أنظمة البريد الإلكتروني الحكومية معرضة للخطر بسبب أخطاء DNS

تعرّض أخطاء بسيطة في سجلات نظام أسماء النطاقات (DNS) المؤسسات الحكومية لمخاطر متعددة، منها انتحال الهوية والتجسس. فحص أليكس شاخوف، مؤسس شركة SH Consulting، في دراسة حديثة أكثر من 25,000 نطاق حكومي، ووجد حالات كثيرة لنطاقات مكتوبة بشكل خاطئ أو منتهية الصلاحية أو معاد توظيفها.

من بين النطاقات المعرضة للخطر تلك التابعة لوكالات مختلفة تمثل بلدات ومدناً ومقاطعات ومجالس تنظيمية أمريكية. وأشارت سجلات خاطئة كثيرة إلى نطاقات كانت إما متاحة للشراء أو يسيطر عليها المهاجمون بالفعل. واعتماداً على طبيعة الخطأ، قد تسمح هذه الثغرات للمهاجمين بإرسال أو استقبال رسائل بريد إلكتروني نيابة عن الوكالات الحكومية، وإعادة تكوين سجلات DNS الخاصة بها، والوصول إلى معلومات أمنية حساسة.

أوضح شاخوف لموقع Dark Reading: «الأخطاء المطبعية في DNS خطيرة جداً، لأن المؤسسة تتعرض للاختراق تقنياً دون أن يقتحم أحد أنظمتها. لديك بالفعل نطاق ذو سمعة راسخة عبر سنوات. تضع أي عناوين IP تريدها في DNS، وتشغّل خادم بريد إلكتروني، وترسل رسائل مستغلاً تلك السمعة وثقة المستخدمين. يصعب اكتشاف هذه الهجمات جداً، لأن المهاجمين لم يكسروا شيئاً. لقد سجلوا فقط نطاقاً موجوداً في DNS لم يعلم أحد بوجوده».

أمثلة على الثغرات

لا يمكن المبالغة في أهمية دقة سجلات DNS، لأنها تحتوي معلومات حاسمة عن موقع الموقع الإلكتروني في فضاء IP، ومعالجة البريد الإلكتروني، وإدارة النطاق. وقد يؤدي خطأ مطبعي بسيط إلى عواقب كبيرة.

على سبيل المثال، أذنت كل من مقاطعة ليفينغستون في ميشيغان ومدينة بايكفيل في كنتاكي لخدمة البريد الإلكتروني البسيطة (SES) من Amazon باحتياجاتهما البريدية. غير أن سجلات TXT لديهما احتوت أخطاء مطبعية: «amzonses[.]com» و«amasonses[.]com». ونتيجة لذلك، سمحت هاتان الجهتان عن غير قصد لكيان ليس تابعاً لـ Amazon بإرسال رسائل بريد إلكتروني نيابة عنهما.

كشف تحليل شاخوف لقائمة السماح في إطار سياسة المرسل (SPF) الخاصة ببايكفيل أنها تضم 75 عنوان IP، بينما ضمت قائمة ليفينغستون أكثر من 32,000 عنوان IP مختلف مصرح لها بإرسال البريد نيابة عن نطاقاتهما الرسمية. وبالتالي، أصبح النطاق الرسمي لبايكفيل مدرجاً الآن في موقع القائمة السوداء URIBL، ما يشير إلى إساءة استخدام محتملة.

احتمالية إساءة الاستخدام

في حالة مقاطعة ليفينغستون، كانت قائمة SPF تُبدَّل كل ثلاثة إلى ثمانية أيام منذ 2021، ما يشير إلى أن مهاجماً كان ينفذ عملية «snowshoe» عبر التنقل بين عناوين IP جديدة للإرسال بغرض إرسال رسائل غير مرغوب فيها أو ضارة.

ورغم أن هذه المعلومات لا تثبت بشكل قاطع أن المهاجمين استغلوا نطاق البريد الإلكتروني لمقاطعة ليفينغستون، فإنها تشير إلى أن هذا الاستغلال كان ممكناً. وربط شاخوف الفاعل وراء هذا الاختراق بمجموعة موثقة سابقاً معروفة بإساءة استخدام مواقع شركات وجامعات كبرى، منها منظومة جامعة كاليفورنيا وحكومة ولاية كونيتيكت.

الآثار الأوسع لأخطاء DNS

قد يكون أي سجل DNS معرضاً للخطر إذا احتوى خطأ مطبعياً أو إشارة غير صحيحة. ويعتمد نوع إساءة الاستخدام على السجل المعني. فيمكن للمهاجمين اعتراض رسائل البريد الإلكتروني إذا كانت المشكلة في سجل MX، أو تقديم محتوى غير مرغوب فيه إذا تعلق الأمر بسجل CNAME أو NS، أو إرسال رسائل تصيد تبدو شرعية إذا تعرض سجل SPF للاختراق.

على سبيل المثال، لدى مدينة روبرت في أيداهو موقع إلكتروني يشير إلى اسم النطاق القديم لجارتها هيبيرن، الذي اشتراه فاعل خبيث. وقد عدّل هذا الفاعل سجلات خادم الأسماء (NS) لتشير إلى موقع مقامرة، ورتب إرسال واستقبال رسائل بريد إلكتروني من عناوين تحمل اللاحقة @heyburnidaho.org.

إضافة إلى ذلك، يمكن للمهاجمين استغلال نطاقات تقارير المصادقة على الرسائل المستندة إلى النطاق، والتقارير، والتوافق (DMARC)، التي قد تكشف معلومات حساسة عن البنية التحتية للبريد الإلكتروني للمؤسسة. ووجد شاخوف 11 مؤسسة حكومية محلية معرضة لهذا النوع من سرقة المعلومات، منها وكالات إنفاذ القانون.

تحسين إدارة DNS

شدّد شاخوف على أن المهاجمين يفحصون سجلات DNS بحثاً عن الثغرات بشكل متكرر، لأنها إحدى أسهل طرق التسلل إلى البنية التحتية للمؤسسة. وأشار إلى أن سجلات DNS متاحة للعموم، ما يجعلها أهدافاً سهلة للمهاجمين.

وللتخفيف من هذه المخاطر، يدعو شاخوف إلى ممارسات أفضل لإدارة DNS. ويقترح أن تتجنب المؤسسات كتابة سجلات DNS يدوياً، لأن 47% من النطاقات غير المسجلة التي وُجدت في سجلات SPF وDMARC كانت بسبب أخطاء مطبعية. كما ينبغي للمؤسسات الاحتفاظ بخريطة شاملة لبنيتها التحتية لـ DNS والنظر في تسجيل نسخ مكتوبة بشكل خاطئ من نطاقاتها لمنع المهاجمين من شرائها.

تعد عمليات تدقيق DNS المنتظمة ضرورية، لأنها تساعد في تحديد النطاقات أو الوجهات غير الصالحة. ويوصي شاخوف بإجراء مراجعات ربع سنوية للتأكد من أن جميع سجلات DNS محدثة.

المصدر: Dark Reading