Bir oltalama kampanyasının ömrü kısadır. Saldırgan alan adını kaydeder, sertifikasını alır, e-postaları gönderir ve birkaç gün içinde başka bir ada geçer. Tehdit istihbaratı akışları bu adı ancak birileri şikâyet ettikten sonra öğrenir. Arada geçen saatler saldırganın kazancıdır.
Alan adının yaşı neden önemli?
Kurum çalışanlarının günlük olarak ziyaret ettiği sitelerin neredeyse tamamı yıllardır var. Dün kaydedilmiş bir alan adına bir muhasebe bilgisayarından istek gitmesi, tek başına kanıt değildir ama güçlü bir işarettir.
NameDefence, Defender bir adı çözerken alan adının kayıt tarihini Manager'a sorar. Kayıt tarihi belirlediğiniz gün sayısından yeniyse politikanız devreye girer: engelle ya da yalnızca logla. Güvendiğiniz yeni alanları istisna listesine ekleyebilirsiniz.
Bazı alan adlarının kayıt tarihi öğrenilemez. Bu adlar için de ayrı bir tercih vardır: izin ver ya da yeni sayıp aynı politikayı uygula. Yüksek güvenlik isteyen kurumlar ikinci seçeneği kullanır.
Benzer alan adları
Saldırganların sevdiği ikinci yöntem markanızın taklididir. kurum.com.tr yerine kurum-giris.com, kvrum.com ya da kurumdestek.net. Bu adlar sizin için de çalışanlarınız için de tehlikelidir: çalışanınız tıklayabilir, müşteriniz kandırılabilir.
NameDefence bunu iki yerden izler:
- Ağınızdaki DNS trafiğinde: korunan alan adlarınıza harf değişikliği ya da ek kelimeyle benzeyen yeni bir ad sorulduğunda alarm üretir.
- İnternet genelinde: Sertifika Şeffaflığı (Certificate Transparency) kayıtları sürekli taranır. Biri markanıza benzeyen bir ad için SSL sertifikası aldığında, o site daha yayına girmeden haberiniz olur.
Benzerlik kuralları gerçek hayattaki gürültüye göre ayarlanmıştır. Örneğin yazım hatası taklitlerinde ilk harfin aynı olması beklenir; böylece kurumunuzla ilgisiz ama ortak kelime içeren binlerce ad alarm üretmez.
Kendi alan adlarınızı da izleyin
Benzer alanlar kadar tehlikeli bir durum da kendi alanınızdaki unutulmuş kayıtlardır. Silinmiş bir bulut hizmetini hâlâ gösteren bir CNAME, saldırganın o hizmeti yeniden açıp sizin alt alan adınızda içerik yayınlamasına izin verir. NameDefence korunan alanlarınızın kayıtlarını düzenli kontrol eder, beklenmedik değişiklikleri ve sahipsiz CNAME'leri bildirir.
Kısacası
Engel listesi geçmişte görülen tehdidi durdurur. Alan adının yaşı ve markanıza benzerliği ise bugün kurulan tehdidi, daha kimse şikâyet etmeden yakalar.