Mengurangi pengamanan subdomain di Azure App Service

  • Artikel

Pengamanan subdomain adalah ancaman umum bagi organisasi yang secara teratur membuat dan menghapus banyak sumber daya. Pengambilalihan subdomain dapat terjadi saat Anda memiliki rekaman DNS menunjuk ke sumber daya Azure yang diprovisikan. Rekaman DNS semacam itu juga dikenal sebagai entri "DNS yang menjuntai". Pengambilalihan subdomain memungkinkan aktor jahat untuk mengalihkan lalu lintas yang ditujukan untuk domain organisasi ke situs yang melakukan aktivitas berbahaya.

Risiko pengamanan subdomain meliputi:

  • Kehilangan kontrol atas konten subdomain
  • Panen cookie dari pengunjung yang tidak terduga
  • Kampanye pengelabuan
  • Risiko serangan klasik lebih lanjut seperti XSS, CSRF, bypass CORS

Pelajari selengkapnya tentang Subdomain Takeover di Dangling DNS dan pengamanan subdomain.

Azure App Service menyediakan Layanan Reservasi Nama dan token verifikasi domain untuk mencegah pengamanan subdomain.

Cara App Service mencegah pengamanan subdomain

Setelah penghapusan aplikasi App Service atau lingkungan App Service (ASE), penggunaan kembali DNS yang sesuai langsung dilarang kecuali untuk langganan milik penyewa langganan yang awalnya memiliki DNS. Dengan demikian, pelanggan diberikan beberapa waktu untuk membersihkan asosiasi/pointer apa pun ke DNS tersebut atau merebut kembali DNS di Azure dengan membuat ulang sumber daya dengan nama yang sama. Perilaku ini diaktifkan secara default pada Azure App Service untuk sumber daya "*.azurewebsites.net" dan "*.appserviceenvironment.net", sehingga tidak memerlukan konfigurasi pelanggan apa pun.

Contoh skenario

Langganan 'A' dan langganan 'B' adalah satu-satunya langganan milik penyewa 'AB'. Langganan 'A' berisi 'pengujian' aplikasi web App Service dengan nama DNS 'test'.azurewebsites.net'. Setelah penghapusan aplikasi, hanya langganan 'A' atau langganan 'B' yang akan dapat segera menggunakan kembali nama DNS 'test.azurewebsites.net' dengan membuat aplikasi web bernama 'test'. Tidak ada langganan lain yang akan diizinkan untuk mengklaim nama tepat setelah penghapusan sumber daya.

Bagaimana Anda dapat mencegah pengamanan subdomain

Saat membuat entri DNS untuk Azure App Service, buat rekaman TXT asuid.{subdomain} dengan ID Verifikasi Domain. Ketika catatan TXT seperti itu ada, tidak ada Langganan Azure lain yang dapat memvalidasi Domain Kustom atau mengambil alih kecuali mereka menambahkan ID verifikasi token mereka ke entri DNS.

Catatan ini mencegah pembuatan aplikasi App Service lain menggunakan nama yang sama dari entri CNAME Anda. Tanpa kemampuan untuk membuktikan kepemilikan nama domain, orang jahat tidak dapat menerima lalu lintas atau mengontrol konten.

Catatan DNS harus diperbarui sebelum penghapusan situs untuk memastikan pelaku jahat tidak dapat mengambil alih domain antara periode penghapusan dan pembuatan ulang.

Untuk mendapatkan ID verifikasi domain, lihat tutorial Memetakan domain kustom