Vad är domänkapning?
Domänkapning innebär att någon utan behörighet tar kontroll över en domän eller dess centrala inställningar. Angriparen kan försöka flytta domänen, byta namnservrar eller ändra DNS så att webbtrafik och e-post styrs till fel destination.
En kapning kan börja med ett stulet inloggning, svag behörighetshantering eller social manipulering. Därför behöver skyddet omfatta både människor, processer och teknik.
Skydda domänen i flera lager
Börja med fullständig kontroll över vilka domäner företaget har, vem som är registrerad innehavare och vilka personer som kan ändra dem. Använd individuella konton, stark autentisering och minsta möjliga behörighet. Se också till att förnyelser och kontaktuppgifter övervakas.
Registry lock kan lägga till kontroller på registernivå för prioriterade domäner. För .se beskriver Internetstiftelsen skydd mot bland annat omdelegering, avregistrering, innehavarbyte och registrarbyte. För .com skiljer Verisign mellan statusar på registernivå och registrarnivå. Exakt kommersiell tjänst och process måste bekräftas med leverantören.
- Korrekt innehavare och aktuella kontaktuppgifter
- Individuella konton och stark autentisering
- Kontrollerad förnyelse och ändringshantering
- Registry lock för kritiska domäner
DNSSEC ersätter inte registry lock
DNSSEC och registry lock löser olika problem. DNSSEC gör det möjligt att verifiera DNS-svarets integritet medan registry lock skyddar vissa administrativa åtgärder hos registret. Ett företag kan behöva båda, tillsammans med säker DNS-drift och kontroll av vem som kan ändra enskilda DNS-poster.
Registry lock skyddar inte automatiskt webbapplikationen eller varje post hos DNS-operatören.
Så förbereder ni er för en incident
Dokumentera vem som ska kontaktas om en domän ändras oväntat, vilka bevis som behöver säkras och hur verksamheten ska kommunicera. En återställningsplan bör innehålla leverantörskontakter, behöriga personer och prioriteringar för webb och e-post.
Om ni misstänker en kapning, ändra inte fler inställningar än nödvändigt innan ni har dokumenterat läget. Kontakta domänleverantören genom en känd och betrodd kanal och involvera intern IT- och säkerhetsansvarig.