Wat zijn dangling DNS-records en waarom zijn ze gevaarlijk voor je organisatie?

Dangling DNS-records zijn DNS-records die verwijzen naar een IP-adres of domeinnaam die niet meer bestaat, of waar jij in ieder geval geen controle meer hebt. Je kan het vergelijken met een wegwijzer naar een gebouw dat eigenlijk al gesloopt is. Hoewel de wegwijzer er nog staat, leidt die niet meer naar een relevante plaats.

In de meeste gevallen ontstaan dangling DNS-records wanneer je een server of online dienst uitschakelt, zonder het bijhorende DNS-record te verwijderen.

Zo'n 'lege verwijzing' houdt verschillende risico's in. Aanvallers kunnen dangling DNS-records gebruiken om internet- of e-mailverkeer te kapen en zo phishing en malware te verspreiden. Dat voorkom je liever, want die kwaadaardige campagnes hebben serieuze gevolgen voor de beveiliging en reputatie van je organisatie.

Hoe ontstaan dangling DNS-records?

Dangling DNS-records ontstaan dus wanneer je een dienst stopzet of verwijdert, maar de bijhorende DNS-instellingen op je domeinnaam niet wijzigt of verwijdert.

In deze scenario's komen bungelende DNS-records voor:

Stopzetting van een clouddienst of server: je stopt het gebruik van een server, app of clouddienst zonder het bijhorende DNS-record aan te passen of te verwijderen. Het IP-adres of de hostnaam dat gekoppeld was aan die dienst, wordt vrijgegeven wanneer jij die stopzet. Als het DNS-record dat daarnaar verwees niet wordt aangepast of geschrapt, blijft je (sub)domeinnaam verwijzen naar die 'lege locatie'.

• Risico: een aanvaller neemt het vrijgekomen IP-adres in en host er een kwaadaardige dienst op, bijvoorbeeld om malware te verspreiden. Het dangling DNS-record op jouw domeinnaam verwijst dan plots naar die malafide service.

Een verhuizing: je verhuist je website of app naar een nieuwe server of hostingpartner, terwijl het DNS-record dat verwijst naar de oude locatie blijft bestaan.

• Risico: net zoals bij de stopzetting van een service, kunnen aanvallers ook in dit geval het vrijgekomen IP-adres of hostnaam overnemen. Ze maken dan gebruik van jouw dangling DNS-record om te verwijzen naar hun kwalijke website.

Vervallen domeinnaam: je laat een domeinnaam vervallen die verwees naar een externe dienst of een nameserver, zonder de DNS-records op je actieve domeinnamen, die op hun beurt daarnaar verwijzen, te wijzigen en verwijderen.

• Risico: aanvallers kunnen de vervallen domeinnaam registreren. Alle DNS-records die van jouw actieve domeinnaam verwijzen naar de vervallen domeinnaam, worden plots gecontroleerd door die aanvaller. Dat leidt tot een takeover van jouw actieve (sub)domeinnaam met kwalijke campagnes en reputatieschade als gevolg.

Wat kan er allemaal mislopen?

Aanvallers die via dangling DNS-records de controle krijgen over een oude dienst, domeinnaam of nameserver, kunnen schade aanrichten op verschillende manieren. Onder andere deze zaken kunnen misgaan.

Phishingaanvallen

Internetcriminelen die de controle krijgen over een (sub)domeinnaam, kunnen daar een website of klantenportaal op hosten dat nagenoeg identiek is aan jouw website of portaal. Omdat het adres van de website legitiem lijkt, hebben bezoekers ook vertrouwen in die website en zijn ze geneigd om persoonlijke gegevens, zoals wachtwoorden en betaaldetails, in te voeren. Gegevens die rechtstreeks in handen van de aanvallers komen.

Verspreiding van malware

Net zoals dat gaat bij phishingaanvallen, kunnen aanvallers ook een (sub)domeinnaam gebruiken om virussen, ransomware en andere kwalijke software te verspreiden. Nietsvermoedende bezoekers vertrouwen het webadres en worden geïnfecteerd met malware.

Kapen van e-mailverkeer

Cybercriminelen kunnen ook e-mailverkeer kapen door oude verwijzingen naar e-maildiensten over te nemen. Op die manier onderscheppen ze alle e-mails van jouw organisatie. Een dubbel risico: je verliest niet alleen belangrijke e-mails, maar aanvallers die controle hebben over jouw e-mail, kunnen via die weg ook controle krijgen over allerlei andere diensten.

Reputatieschade

Een rechtstreeks gevolg van een phishingcampagne in jouw naam, is reputatieschade. Zelfs als blijkt dat er eigenlijk geen gegevens werden buitgemaakt. Het feit dat kwalijke campagnes geassocieerd worden met jouw (merk)naam, schaadt het vertrouwen van klanten en partners in jouw organisatie.

Voorkom dangling DNS

Er zijn een paar stappen die je als organisatie kan zetten om te vermijden dat dangling DNS-records opduiken.

De meest evidente actie is om regelmatig de DNS-instellingen van je domeinnaam (of domeinnamen) te auditen. Herken je een bepaald record niet, of zie een DNS-record dat verwijst naar een dienst die je niet meer gebruikt? Dat zijn dangling DNS-records. Je verwijdert ze best direct.

Monitor ook wanneer je domeinnamen vervallen en verleng ze tijdig. Gebruik bijvoorbeeld de automatische verlenging om zeker te zijn dat je de controle over je domeinnaam niet verliest. Zit je met een groot portfolio? Dan helpen we je graag bij het managen van je domeinnamen.

Maak tenslotte goede afspraken wanneer je een website verhuist of met een nieuwe cloudpartner gaat samenwerken, zodat er geen lege verwijzingen of dangling DNS-records blijven bestaan na zo'n migratie.