अवलोकन
एक सुरक्षा शोधकर्ता के रूप में मेरे काम का एक बड़ा हिस्सा इंटरनेट पर उजागर उत्पादों और सेवाओं को खोजना है। हर मामले में, मैंने यह HTTP रिस्पॉन्स बॉडी और हेडर की जांच करके विशिष्ट कीवर्ड खोजने के जरिए किया। लेकिन मैंने सोचा, क्या इन उत्पादों का पता लगाने का कोई और तरीका हो सकता है? यहीं से मेरी रिसर्च DNS तक फैलती है।
यह ब्लॉग DNS TXT रिकॉर्ड को निष्क्रिय रूप से पहचान कर उत्पादों और सेवाओं को मैप करने के तरीके को समझाएगा। इन रिकॉर्ड की जांच करके, हम सीधे लक्ष्य की जांच किए बिना किसी संगठन के बुनियादी ढांचे में उपयोग की जाने वाली तकनीकों की पहचान कर सकते हैं। इस ब्लॉग में, मैं एक हालिया वास्तविक मामले पर भी चर्चा करूंगा: Salesloft सप्लाई चेन उल्लंघन, और यह भी कि ये पहचान विधियां केवल सिद्धांत से परे क्यों महत्वपूर्ण हैं।
पहचान की सतह के रूप में DNS TXT रिकॉर्ड
अटैक सरफेस मैनेजमेंट में TXT रिकॉर्ड को अक्सर नजरअंदाज किया जाता है, लेकिन ये इंटेलिजेंस की खान हैं। संगठन नियमित रूप से इनका उपयोग डोमेन वेरिफिकेशन, ईमेल प्रमाणीकरण (SPF, DKIM, DMARC), और तृतीय-पक्ष सेवा एकीकरण के लिए करते हैं। इनमें से प्रत्येक रिकॉर्ड अनिवार्य रूप से एक सुराग है जो यह उजागर कर सकता है कि एक संगठन किन सेवाओं पर निर्भर करता है।
एक विशेष रूप से उपयोगी (और सामान्य) पैटर्न है google-site-verification= सिंटैक्स। जब यह किसी डोमेन के TXT रिकॉर्ड में मौजूद होता है, तो इससे पता चलता है कि संगठन ने Google Workspace को एकीकृत किया है। पहचान के दृष्टिकोण से, यह मूल्यवान है क्योंकि:
इसके लिए कोई घुसपैठ वाला स्कैनिंग नहीं चाहिए — केवल निष्क्रिय DNS लुकअप।
लक्ष्य होस्ट को कभी पता नहीं चलेगा कि आपने उनके बुनियादी ढांचे को स्कैन किया, क्योंकि आप सार्वजनिक DNS सर्वर से क्वेरी कर रहे हैं।
यह सीधे विक्रेता और सेवा उपयोग से मेल खाता है।
जब वे विक्रेता किसी उल्लंघन का सामना करते हैं तो यह संभावित एक्सपोज़र के शुरुआती संकेतक प्रदान करता है।
अपना खुद का स्कैन शुरू करें
आप आज Nuclei और Amass — ओपन सोर्स टूलिंग और फ्रेमवर्क — का उपयोग करके Salesloft Drift एक्सपोज़र का पता जल्दी से लगा सकते हैं। इन टूल का उपयोग करके, आप किसी भी डोमेन पर एक सरल DNS चेक कर सकते हैं। यदि drift-domain-verification स्ट्रिंग मिलती है, तो यह इंगित करता है कि लक्ष्य अपने बुनियादी ढांचे में Drift चला रहा है। निम्नलिखित कमांड को इस प्रकार चलाएं:
Amass
एन्यूमेरेशन प्रक्रिया पूरी होने के बाद, आपको assoc सब-कमांड का उपयोग करके Open Asset Model (OAM) से डेटा निकालना होगा:
तारीख और डोमेन को उचित रूप से समायोजित करें।
यह कमांड चलाने के बाद यह संबद्ध संगठनों की एक सूची इस प्रकार प्रस्तुत करेगा:
Nuclei
google.com को उस डोमेन से बदलें जिसे आप स्कैन करना चाहते हैं। आउटपुट इस प्रकार दिखेगा:
मुझे इसकी परवाह क्यों करनी चाहिए?
सप्लाई चेन समझौते विशेष रूप से खतरनाक हैं क्योंकि वे भरोसे का शोषण करते हैं। इन संदर्भों में पारंपरिक पहचान रणनीतियां अक्सर दुश्मन के अभियानों से पीछे रह जाती हैं। TXT रिकॉर्ड विश्लेषण एक हल्का, स्केलेबल तरीका प्रदान करता है जिससे एक प्रारंभिक चेतावनी प्रणाली बनाई जा सके। यह तकनीक DNS डेटा से एक उत्पाद-सेवा एक्सपोज़र मैप बनाना है। यह कैटलॉग करने से कि कौन से डोमेन किन विक्रेताओं पर निर्भर हैं, रक्षकों को यह स्पष्ट तस्वीर मिलती है कि उनकी अटैक सरफेस सप्लाई चेन में कहां तक फैलती है।
जब Salesloft जैसे उल्लंघन होते हैं, तो यह मैप तत्काल प्रतिक्रिया और अंध एक्सपोज़र के बीच का अंतर बन जाता है। इस तकनीक का उपयोग करने का मुख्य लाभ यह है कि कंपनियों को अपने डोमेन को सत्यापित करने के लिए एक TXT रिकॉर्ड होना चाहिए; यदि नहीं है, तो तृतीय-पक्ष सेवा कट जाएगी या ऑफलाइन हो जाएगी।
Salesloft Drift: वास्तविक दुनिया का संदर्भ
DEFCON33 में मेरी बात के तुरंत बाद, एक Salesloft सप्लाई चेन उल्लंघन हुआ, और यह उजागर करता है कि यह दृष्टिकोण केवल एक शोध अभ्यास क्यों नहीं है। हमलावरों ने संगठनों तक पहुंच प्राप्त करने के लिए Drift इंटीग्रेशन का शोषण किया, जिससे पारंपरिक परिधि नियंत्रण प्रभावी रूप से बाईपास हो गए।
यदि कोई संगठनों द्वारा निर्भर तृतीय पक्षों की तेज़ी से पहचान कर सके — विशेष रूप से TXT रिकॉर्ड के माध्यम से Salesloft Drift — तो आप बेहतर स्थिति में होंगे:
थ्रेट हंटिंग को प्राथमिकता दें: यह जानते हुए कि Drift प्रभावित हुआ था, आप तुरंत यह दायरा तय कर सकते हैं कि संदिग्ध व्यवहार के लिए अपने परिवेश में कहां देखना है।
तृतीय-पक्ष एक्सपोज़र का जोखिम आकलन करें: कई संगठन सप्लाई चेन हमलों से प्रभावित हो सकते हैं; एक रेड/ब्लू टीमर के रूप में, आप इन तृतीय-पक्ष सेवाओं के प्रति एक्सपोज़र को आसानी से मैप कर सकते हैं।
घटना प्रतिक्रिया गति में सुधार करें: विक्रेता प्रकटीकरण या मीडिया कवरेज का इंतजार करने के बजाय, आप सेवा उपयोग को सक्रिय रूप से पहचान सकते हैं।
अंतिम विचार
Salesloft घटना हमें याद दिलाती है कि आज के खतरे के माहौल में, आपकी सुरक्षा उतनी ही मजबूत है जितनी आपका सबसे कमजोर विक्रेता। TXT रिकॉर्ड पहचान कोई सर्वव्यापी समाधान नहीं है, लेकिन निर्भरताओं को उजागर करने का यह एक बहुत प्रभावी तरीका है।
जैसे-जैसे हमलावर भरोसे के रिश्तों का फायदा उठाते रहते हैं, रक्षकों को अपने जोखिमों को समझने के लिए सरल और स्केलेबल तरीकों की जरूरत है। TXT रिकॉर्ड ऐसा एक तरीका है — एक अक्सर नजरअंदाज किया जाने वाला पहचान विधि जिसके महत्वपूर्ण वास्तविक दुनिया प्रभाव हैं।