていました。その結果、パイクビル市の公式政府ドメインは、URIブラックリストサイト「URIBL」に登録されています。Shakhov氏は「このドメインが現在も悪用されていると考えるのが妥当です」と分析しています。
リビングストン郡のケースでは、SPFの「include」リストが2021年以降、3〜8日ごとに入れ替えられていました。これは、攻撃者が「スノーシュー」型の手口を使っていたことを示唆しています。つまり、送信元IPを次々と切り替えて迷惑メールや悪意あるメールを送り、そのIPの評判が悪化すると新しいIPに入れ替える手法です。
この情報だけでは、攻撃者がリビングストン郡のメールドメインを悪用したことや、その規模までは証明できません。ただし、悪用が可能だったことは明らかです。Shakhov氏は、この侵害の背後にいる攻撃者を、過去に報告されたグループと結び付けています。このグループは、失効したCNAMEレコードを利用して、OracleやCNN Moneyといった大手企業のウェブサイトのほか、カリフォルニア大学ロサンゼルス校（UCLA）、同デービス校（UC Davis）、同サンディエゴ校（UC San Diego）、同サンタクルーズ校（UC Santa Cruz）などの大学、さらにコネチカット州政府のサイトまで悪用していたことが確認されています。
DNSの設定ミスは他の政府機関にも
タイプミスがある場合や、何らかの理由で誤ったドメインを参照している場合、ほぼあらゆるDNSレコードが悪用される可能性があります。ただし、悪用の内容は該当するレコードによって異なります。攻撃者は、いわゆる「ダングリング」（取得可能な状態の）ドメインを登録すると、MXレコードに問題があればメールを傍受し、CNAMEやNSであればスパムコンテンツを配信し、SPFであれば正規の送信元を装ったフィッシングメールを送信できます。さらに、Domain-based Message Authentication, Reporting, and Conformance（DMARC）を通じてセキュリティ情報を収集することも可能です。
一例として、アイダホ州ルパート市のウェブサイトは現在、隣接するヘイバーン市の旧ドメイン名であるheyburnidaho[.]orgを参照しています。このドメインは悪意ある攻撃者に購入され、ネームサーバ（NS）レコードが書き換えられて、いかがわしいギャンブルサイトに向けられています。この攻撃者は、@heyburnidaho.orgで終わるアドレスからメールを送受信できるようにもしていました。
深刻度はやや低いものの、攻撃者がDMARCのレポート送信先ドメインを押さえた場合にも問題が生じます。DMARCはメールセキュリティのプロトコルで、そのTXTレコードの一部がメールサーバにレポートの送信先を伝えます。このレポートには、組織のメールインフラに関する機密情報が含まれる場合があります。Shakhov氏は、この種の情報窃取のリスクがある地方政府機関を11件確認しました。その中には、インディアナ州ジェニングス郡の4つの郡機関および法執行機関も含まれています。
こうした状況を突くことは、ハッカーにとって最も手軽な仕事の1つです。Shakhov氏は「攻撃者は脆弱性やタイプミスのあるドメインを探して、DNSレコードを常時スキャンしています。他者のインフラに入り込む最も簡単で安上がりな方法の1つだからです」と説明します。
同氏は次のように続けます。「MX、NS、SPF、DMARC、CAAなど、ルートドメインのレコードは誰でも調べられます。サブドメインは見つけにくいものの、Certificate Transparencyのログを見ればその大半が分かります。つまり攻撃者は、DNSを一括でスキャンするだけで、欲しい情報を手に入れられるのです。政府ドメインの場合はさらに容易で、スキャン対象は約2万6,000ドメインにすぎず、ほぼ無料で1日に何度でも実行できます。CISAが.govドメインの全リストを公開しているため、攻撃者はドメインを探す手間すらかかりません」
適切なDNS衛生管理とは
Shakhov氏は、DNSが誕生してから半世紀近くがたつにもかかわらず、「組織内にDNS管理の責任者がいないのが一般的です。そのため、時間がたつにつれて、以前のベンダーが使っていた失効ドメインや、買収・合併後に忘れ去られた旧社ドメイン、あるいは、コピー＆ペーストせずに手入力したことによるタイプミスが積み重なり、DNSが『ドメインの墓場』になってしまうことが多いのです」と嘆いています。
同氏によると、適切なDNS衛生管理には、少なくともいくつかの基本的なプロセスを組織が守ることが必要です。まず、「管理者やIT部門は、DNSレコードの手入力をやめなければなりません。今年スキャンした数百万のドメインのうち、SPFおよびDMARCレコードで見つかった未登録ドメインの47%は、組織自身のドメインまたはプロバイダのドメインのタイプミスでした」と指摘します。
次に、組織は自らのDNSインフラの全体像を把握し、各DNSレコードの出所を把握しておく必要があります。ただし、状況によっては言うほど簡単ではありません。Shakhov氏は「大学では、学生がGitHubにプロジェクトを公開し、大学ドメイン配下で公開できるようIT部門にCNAMEの追加を依頼することがよくあります。学生は卒業しても、CNAMEは残ります。そしてGitHubアカウントが放棄・削除されると、同じ名前でアカウントを作成した人物は、大学のDNS配下にすでにCNAMEが存在する状態を手に入れることになります」と説明します。
また、攻撃者に先に取得されないよう、自組織のドメインのスペルミスバージョンをあらかじめ登録しておくことも検討すべきです。
そして最後に、Shakhov氏は「定期的なDNS監査は必須です」と述べています。「多くの場合、無効なドメインや参照先をDNSからスキャンして警告する簡単なスクリプトがあれば十分です。四半期ごとにDNSを見直し、すべてが最新の状態かどうかを確認することは、決して難しいことではありません」
翻訳元: https://www.darkreading.com/cybersecurity-operations/us-government-email-systems-abuse-typos
