[Silent Push] Welcome to Danglegeddon

사일런트 푸시 시뮬레이션을 통해 DNS 도메인 연결이 끊어진 상태가 전 세계적인 위협으로 지속되는 이유를 입증했습니다.

주요 결과

• 저희 연구팀은 정부, 은행, 자동차 제조, 제약 등 4개 산업 분야에서 제대로 활용되지 않는 DNS 인프라를 분석하는 시뮬레이션을 진행했습니다. 
• 우리는 간단한 에이전트 기반 계측 및 AI 워크플로를 적용하여 악용될 수 있는 하위 도메인을 찾고, 열거하고, 밝혀냈습니다. 
• 동일한 기법을 반복적으로 사용한 결과 성공적인 결과를 얻었고, 이를 통해 우리는 엄청난 규모의 인수 가능성 중 극히 일부만을 탐색하고 있다는 사실을 깨달았습니다.
• 우리는 이 프로젝트에 "댕글게돈(Danglegeddon)"이라는 이름을 붙였습니다.

요약 보고서

인터넷에는 잊혀지고, 버려지고, 잘못 구성된 수십억 개의 서브도메인이 아무 곳으로도 연결되지 않습니다. 겉보기에는 무해해 보이지만, 이러한 서브도메인은 분석가, 요원 또는 방어자가 즉시 대응해야 할 임박한 사이버 위협으로 간주되지 않을 수 있습니다.

사일런트 푸시 연구팀은 이러한 "연결되지 않은 DNS" 인프라를 살펴보면서 간단한 질문을 던졌습니다. 훈련된 국가 차원의 공격자가 바라보는 방식과 똑같이 접근하면 어떨까? 

만약 우리가 아직 세계가 목격하지 못한 이 "취약성이 매우 높은" 인프라에 대한 대규모 공격을 시뮬레이션한다면 어떻게 될까요? 그 영향은 무엇일까요? 얼마나 광범위하게 확산될 수 있으며, 대규모 장악은 얼마나 빠르게 가능할까요? 

저희 분석가들은 정부 기관과 포춘 500대 기업을 포함한 표본 집단을 대상으로, 특히 마이크로소프트 인프라를 표적으로 삼아 이 위협 연구 프로젝트를 수행했습니다. 저희는 이 프로젝트에 " 댕글게돈(Danglegeddon )"이라는 이름을 붙였습니다.

---

우리의 접근 방식

사용되지 않는 DNS 인프라의 샘플 크기

초기 인프라 샘플 크기로 총 12,500개의 도메인을 대상으로 삼았습니다. 이는 Silent Push 데이터 세트에서 매일 관찰되는 전체 기업 및 인프라 변경 사항 중 극히 일부에 불과합니다. Silent Push는 각 대상 조직의 VDP(취약점 공개 프로그램)/BBP( 버그 바운티 프로그램 ) 및 수동 취약점 테스트를 위한 세이프 하버에 참여하고 있는 기업을 선정했습니다. 

우리가 확인한 모든 기록은 연결되지 않은 상태였으며 각 회사에 부담을 주었습니다. 그러나 12,500개의 최상위 도메인 중에서 16,000개의 연결되지 않은 서브도메인을 찾아냈고, 그중 4,000개를 자동으로 인수했습니다. 나머지 7,000개의 서브도메인은 인수 조건을 충족하는지 확인하기 위해 추가 조치가 필요했습니다. 검토 결과, 그중 5,000개는 서비스 제공업체의 보호 조치 덕분에 안전한 것으로 확인되었습니다.

단 하나의 기술: DNS 탈취  

이 시뮬레이션에서는 다양한 DNS 구성 오류와 광범위한 쿠키 세션 범위 설정을 이용하여 자격 증명 탈취 및 OAuth 리디렉션을 허용하는 피싱 캠페인을 성공적으로 실행했습니다. 이때 사용된 기법은 업계에서 오랫동안 사용되어 온 잘 알려진 기법 중 하나인 'Dangling DNS Takeover'였습니다. 

그 후, 간단한 에이전트 기반 계측 및 AI 워크플로우를 적용하여 DNS 도메인 및 서브도메인의 범위를 확장했으며, 이는 도메인 및 서브도메인 검색 및 열거 전반에 걸쳐 이 기술을 대규모로 그리고 가속화된 속도로 활용하는 데 있어 시너지 효과를 내는 요인으로 작용했습니다. 

AI를 활용하여 가속화 

연구가 진행됨에 따라 우리는 AI의 하위 도메인을 찾고, 열거하고, 밝혀내는 능력을 지속적으로 활용했습니다.

Claude 모델 Opus 5는 범위 내 BBP 및 VDP로 컨텍스트를 보강한 후 스크립트 생성을 신속하게 지원했습니다. 이 프로세스는 대상의 12,500개 도메인을 EdOverflow의 Can-I-take-over-xyz GitHub 프로젝트 에 있는 알려진 취약한 공급자의 CNAME에 매핑했습니다 . 

Silent Push의 Dangling DNS API를 사용하여 할당이 없거나 DNS 등록이 되어 있지 않은 리소스를 추가로 필터링했습니다. 이 기법을 통해 수백 개의 도메인을 선별하고, 제공업체의 가용성을 교차 검증했습니다. 그 결과, DNS 도메인 검증 없이도 사용자 지정 가능한 CNAME을 지원하는 새로운 등록기관 및 플랫폼을 신속하게 발견할 수 있었습니다. 이러한 발견 과정을 통해 알려지지 않은 취약한 제공업체를 여러 곳 찾아낼 수 있었습니다.

몇 시간 만에 우리는 모든 취약한 도메인을 대량으로 공격할 수 있는 완벽한 인수 스크립트를 확보했습니다. 보안 제공업체로서 우리는 이러한 조사를 수행할 때 법적 책임을 염두에 두고 있습니다. 고도화된 위협 행위자는 단순히 처음부터 모든 확인 가능한 도메인으로 범위를 넓혀 아침 커피를 마시며 대혼란을 일으킬 수도 있습니다.

취약한 상황 악용 및 부실한 IT 위생

피해 네트워크 대부분은 단순히 오래된 리소스 호출 방식을 사용하고 있었으며, 기업 웹사이트와 스크립트에서 직접 인바운드 리퍼런싱이나 XSS(크로스 사이트 스크립팅) 공격을 받고 있었습니다. 이러한 구조 덕분에 모의 공격이 가능했을 뿐만 아니라, 전 세계 어디에서든, 어떤 산업 분야든, 어떤 취약한 조직 인프라든 공격할 수 있다는 것을 입증할 수 있었습니다.

직원 이직, (M&A 활동을 통한) 통합된 인프라 소유권, 대규모 해고는 악용 가능성이 매우 높은 상황을 조성하며, 변경 관리 및 직원 해고 과정에서 IT 위생 관리가 철저하고 즉각적으로 이루어지지 않을 경우 조직은 더욱 취약해집니다.

마이크로소프트 인프라 = 가장 쉽고 접근성이 뛰어남

저희 팀은 마이크로소프트 Azure Blob Storage, Azure VM, 웹 앱, API 및 Power Pages 인스턴스를 시작점으로 삼아 연구를 진행했습니다. 미션 크리티컬 산업 분야에서 실제 인수 사례를 살펴보기 위한 초기 표본으로 정부, 금융, 제약 및 자동차 산업의 인프라를 선정했습니다. 동일한 기법을 반복적으로 적용했을 때 동일한 성공적인 결과를 얻을 수 있다는 점이 분명해졌습니다. 그 시점에서 저희는 인수 가능성의 규모를 이제 ​​막 탐색하기 시작했을 뿐이라는 사실을 깨달았습니다.  

영향

시뮬레이션 과정에서 우리는 자동차, 은행/금융, 에너지, 정부, 의료, 제약, 제조, 운송, 공공시설 등 다양한 산업 분야의 조직들을 살펴보았습니다.  

정부. 위에서 설명한 기법을 사용하여 미국 연방 정부 기관 하나를 대상으로 마이크로소프트 인프라를 활용하는 모든 가능한 시스템과 접근 가능한 직원 자격 증명에 적용했을 때 발생할 수 있는 파급 효과를 모델링했습니다.

• 즉각적인 영향은 수천 개의 시스템과 수백만 명의 직원에게 미쳐 여러 가지 혼란을 야기할 것입니다.
  • 예를 들어 국방부(DoD)에 미치는 파급 효과는 660억 달러에 달하는 예산에 영향을 줄 수 있습니다.
  • 국방부 인프라의 약 31%가 연방 정부 내에 있는 것으로 추정되는 만큼, 이번 인수로 200만 명이 넘는 직원이 사용하는 수천 개의 시스템이 영향을 받을 수 있습니다. 
• 부서 간 상호 의존성과 문서로 입증된 사이버 보안 감독 공백을 고려할 때, 공격 표면이 엄청나게 확대될 수 있습니다.
  • 연쇄 공격은 국방부를 훨씬 넘어 다양한 군사 부문과 국가 안보 시스템을 포함할 수 있으며, 국가 안보에 심각한 영향을 미칠 가능성이 있습니다.

은행업계. 동일한 기법을 사용하여 동일한 모의 공격을 대형 국제 은행에 적용한 결과, 마이크로소프트 인프라에 대한 은행업계의 높은 의존도를 고려할 때, 하위 산업 전반에 걸쳐 상당한 영향을 미칠 수 있음을 보여주는 모델링 결과가 나왔습니다.

• Azure는 전 세계 최대 은행의 80% 이상 , 주요 금융 기관의 75% 이상 에 클라우드 서비스를 제공하고 있으며 , Azure에 장애가 발생할 경우 심각한 문제와 혼란이 초래될 수 있습니다.
• 이러한 변화가 전 세계적으로 적용될 경우, 뱅크 오브 아메리카, UBS, 몬트리올 은행을 포함한 다국적 기업 전반에 걸쳐 고성능 위험 모델링, 안전한 데이터 워크로드, 생성형 AI 기능 배포에 영향을 미칠 것입니다. 
• 글로벌 금융 부문에 미치는 파급 효과로는 온라인 뱅킹 및 실시간 결제 마비, 거래 플랫폼 차단 등이 있습니다. 고객 계정 잠금, 거래 처리 지연, 기관 간 광범위한 의사소통 단절 등이 전 세계 소비자에게 영향을 미칠 것입니다. 

대형 제약회사. 글로벌 제약회사를 대상으로 한 당사의 다운스트림 모델은 수많은 제약회사가 Azure 클라우드를 사용하고 있다는 점을 고려하여 엄청난 인수 효과를 예측했습니다. 

• 전 세계 주요 제약 기업의 약 75%~85%가 운영에 마이크로소프트 애저를 활용하고 있는 것으로 추산됩니다. 이는 포춘 500대 기업을 포함한 제약 업계 기업뿐 아니라 전 세계의 비포춘 500대 기업까지 모두 포함하는 수치입니다.
• 예를 들어, 2017년 머크(Merck)를 공격한 낫페티아(NotPetya) 공격 (전 세계적으로 100억 달러 피해 추산)은 단 몇 분 만에 4만 개의 시스템을 마비시키고 14억 달러의 손실을 초래했으며, 보험사들의 강력한 반발을 불러일으켰습니다. 이러한 시스템 마비와 연쇄적인 문제 외에도, 이 공격은 10년 이상에 걸친 소송으로 이어진 중요한 보험 관련 판결을 낳았습니다.   
• 2026년에는 애보트 연구소 , 노보 노디스크 , 웨스트 제약 서비스 등을  대상으로 한 정교한 사이버 공격과 랜섬웨어 공격이 증가했습니다 .
• 인수합병이 급속도로 확산되어 여러 글로벌 제약 회사가 연루되는 규모로 커질 경우, 고성능 연구 개발이 저해되고 임상 시험이 중단될 뿐만 아니라, 전 세계적으로 의약품 및 치료 솔루션을 제공하는 데 필요한 공급망에 더욱 심각한 결과를 초래할 수 있습니다. 
• 조직 전체에 걸친 손실액은 수천억 달러에 달할 것으로 추산됩니다. 

자동차 분야. 포춘 500대 기업에 속하는 자동차 제조업체를 목표로, 저희는 유서 깊은 미국 자동차 회사의 서브도메인을 성공적으로 인수했습니다. 

• 역사적으로 볼 때, 최고급 자동차 제조업체에 대한 단 한 번의 사이버 공격은 수십억 달러의 손실을 초래하고 며칠 만에 국가 공급망을 마비시킬 수 있습니다.
  • 2025 년 재규어 랜드로버(JLR) 사이버 공격으로 인해 생산이 5주간 중단되었고, 회사에 직접적인 손실액은 3억 5천만 달러에 달했으며, 영국 경제 전반에 걸쳐 약 25억 달러의 피해를 초래했습니다. 이 공격은 5,000개 이상의 공급업체 및 딜러 조직에 영향을 미쳤고, 공급망 유지를 위해 전례 없는 정부 지원 대출을 촉발했습니다.
• 혼란은 빠르게 확산되어 자동차 제조업체를 넘어 다른 분야에도 영향을 미쳤습니다. 영국 중앙은행은 JLR의 가동 중단을 해당 분기 영국 GDP 감소의 한 요인 으로 지목했는데 , 이는 단일 제조업체의 IT 시스템 장애가 국가 경제 지표에 어떻게 파급 효과를 미칠 수 있는지, 그리고 생산 일정부터 공급망 물류에 이르기까지 운영 전반에 걸쳐 얼마나 큰 영향을 받는지에 따라 그 파급 효과가 얼마나 커지는지를 보여줍니다. 
• 이 자동차 제조업체의 하위 도메인을 탈취한 공격자는 다음과 같은 작업을 수행할 수 있습니다.
  • 합법적인 자동차 제조업체의 도메인을 이용하여 악성 콘텐츠를 호스팅하고 피싱 페이지, 멀웨어 또는 기타 악성 콘텐츠를 제공하는 행위.
  • 신뢰받는 브랜드의 서브도메인을 악용하여 평판에 손상을 입히세요.
  • 사용자 자격 증명을 탈취하여 합법적인 서비스처럼 보이는 정교한 피싱 페이지를 만드세요.
  • 쿠키 탈취를 시도하고, 상위 도메인으로 범위가 지정된 경우 세션 쿠키까지 탈취할 수 있습니다. 
  • 정식 브랜드의 하위 도메인이 보안 도구의 화이트리스트에 등록되어 있으면 보안 제어를 우회하여 악성 콘텐츠가 필터를 통과할 수 있습니다.
  • 이 취약점은 공격자가 해당 브랜드 도메인에 대한 신뢰도를 악용하여 악의적인 활동을 수행할 수 있으므로 심각한 보안 위험을 초래합니다.

---

모의 공격에 대한 세부 정보

위의 AI 연구에서 설명했듯이, 우리는 도메인 인수에 가장 적합한 방법을 파악하기 위해 다양한 방식으로 계정을 검토했습니다. 이 워크플로를 통해 우리는 변동성과 인프라 의존성으로 인해 취약하다고 판단되는 주요 산업 및 정부 기관을 파악할 수 있었습니다. 모든 인수 건은 책임감 있게 공개되었습니다. 

각 사례에서, 저희 연구원들은 해당 조직의 사용되지 않는 DNS 인프라와 관련된 버려진 리소스를 성공적으로 확보했습니다. 그 후 해당 조직은 원하는 콘텐츠를 제공하기 위해 자사 서브도메인을 저희 사이트로 리디렉션했습니다. 저희는 관련된 각 조직에 대해 VDP(가상 도메인 배포 플랫폼) 등을 통해 노출된 도메인/사용되지 않는 DNS 인프라에 대해 알렸습니다. 

우리는 파악한 취약한 DNS 인프라 목록을 바탕으로 각 부문에서 한 곳씩 조직을 선정하고 테스트 참여 의사를 평가했습니다. 우리의 목표는 제대로 관리되지 않는 DNS 인프라를 가진 거의 모든 조직이 서브도메인 탈취 공격에 취약하다는 것을 입증하는 것이었습니다.

탈취된 서브도메인 자체는 침입이 아닙니다. 이는 공격의 시작점 또는 신뢰할 수 있는 발판 역할을 합니다. 공격자는 서브도메인이 상위 조직의 평판을 계승하고 TLS 인증서를 획득할 수 있기 때문에, 일반적으로 이를 이용하여 그럴듯한 피싱 페이지나 자격 증명 수집 양식을 게시하거나, 잘못 구성된 경우에는 공유 세션 토큰을 직접 가로채는 데 사용합니다. 

여기서부터 내부 시스템에 침투하거나 실제 운영 중단을 초래하려면, 조직이 잘못된 DNS 레코드 자체 외에도 취약한 다중 요소 인증, 시스템 간 지나치게 광범위한 내부 신뢰, 또는 필요 이상으로 신뢰를 확장하는 제3자 관계와 같은 추가적인 오류를 범해야 합니다. 잘못된 DNS 레코드는 초기 침투 경로일 뿐이며, 궁극적인 영향의 심각성은 그 경로를 확보한 후 얼마나 많은 보안 계층이 무너지는지에 따라 달라집니다. 이는 상당 부분 이전 유효한 장치의 위치와 이전 DNS 레코드가 가리키던 장치가 여전히 존재한다는 내부적인 신뢰도에 달려 있습니다.

아래는 부문별 시뮬레이션 세부 분석입니다.

---

사일런트 푸시 플랫폼이 적용된 방법

정부 시뮬레이션

이 시뮬레이션에서는 표본 크기에서 미국 연방 기관 하나를 선택했습니다. 이 기관은 DNS 레코드가 할당되지 않은 Azure Blob Storage 리소스를 가리키고 있어 취약한 상태였습니다. 

사이트를 호스팅한 후, 해양 테마의 서브도메인을 스피어 피싱 공격에 자연스럽게 통합할 수 있습니다. 이 도메인은 사람의 검사로는 탐지하기 어려울 뿐만 아니라, .gov 도메인이 갖는 신뢰도를 악용하여 자동화된 보안 시스템을 우회할 수도 있습니다. 

 

---

은행 시뮬레이션

두 번째 샘플링에서는 프랑스의 대형 글로벌 은행을 선정했습니다. 이 은행은 미국 지사와 마찬가지로 IT 관리 문제에 직면해 있었습니다. 즉, 애플리케이션을 가리키는 할당되지 않은 Azure Blob 스토리지 리소스를 방치해 둔 것이었습니다. 

---

자동차 제조 시뮬레이션

세 번째 시뮬레이션은 많은 사랑을 받는 미국 포춘 500대 자동차 대기업입니다. 

해당 회사는 Azure 가상 머신(VM)에서 호스팅되는 개발용 애플리케이션 게이트웨이를 가리키는 DNS 레코드를 남겨둔 채로 방치했습니다. 이 장치는 잠재적으로 운영 환경에 노출되어 내부 스크립트 및 API 호출로부터 저장된 XSS 공격을 수동적으로 수신할 수 있습니다. 

개발자의 자격 증명(예: API 키 및 인증 헤더)이 탈취되어 재사용될 경우 회사 시스템에 대한 접근 권한을 확장하는 데 악용될 수 있습니다. 또한, 가상 머신은 악성코드를 호스팅하는 플랫폼으로 활용될 수 있으며, 이때 악성코드는 중요한 TLS 잠금 기능을 활용할 수 있습니다. 

---

제약 시뮬레이션

우리가 확인한 한 주요 제약 회사는 애플 기기 사용 설명서를 참조하라는 기록을 남겼습니다. 이는 공격자가 특정 목표와 사건에 집중할 수 있도록 하는 강력한 단서를 제공했습니다.

발견 과정의 증거로, 사용자 지정 CNAME 할당이 가능한 온라인 출판 플랫폼인 Paperturn을 찾았습니다. 이 플랫폼은 PDF와 같은 파일을 호스팅하고 변환할 수 있습니다.

---

플랫폼 활용: AI 계측을 통한 능동적 사냥 메커니즘

클로드는 대량 데이터 요약과 DNS 미등록 레코드 검색 분야에서 뛰어난 역량을 보여주었습니다.

리소스를 인계받을 수 있는지 확인하기 위한 간단한 가용성 검사와 함께 다음과 같은 작업을 수행합니다.

가상의 시나리오였던 '댕글게돈'이 순식간에 현실적인 위협으로 변했습니다. 

컨텍스트 창을 정리하고 에이전트 팀을 클로드로 교체한 후, 인프라 구축 자동화는 간단한 작업이 되었으며, CVP 플래그를 우회하여 버튼 하나만 누르면 Dangle Day를 시작할 수 있었습니다.

완화 조치에 대한 정보를 제공하는 분석 엔진

Silent Push는 간단한 1단계 프로세스로 이 IT 위생 작업을 Defender 플레이북에 추가하는 데 필요한 정보를 제공합니다. 그 후 DNS 레코드를 수정하여 잠재적인 재앙을 방지할 수 있습니다.

지금까지 설명한 모든 것은 기본 데이터 수집 방식 덕분에 가능했습니다. 대부분의 서브도메인 탈취 시도는 추측에서 시작됩니다. 분석가는 목표 도메인을 선택하고, 해당 도메인에 대해 워드 리스트를 실행하고, 반환된 결과를 해석한 다음, 그 결과 중 어느 것이 소유권이 없는 리소스를 가리키는지 확인합니다. 이러한 접근 방식은 테스트 대상 조직 하나와 스캔이 실행되는 시점에 누군가가 추측해서 제시한 호스트 이름만 찾아낼 뿐입니다.

Silent Push는 추측하지 않습니다. 데이터 세트에 있는 모든 호스트 이름을 매일 다시 확인합니다. CNAME의 대상이 더 이상 확인되지 않거나, MX 호스트가 사라지거나, 위임된 네임 서버가 작동을 멈추는 경우, 특정 대상에 대해 하나씩 확인하는 것이 아니라 관찰 대상 네임스페이스 전체에 걸쳐 해당 문제가 발생한 당일에 응답이 변경되는 것을 확인할 수 있습니다. 따라서 사용되지 않는 레코드는 별도의 검사를 실행해야 하는 것이 아니라 지속적인 확인 과정의 결과 로 자연스럽게 발견됩니다 .

이러한 차이점은 공격자보다 방어자에게 훨씬 더 중요합니다. 조직이 침해당하는 원인이 되는 기록은 아무도 생성한 것을 기억하지 못하는 기록입니다. 이러한 기록은 CMDB에 나타나지 않고, 최근 침투 테스트 범위에도 포함되지 않았으며, 2년 전에 재편성된 팀에 속해 있습니다. 조직에 자체 인프라를 스캔하도록 요청하는 것은 이미 소유하고 있다고 알고 있는 것만 찾아낼 뿐입니다. 저희의 검색 프로세스는 이러한 의존성이 없기 때문에 이 연구에서 다룬 12,527개의 최상위 도메인에서 85,254개의 미확인 기록과 16,544개의 검토 가치가 있는 행을 찾아낼 수 있었습니다.

Dangling DNS 뷰 읽기

아래 스크린샷은 도메인에 대한 단일 창 레코드인 Total View 내의 Dangling DNS 탭을 보여줍니다. 상단에는 PADNS, WHOIS, 인증서, 서브도메인, 위협 피드 탭이 있습니다. Dangling DNS는 동일한 레코드의 한 측면이기 때문에 이 탭들 옆에 위치합니다. 여기에서 찾은 모든 정보는 페이지를 벗어나지 않고도 수동 DNS 기록, 인증서 발급 및 조직의 기타 DNS 활동 내역으로 바로 연결됩니다.

두 개의 패널이 제 역할을 합니다.

"변경되지 않은 DNS 레코드", "추가된 DNS 레코드", "제거된 DNS 레코드"로 분류된 차트는 레코드 유형에 따라 색상으로 구분됩니다. NS 레코드는 청록색, MX 레코드는 파란색, CNAME 레코드는 노란색입니다. DNS 확인은 매일 이루어지므로 이 차트는 스냅샷이 아닌 변경 내역을 보여줍니다. "변경되지 않음"은 최소 한 번의 수집 주기 동안 유지된 기존 노출을 나타냅니다. "추가됨"은 마지막 수집 주기 이후 새로 생성된 노출을 나타내며, 보안 담당자는 이 부분을 기준으로 경고를 설정해야 합니다. "제거됨"은 정리되었거나 더 이상 확인되지 않는 레코드를 보여줍니다.

아래의 'Dangling DNS Record Details' 표는 각 탭에 개수가 표시되고 행당 4개의 열로 구성된, 유형별로 동일한 결과를 분류하여 보여줍니다. 'Query'는 조직 자체의 호스트 이름입니다. 'Answer'는 해당 호스트 이름이 여전히 가리키는 위치입니다. 'Foreign_target'은 응답이 내부인지 외부인지를 나타내며, 손상된 포인터가 조직이 여전히 관리하는 곳으로 연결되는지 아니면 그렇지 않은 곳으로 연결되는지를 알려줍니다. ' External'은 탈취 위험이 있는 위치를 나타냅니다. 'State'는 차트와 동일하게 변경되지 않았거나 제거되었음을 나타냅니다.

이 네 개의 스크린샷에 나타난 수치가 핵심입니다. 한 금융 기관은 27개의 사용되지 않는 CNAME 레코드와 1개의 사용되지 않는 MX 레코드를 가지고 있었습니다. 한 자동차 제조업체는 단일 최상위 계정에 1,437개의 사용되지 않는 CNAME 레코드를 가지고 있었습니다. 한 제약 회사는 시뮬레이션에 사용한 Paperturn 레코드를 포함하여 271개의 사용되지 않는 CNAME 레코드를 가지고 있었습니다. 한 연방 기관은 221개의 사용되지 않는 CNAME 레코드, 10개의 사용되지 않는 MX 레코드, 그리고 사용되지 않는 NS 위임 레코드를 가지고 있었는데, 이 중 일부는 사용되지 않는 Azure Blob Storage를 가리키고 있었습니다. 이 모든 조직은 이러한 사실을 몰랐습니다. 모든 조직은 공개된 정보 공개 채널을 통해 연락할 수 있었습니다.

CNAME, MX, NS가 각각 다른 유형의 위험을 수반하는 이유는 무엇일까요?

CNAME 레코드가 제대로 연결되지 않은 경우입니다. 호스트 이름은 여전히 ​​응답하지만, 해당 호스트 이름이 가리키는 서비스는 더 이상 프로비저닝되지 않습니다. 공급자 측에서 해당 리소스 이름을 소유한 업체는 호스트 이름과 상위 브랜드의 평판을 상속받고, 대부분의 경우 자동 도메인 유효성 검사를 통해 유효한 TLS 인증서를 받게 됩니다. 이는 모든 시뮬레이션에서 활용한 상황이며, 가장 흔하게 발생하는 상황이므로 네 개의 차트 모두에서 노란색 막대가 가장 큰 비중을 차지합니다.

MX 레코드가 유효하지 않습니다. 해당 도메인으로 발송되는 메일이 더 이상 존재하지 않는 호스트로 라우팅되고 있습니다. 이로 인해 두 가지 문제가 발생합니다. 첫째, DMARC 보고서를 포함하여 해당 교환기를 통해 라우팅되는 모든 정상적인 메일이 오류 없이 전송되지 않습니다. 둘째, 더 심각한 문제는 공격자가 해당 메일 호스트를 점유하거나 재등록할 수 있는 경우, 해당 조직으로 발송되는 수신 메일을 가로챌 수 있다는 것입니다. 이는 비밀번호 재설정 링크, 청구서, 공급업체 서신, 그리고 대부분의 서비스 제공업체에서 인증서 발급 및 계정 복구를 위해 사용하는 이메일 기반 인증 절차 등을 포함합니다.

댕글링 NS 레코드는 세 가지 유형 중 가장 위험하며 발생 빈도가 가장 낮아 간과되기 쉽습니다. 댕글링 NS 레코드는 영역 또는 하위 영역이 더 이상 응답하지 않는 네임 서버에 위임되었음을 의미하며, 일반적으로 도메인 만료 또는 호스팅된 DNS 영역 삭제로 인해 발생합니다. 해당 네임 서버를 장악한 공격자는 그 아래의 전체 영역을 제어할 수 있게 됩니다. 호스트 이름 하나뿐 아니라 모든 호스트 이름은 물론, 존재하지 않는 A, MX, 와일드카드 인증서 유효성 검사에 사용되는 TXT 레코드까지 생성할 수 있는 권한을 갖게 됩니다. 공격자에게는 댕글링 NS 레코드 하나가 댕글링 CNAME 레코드 수천 개보다 더 큰 위협이 될 수 있습니다.

어떻게 해야 할까요?

레코드 유형은 영향 범위 순서대로 작업하십시오. 먼저 NS 레코드, 그다음 MX 레코드, 그다음 외부 CNAME 레코드, 마지막으로 내부 레코드 순입니다.

각 레코드에 대한 해결 방법은 권한 영역에서 해당 레코드를 삭제하는 것입니다. 해당 레코드의 서비스가 실제로 여전히 사용 중인 경우에만 다시 가리키도록 설정하십시오. 호스트 이름이 활성 페이지나 스크립트에서 여전히 참조되고 기본 리소스에 대한 소유권을 주장할 수 있는 경우, 먼저 해당 리소스를 안전하게 회수한 다음 참조와 레코드를 제거하십시오.

이 문제를 해결하는 방법은 순서 규칙을 적용하는 것입니다. 즉, 클라우드 리소스가 종료되기 전에 DNS 레코드를 먼저 삭제하는 것입니다. 이 연구에서 발견된 취약점의 대부분은 팀에서 스토리지 계정, 웹 애플리케이션 또는 VM을 프로비저닝 해제하면서 DNS 레코드를 남겨두는 데서 비롯됩니다. 리소스 삭제 실행 매뉴얼에서 이 순서를 반대로 하면 근본적인 문제를 해결할 수 있습니다.

그 이상의 조치

• 사용자 지정 호스트 이름을 승인하기 전에 도메인 소유권 확인을 요구하는 공급자를 선호하세요. Azure에서는 asuid와 같은 TXT 확인 레코드를 사용하면 됩니다. 소유권을 주장할 수 없는 것으로 확인된 4,925개의 레코드는 바로 이러한 공급자 측 보호 조치를 통해 보호할 수 있습니다.
• 모든 DNS 레코드에 담당자와 검토 날짜를 지정하십시오. 직원 이직, 해고, 인수합병 후 통합된 인프라 소유권은 관리되지 않는 영역을 발생시키는 원인이며, 현재 대부분의 조직에서는 이러한 상황으로 인해 DNS 검토가 자동으로 수행되지 않습니다.
• CAA 레코드를 게시하여 네임스페이스에 대한 인증서를 발급할 수 있는 인증 기관을 제한하고, 요청하지 않은 인증서 발급에 대한 인증서 투명성 로그를 모니터링하십시오.
• 도메인 접미사/최상위 도메인(TLD)별 목록 표시를 허용하는 모든 보안 제어를 감사하십시오. 신뢰할 수 있는 브랜드에서 인수한 서브도메인은 이러한 필터를 통과합니다.
• 주기적인 모니터링이 아닌 지속적인 모니터링을 실시하세요. 당사의 Dangling DNS API는 이러한 결과를 프로그래밍 방식으로 반환하므로, 분기별 프로젝트가 아닌 보안 운영팀과 IT팀에 알림을 보내는 예약된 작업이 됩니다.

---