Hızlı cevap: Subdomain keşfi (alt alan adı enumerasyonu), bir kurumun ana alan adına bağlı tüm alt alan adlarını (ornek: panel.site.com, test.site.com, vpn.site.com) ortaya çıkarma işidir. Sızma testinin keşif aşamasının temel adımıdır çünkü her alt alan adı yeni bir saldırı yüzeyidir. Pasif (sertifika kayıtları, DNS veri setleri) ve aktif (DNS brute force) yöntemlerle yapılır. Kurumun çoğu zaman unuttuğu eski ya da test alt alan adları, saldırganın en kolay giriş noktalarıdır.

Subdomain keşfi neden kritik?

Bir kurumun saldırı yüzeyi, sadece ana web sitesinden ibaret değildir. Arkada onlarca alt alan adı olabilir: yönetim panelleri, test ortamları, eski uygulamalar, VPN uçları, geliştirme sunucuları. Bunların çoğu zamanla unutulur, güncellenmez ve zayıf korunur. Saldırgan için bu unutulmuş alt alan adları, iyi korunan ana siteden çok daha kolay hedeflerdir.

Bu yüzden keşif aşamasında asıl soru "ana site güvenli mi" değil, "kurumun görünmeyen tüm yüzeyi ne" olmalıdır. Göremediğiniz bir alt alan adını koruyamazsınız.

Pasif ve aktif keşif yöntemleri

Yöntem Kaynak Özellik
Sertifika şeffaflığı CT logları (crt.sh) Pasif, hedefle temas yok
DNS veri setleri Pasif DNS, arama motorları Pasif, geniş kapsam
DNS brute force Kelime listesiyle deneme Aktif, yeni alt alan bulur
Permütasyon Bilinen adlardan türetme Aktif, varyasyon üretir
Subdomain takeover kontrolü Terk edilmiş CNAME tespiti Ele geçirilebilir alt alan

Pasif yöntemler hedefle doğrudan temas kurmadan, halka açık kayıtlardan bilgi toplar. Aktif yöntemler ise DNS'e sorgu göndererek yeni alt alan adları bulur. İkisi birlikte en geniş kapsamı verir.

Subdomain takeover riski

Keşifte sık karşılaşılan kritik bir bulgu, alt alan adının terk edilmiş bir servise işaret etmesidir. Örneğin bir alt alan adı, artık kullanılmayan bir bulut servisine CNAME ile bağlıysa, saldırgan o servisi kendi adına alıp alt alan adını ele geçirebilir. Bu "subdomain takeover" saldırısıdır ve keşif aşamasında mutlaka kontrol edilmelidir.

KAOS ve DSET yaklaşımı

DSET, sızma testlerinin keşif aşamasında kurumun bilinen ve bilinmeyen tüm alt alan adlarını ortaya çıkarır ve her birinin saldırı yüzeyini değerlendirir. Geliştirdiğimiz KAOS güvenlik motoru, pasif ve aktif keşifle alt alan adlarını bulur, terk edilmiş ve ele geçirilebilir olanları (subdomain takeover) işaretler. Saha deneyimimizde en sık gördüğümüz durum, unutulmuş bir test ya da eski alt alan adının zayıf korumayla açık kalmasıdır. Amacımız kurumun gerçek dış yüzeyini görünür kılmaktır.

Bağlantılı okumalar: OSINT ve pasif bilgi toplama, subdomain takeover terk edilmiş alt alan, saldırı yüzeyi yönetimi ASM, Nmap ile ağ keşfi, dizin ve içerik keşfi gobuster ffuf, DNS güvenliği tünelleme hijacking.

Sık sorulan sorular

Pasif subdomain keşfi ile aktif arasındaki fark nedir? Pasif keşif, hedefle doğrudan temas kurmadan halka açık kayıtlardan (sertifika şeffaflık logları, pasif DNS veri setleri) alt alan adı toplar. Aktif keşif ise DNS'e doğrudan sorgular göndererek, bir kelime listesiyle yeni alt alan adları bulmaya çalışır. Pasif yöntem iz bırakmaz, aktif yöntem daha kapsamlıdır; ikisi birlikte en iyi sonucu verir.

Subdomain takeover nedir? Bir alt alan adının, artık var olmayan ya da terk edilmiş bir servise (örneğin kaldırılmış bir bulut kaynağına) CNAME ile işaret etmesi durumudur. Saldırgan o servisi kendi adına kaydederek alt alan adını ele geçirir ve kurumun adı altında içerik yayınlayabilir. Keşif aşamasında terk edilmiş CNAME kayıtları mutlaka kontrol edilmelidir.

Kendi alt alan adlarımı nasıl keşfederim? Önce sertifika şeffaflık logları ve pasif DNS ile halka açık kayıtları tarayın, sonra DNS brute force ile bilinmeyen alt alanları bulun. Her bulunan alt alan adını envantere alın, sahibini ve amacını belirleyin, terk edilmiş olanları kapatın. Bu keşif tek seferlik değil düzenli olmalıdır.

Kaynaklar

Kurumunuzun dış saldırı yüzeyini ve alt alan adlarını keşfetmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.