댕글링 DNS란 무엇인가요?

댕글링 DNS를 이해하려면 DNS의 기본 사항을 이해해야 합니다. DNS는 기억하기 쉽고 인식하기 쉬운 팔로알토네트웍스닷컴과 같은 사용자 친화적인 도메인 이름을 숫자로 된 IP 주소로 변환하는 프로토콜입니다. 각 도메인의 IP 주소는 인터넷의 전화번호부와 같은 역할을 하는 권한 있는 DNS 서버에 저장됩니다. 브라우저에 웹사이트 주소를 입력하면 브라우저는 먼저 재귀 DNS 서버에 연결하여 "paloaltonetworks.com의 IP 주소가 무엇인가요?"라는 질문을 합니다. 재귀 DNS 서버는 권한이 있는 서버로 쿼리를 보내 답변을 받습니다.

CNAME이란 무엇인가요?

DNS 권한 조회 서버에 저장되는 일반적인 레코드 유형은 SOA(권한 시작), IP 주소, NS(네임 서버), 역방향 DNS 조회용 포인터(PTR), CNAME(정식 이름 레코드) 등입니다.

CNAME은 다른 도메인의 별칭 역할을 하며 IP 주소 대신 도메인을 가리키는 DNS 데이터베이스 레코드의 한 유형입니다. CNAME 레코드는 일반적으로 동일한 조직이 소유한 여러 웹사이트를 기본 웹사이트로 가리키고, 여러 국가에 동일한 도메인을 등록하여 각 도메인이 상위 도메인을 가리키도록 하는 등의 작업을 수행하는 데 사용됩니다.

슈퍼컴퍼니[.]com 도메인을 사용하는 회사에서 새로운 서비스 또는 제품을 출시하고 슈퍼프로덕트[.]슈퍼컴퍼니[.]com이라는 새 하위 도메인 이름을 만든다고 가정해 보겠습니다. 이 하위 도메인을 모든 사람이 인식하는 상위 도메인의 별칭으로 설정하면 하위 도메인인 superproduct[.]supercomany[.]com은 supercompany[.]com을 가리키는 CNAME 레코드를 갖게 됩니다.

댕글 DNS

DNS 레코드는 도메인 이름을 다른 도메인으로 가리키지만, 도메인이 사용 중지되면 해당 DNS 레코드는 매달린 상태로 남게 되며, 이를 현재 매달린 DNS 레코드라고 합니다. 이 도메인은 방치되어 있기 때문에 위협 행위자가 쉽게 탈취하여 네트워크에 대한 초기 액세스 권한을 얻는 데 사용할 수 있습니다. 공격자는 피싱 및 기타 사회 공학 공격에 이 댕글링 DNS 기법을 자주 사용합니다. 예를 들어 superproduct.supercomany.com이 superproduct.com과 같은 다른 도메인이나 compute1234.amazonaws.com과 같은 외부 호스트 또는 IP를 가리키고, 회사가 superproduct.com 또는 이를 호스팅하는 컴퓨팅 노드에서 벗어나지만 CNAME superproduct.supercomany.com이 여전히 만료되는 도메인이나 외부 호스트 이름/IP를 가리키고 있다는 것을 잊어버린다고 가정해 보겠습니다. 이는 이제 공격자가 악성 사이트를 호스팅하기에 가장 좋은 메인 도메인인 supercomany.com을 사용한다는 의미입니다. 해커는 superproduct.supercomany.com이 포함된 SSL 인증서를 설치하여 회사의 평판을 희생하면서 악성 콘텐츠를 제공할 수 있습니다.

Palo Alto Networks의 DNS 보안에 대해 자세히 알아보려면 https://www.paloaltonetworks.co.kr/network-security/advanced-dns-security 을 방문하세요. 댕글링 DNS에 대한 자세한 내용은 블로그 댕글링 도메인을 참조하세요: 보안 위협, 탐지 및 확산.

댕글 DNS FAQ