Διακυβέρνηση dangling DNS για NIS2, DORA και GDPR

Ο Υπεύθυνος Ασφάλειας Πληροφοριών λαμβάνει το μήνυμα στις 07:12, Δευτέρα πρωί.

Ένας ερευνητής ασφάλειας εντόπισε ότι το promo.company.com παραπέμπει σε εγκαταλελειμμένη εφαρμογή νέφους. Η εγγραφή DNS παραμένει ενεργή. Ο πόρος νέφους έχει καταργηθεί. Ο μισθωτής SaaS που εξυπηρετούσε κάποτε την καμπάνια διαγράφηκε πριν από έξι μήνες, λίγο μετά τη μετάβαση του τμήματος Μάρκετινγκ σε άλλη πλατφόρμα. Κανείς δεν αφαίρεσε το CNAME.

Στις 08:30, το ερώτημα δεν είναι πλέον «Μπορεί κάποιος να καταλάβει τον υποτομέα;». Είναι «Γιατί κανείς δεν γνώριζε ότι υπήρχε αυτό το περιουσιακό στοιχείο;».

Στις 09:15, εμπλέκεται το Νομικό Τμήμα, επειδή ο υποτομέας είχε συλλέξει διευθύνσεις ηλεκτρονικού ταχυδρομείου για λίστα αναμονής προϊόντος. Εμπλέκεται το Τμήμα Προμηθειών, επειδή την πλατφόρμα της καμπάνιας τη διαχειριζόταν εξωτερικό γραφείο. Εμπλέκεται η λειτουργία συμμόρφωσης, επειδή η εταιρεία προετοιμάζεται για έλεγχο επιτήρησης ISO/IEC 27001:2022, ετοιμότητα NIS2 και ερωτηματολόγια διασφάλισης πελατών. Ο Υπεύθυνος Προστασίας Δεδομένων (DPO) ρωτά αν η έκθεση θα μπορούσε να εξελιχθεί σε παραβίαση δεδομένων προσωπικού χαρακτήρα βάσει GDPR, εάν ο υποτομέας χρησιμοποιηθεί κακόβουλα. Ο Οικονομικός Διευθυντής (CFO) ρωτά αν η ίδια αδυναμία θα μπορούσε να επηρεάσει πύλη πληρωμών στο ρυθμιζόμενο περιβάλλον χρηματοοικονομικών υπηρεσιών του ομίλου.

Η τεχνική διόρθωση μπορεί να διαρκέσει λίγα λεπτά. Το πρόβλημα διακυβέρνησης μπορεί να απαιτήσει μήνες για να αποσαφηνιστεί, εάν ο οργανισμός δεν μπορεί να αποδείξει ότι κάθε περιουσιακό στοιχείο που εκτίθεται στο διαδίκτυο είναι γνωστό, έχει ιδιοκτήτη, ανασκοπείται, παρακολουθείται και αποσύρεται μέσω ελεγχόμενης διαδικασίας.

Γι’ αυτό το dangling DNS και η πρόληψη κατάληψης υποτομέων δεν μπορούν να αντιμετωπίζονται ως περιορισμένη εργασία καθαρισμού DNS. Μια παρωχημένη εγγραφή DNS είναι συχνά ορατό σύμπτωμα βαθύτερων αστοχιών ελέγχων: ελλιπές αποθετήριο περιουσιακών στοιχείων, αδύναμη ιδιοκτησία, απουσία τεκμηρίων παροπλισμού, ανεπαρκής έλεγχος αλλαγών, ατελής διαχείριση αποχώρησης προμηθευτών, ανεπαρκής παρακολούθηση της εξωτερικής επιφάνειας επίθεσης και ασαφής ταξινόμηση περιστατικών.

Για τους πελάτες της Clarysec, το dangling DNS αποτελεί δοκιμή του συστήματος διαχείρισης. Δείχνει αν οι πολιτικές, οι έλεγχοι, τα μητρώα, τα τεκμήρια και η λογοδοσία λειτουργούν πράγματι όταν μια ξεχασμένη εξάρτηση νέφους γίνεται ευκαιρία για επιτιθέμενο.

Τι σημαίνει πραγματικά το dangling DNS

Η κατάληψη υποτομέα καθίσταται δυνατή όταν μια εγγραφή DNS, συχνά CNAME, παραπέμπει σε πόρο που δεν υπάρχει πλέον ή δεν ελέγχεται πλέον από τον οργανισμό. Εάν ένας επιτιθέμενος μπορεί να δεσμεύσει ή να επαναδημιουργήσει τον πόρο-στόχο στην πλατφόρμα νέφους ή SaaS, ενδέχεται να μπορέσει να προβάλλει περιεχόμενο κάτω από τον έμπιστο υποτομέα του οργανισμού.

Συνήθη παραδείγματα περιλαμβάνουν:

• CNAME που παραπέμπει σε μη δεσμευμένη υπηρεσία εφαρμογής νέφους.
• Προσαρμοσμένο όνομα κεντρικού υπολογιστή SaaS που παραμένει στο DNS μετά την ακύρωση της συνδρομής.
• Διανομή CDN που αφαιρέθηκε από την κονσόλα του παρόχου αλλά εξακολουθεί να αναφέρεται στο δημόσιο DNS.
• Microsite μάρκετινγκ που παροπλίστηκε από εξωτερικό γραφείο χωρίς αφαίρεση DNS.
• Τελικό σημείο αποθήκευσης ή αντιστοίχιση στατικού ιστότοπου που μπορεί να καταχωριστεί εκ νέου.
• Υποτομέας ανάπτυξης που εκτίθεται μέσω ξεχασμένου έργου platform-as-a-service.

Ο επιχειρησιακός αντίκτυπος μπορεί να είναι σοβαρός. Οι επιτιθέμενοι μπορούν να φιλοξενήσουν σελίδες phishing, να συλλέξουν διαπιστευτήρια, να διανείμουν κακόβουλο λογισμικό, να καταχραστούν τη φήμη του τομέα, να υποκλέψουν δεδομένα συνεδρίας ή να πλήξουν την εμπιστοσύνη προς την εταιρική ταυτότητα. Όταν ο υποτομέας επεξεργαζόταν προηγουμένως δεδομένα προσωπικού χαρακτήρα, ακόμη και μια βραχύβια κατάληψη μπορεί να ενεργοποιήσει ανάλυση παραβίασης βάσει GDPR. Όταν η επηρεαζόμενη υπηρεσία υποστηρίζει ρυθμιζόμενες χρηματοοικονομικές λειτουργίες, το περιστατικό μπορεί επίσης να απαιτεί αξιολόγηση βάσει DORA ή εσωτερικών πλαισίων διαχείρισης κινδύνων ΤΠΕ.

Οι ελεγκτές αντιμετωπίζουν ολοένα συχνότερα το dangling DNS ως τεκμήριο ωριμότητας ελέγχων. Μία μόνο παρωχημένη εγγραφή μπορεί να υποδηλώνει ότι ο οργανισμός δεν γνωρίζει τι κατέχει, ποιος το κατέχει, πώς ανασκοπούνται οι αλλαγές, πώς τερματίζονται οι υπηρεσίες νέφους ή πώς παρακολουθούνται τα εξωτερικά εκτεθειμένα περιουσιακά στοιχεία.

Γι’ αυτό η Clarysec χαρτογραφεί αυτό το ζήτημα στις προσδοκίες ελέγχου των ISO/IEC 27001:2022 ISO/IEC 27001:2022, ISO/IEC 27002:2022 ISO/IEC 27002:2022, NIS2, DORA, GDPR, NIST CSF 2.0 και COBIT 2019.

Γιατί το ISO 27001:2022 είναι η πρακτική ραχοκοκαλιά

Ο ισχυρότερος τρόπος διακυβέρνησης του dangling DNS δεν είναι η δημιουργία ξεχωριστών προγραμμάτων για NIS2, DORA και GDPR. Είναι η χρήση του ISO/IEC 27001:2022 ως ραχοκοκαλιά του συστήματος διαχείρισης και η παραγωγή τεκμηρίων μία φορά για πολλές ανάγκες διασφάλισης.

Οι σχετικές απαιτήσεις αρχίζουν πριν από το Παράρτημα A. Οι ρήτρες 4.1 έως 4.4 απαιτούν από τον οργανισμό να κατανοεί το πλαίσιο λειτουργίας του, τις απαιτήσεις των ενδιαφερόμενων μερών, το πεδίο εφαρμογής του Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών (ISMS) και τις εξαρτήσεις από άλλους οργανισμούς. Για τη διακυβέρνηση dangling DNS, το πεδίο εφαρμογής πρέπει να περιλαμβάνει εξωτερικό DNS, τομείς, καταχωρητές, υπηρεσίες νέφους, πλατφόρμες SaaS, εξωτερικά γραφεία, διαχειριζόμενη φιλοξενία, CDN και κάθε τρίτο μέρος που μπορεί να δημιουργεί ή να αποσύρει υπηρεσίες εκτεθειμένες στο διαδίκτυο.

Οι ρήτρες 5.1 έως 5.3 καθιστούν το ζήτημα θέμα ηγεσίας και λογοδοσίας. Η διοίκηση πρέπει να ευθυγραμμίζει το ISMS με την επιχειρησιακή κατεύθυνση, να παρέχει πόρους, να επικοινωνεί τη σημασία της ασφάλειας πληροφοριών και να αναθέτει αρμοδιότητες. Εάν το Μάρκετινγκ μπορεί να εκκινήσει ένα microsite, η Μηχανική μπορεί να δημιουργήσει τελικά σημεία νέφους και το Τμήμα Προμηθειών μπορεί να τερματίσει συμβάσεις SaaS, ο οργανισμός χρειάζεται μοντέλο διακυβέρνησης που αναθέτει σαφή ιδιοκτησία DNS και υπηρεσιών σε όλους τους εμπλεκομένους.

Οι ρήτρες 6.1.1 έως 6.1.3 παρέχουν τη λογική της αξιολόγησης κινδύνου, της αντιμετώπισης κινδύνων και της Δήλωσης Εφαρμοσιμότητας. Το dangling DNS πρέπει να καταγράφεται ως ρεαλιστικό σενάριο κινδύνου και όχι απλώς ως έξοδος σαρωτή. Επηρεάζει την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα και συχνά χαρτογραφείται σε νομικές, κανονιστικές και συμβατικές υποχρεώσεις.

Οι ρήτρες 7.5, 8.1, 8.2 και 8.3 μετατρέπουν τη διακυβέρνηση σε τεκμήρια. Απαιτούν ελεγχόμενες τεκμηριωμένες πληροφορίες, σχεδιασμένες και ελεγχόμενες επιχειρησιακές διαδικασίες, εξέταση ακούσιων αλλαγών, έλεγχο εξωτερικά παρεχόμενων διαδικασιών, περιοδικές αξιολογήσεις κινδύνου και τεκμηριωμένα αποτελέσματα αντιμετώπισης.

Στη συνέχεια, το Παράρτημα A παρέχει τον κατάλογο ελέγχων. Στα έργα της Clarysec, οι βασικές σχέσεις ISO/IEC 27002:2022 συνήθως διαμορφώνονται ως εξής:

Το συμπέρασμα είναι απλό. Το ISO/IEC 27001:2022 δεν ζητά έναν ηρωικό εφάπαξ καθαρισμό. Ζητά ένα ελεγχόμενο μοντέλο λειτουργίας που αποτρέπει την επανάληψη.

Η οπτική των Zenith Controls: ένας κίνδυνος, τρία σημεία ελέγχου

Στο Zenith Controls: The Cross-Compliance Guide Zenith Controls, η Clarysec χρησιμοποιεί σχετικούς ελέγχους ISO/IEC 27002:2022 ως σημεία αναφοράς για διαπλαισιακή χαρτογράφηση συμμόρφωσης. Για τη διακυβέρνηση dangling DNS και την πρόληψη κατάληψης υποτομέων, τρεις έλεγχοι είναι κεντρικοί.

Ο έλεγχος 5.9, Απογραφή πληροφοριών και λοιπών συναφών περιουσιακών στοιχείων, ταξινομείται ως προληπτικός, υποστηρίζει την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα, ευθυγραμμίζεται με τη λειτουργία κυβερνοασφάλειας Identify και εντάσσεται στη διαχείριση περιουσιακών στοιχείων ως επιχειρησιακή ικανότητα, με τη διακυβέρνηση, το οικοσύστημα και την προστασία ως τομείς ασφάλειας.

Ο έλεγχος 5.23, Ασφάλεια πληροφοριών για τη χρήση υπηρεσιών νέφους, ταξινομείται ως προληπτικός, υποστηρίζει την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα, ευθυγραμμίζεται με τη λειτουργία Protect και εντάσσεται στην ασφάλεια σχέσεων με προμηθευτές ως επιχειρησιακή ικανότητα, με τη διακυβέρνηση, το οικοσύστημα και την προστασία ως τομείς ασφάλειας.

Ο έλεγχος 8.8, Διαχείριση τεχνικών ευπαθειών, ταξινομείται ως προληπτικός, υποστηρίζει την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα, ευθυγραμμίζεται με τις λειτουργίες Identify και Protect και εντάσσεται στη διαχείριση απειλών και ευπαθειών ως επιχειρησιακή ικανότητα, με τη διακυβέρνηση, το οικοσύστημα, την προστασία και την άμυνα ως τομείς ασφάλειας.

Αυτό έχει σημασία επειδή το dangling DNS δεν είναι μόνο αστοχία ελέγχου περιουσιακών στοιχείων, ούτε μόνο αστοχία ελέγχου νέφους, ούτε μόνο ευπάθεια. Είναι και τα τρία. Ο οργανισμός πρέπει να αποδεικνύει ότι το αποθετήριο περιουσιακών στοιχείων, η διακυβέρνηση χρήσης υπηρεσιών νέφους και η διαχείριση ευπαθειών αλληλοενισχύονται.

Η Clarysec συχνά προσθέτει υποστηρικτικές πρακτικές γύρω από αυτά τα σημεία αναφοράς: ISO/IEC 27005 για πειθαρχία στην αξιολόγηση και αντιμετώπιση κινδύνων, ISO/IEC 27017 για διακυβέρνηση ασφάλειας υπηρεσιών νέφους, ISO/IEC 27018 όταν οι υπηρεσίες νέφους επεξεργάζονται PII, ISO/IEC 27701 για διαχείριση πληροφοριών ιδιωτικότητας και ISO 22301 όταν η συνέχεια και η απόκριση σε κρίσεις είναι συναφείς.

Τα τεκμήρια πολιτικών που ήδη απαιτούν έλεγχο κύκλου ζωής DNS

Πολλοί οργανισμοί διαθέτουν ήδη πολιτικές που, εάν εφαρμόζονταν σωστά, θα απέτρεπαν το dangling DNS. Το κενό είναι ότι ο έλεγχος κύκλου ζωής DNS δεν συνδέεται ρητά με αυτές τις πολιτικές.

Η Πολιτική Διαχείρισης Περιουσιακών Στοιχείων για ΜΜΕ Πολιτική Διαχείρισης Περιουσιακών Στοιχείων για ΜΜΕ της Clarysec, στις απαιτήσεις εφαρμογής της πολιτικής, ρήτρα 6.6.1, αναφέρει:

Περιουσιακά στοιχεία που βασίζονται σε περιβάλλον νέφους (π.χ. λογαριασμοί αποθήκευσης, πλατφόρμες SaaS, web domains) πρέπει επίσης να περιλαμβάνονται στο αποθετήριο.

Η ίδια πολιτική προσθέτει στη ρήτρα 6.6.2:

Η ιδιοκτησία, ο σκοπός, τα δικαιώματα πρόσβασης και τα χρονοδιαγράμματα ανανέωσης πρέπει να τεκμηριώνονται.

Για τη διακυβέρνηση dangling DNS, αυτό σημαίνει ότι κάθε υποτομέας παραγωγής και κάθε ουσιώδης υποτομέας μη παραγωγικού περιβάλλοντος πρέπει να έχει ονομαστικό ιδιοκτήτη, επιχειρησιακό σκοπό, συνδεδεμένη υπηρεσία, μοντέλο πρόσβασης και ημερομηνία ανασκόπησης.

Το σημαντικότερο είναι ότι η ρήτρα 6.6.3 αναφέρει:

Οι ληγμένες ή μη χρησιμοποιούμενες υπηρεσίες πρέπει να απενεργοποιούνται και να αφαιρούνται από το αποθετήριο.

Για το DNS, αυτό πρέπει να ερμηνεύεται προσεκτικά. Η αφαίρεση της υπηρεσίας από το αποθετήριο δεν αρκεί. Η εγγραφή DNS, η σύνδεση στο περιβάλλον νέφους, η δέσμευση προσαρμοσμένου domain SaaS, το πιστοποιητικό, ο κανόνας WAF, η διαμόρφωση CDN και η καταχώριση παρακολούθησης πρέπει επίσης να ανασκοπούνται.

Η έκδοση για επιχειρήσεις ενισχύει αυτή την ευρύτερη έννοια περιουσιακού στοιχείου. Η Πολιτική Διαχείρισης Περιουσιακών Στοιχείων Πολιτική Διαχείρισης Περιουσιακών Στοιχείων της Clarysec, στο πεδίο εφαρμογής, ρήτρα 2.2.5, αναφέρει:

Λογικά περιουσιακά στοιχεία: ονόματα domain, άδειες, λογαριασμοί χρηστών, βασικές γραμμές ρυθμίσεων

Τα ονόματα domain και οι διαμορφώσεις δεν είναι διοικητικές λεπτομέρειες. Είναι περιουσιακά στοιχεία που φέρουν εμπιστοσύνη και μπορούν να εξελιχθούν σε διαδρομές επίθεσης.

Η σύνδεση με τον έλεγχο αλλαγών είναι εξίσου σημαντική. Η Πολιτική Διαχείρισης Αλλαγών Πολιτική Διαχείρισης Αλλαγών της Clarysec, στον σκοπό, ρήτρα 1.1, αναφέρει:

Η παρούσα πολιτική θεσπίζει επίσημο πλαίσιο για την έναρξη, αξιολόγηση, έγκριση, υλοποίηση και ανασκόπηση αλλαγών στα πληροφοριακά συστήματα, την υποδομή, τις εφαρμογές και τις συναφείς διαδικασίες του οργανισμού.

Επομένως, η αφαίρεση DNS, ο τερματισμός SaaS, η διαγραφή εφαρμογής νέφους, η μετεγκατάσταση CDN ή η απόσυρση microsite μάρκετινγκ πρέπει να παράγουν τεκμήρια αλλαγής. Η απουσία αιτήματος αλλαγής είναι συχνά η πρώτη ένδειξη κινδύνου σε έλεγχο.

Η διακυβέρνηση νέφους πρέπει επίσης να συνδέεται. Η Πολιτική Χρήσης Υπηρεσιών Νέφους Πολιτική Χρήσης Υπηρεσιών Νέφους της Clarysec, στις απαιτήσεις διακυβέρνησης, ρήτρα 5.5, αναφέρει:

Η Ομάδα Ασφάλειας Πληροφοριών πρέπει να αξιολογεί τακτικά την κίνηση δικτύου, τη δραστηριότητα DNS και τα αρχεία καταγραφής για τον εντοπισμό μη εξουσιοδοτημένης χρήσης υπηρεσιών νέφους (shadow IT). Οι εντοπισμένες παραβιάσεις πρέπει να διερευνώνται άμεσα.

Για την πρόληψη κατάληψης υποτομέων, η παρακολούθηση δραστηριότητας DNS δεν αφορά μόνο το shadow IT. Αφορά επίσης το παρωχημένο IT, δηλαδή περιουσιακά στοιχεία που κάποτε ήταν εγκεκριμένα αλλά δεν ελέγχονται πλέον.

Πρακτική ροή εργασίας της Clarysec για τη διακυβέρνηση dangling DNS

Ένα ισχυρό πρόγραμμα dangling DNS δεν είναι περίπλοκο. Είναι πειθαρχημένο, επαναλήψιμο και συνδεδεμένο με το ISMS, τη διαχείριση ευπαθειών, τη διαχείριση αλλαγών και τον κύκλο ζωής προμηθευτών.

Για τις ΜΜΕ, αυτό μπορεί να ξεκινήσει ως ελαφρύ μητρώο. Για τις επιχειρήσεις, συνήθως ενοποιεί εξαγωγές DNS, διαχείριση εξωτερικής επιφάνειας επίθεσης, απογραφές περιουσιακών στοιχείων νέφους, αρχεία CMDB, σαρωτές ευπαθειών, ειδοποιήσεις SIEM και συστήματα διαχείρισης αιτημάτων.

Το ερώτημα διακυβέρνησης παραμένει το ίδιο: μπορείτε να αποδείξετε ότι κάθε εξωτερικά προσβάσιμος υποτομέας είναι γνωστός, έχει ιδιοκτήτη, παρακολουθείται και μπορεί να αφαιρεθεί μέσω ελεγχόμενης διαδικασίας;

Ο εγκαταλελειμμένος υποτομέας καμπάνιας, με τον σωστό χειρισμό

Ας επιστρέψουμε στο περιστατικό της Δευτέρας. Το promo.company.com παραπέμπει σε εγκαταλελειμμένο ιστότοπο καμπάνιας SaaS.

Πρώτον, ο Υπεύθυνος Ασφάλειας δημιουργεί καταχώριση ευπάθειας επειδή το περιουσιακό στοιχείο είναι εκτεθειμένο στο διαδίκτυο. Η Πολιτική Διαχείρισης Ευπαθειών και Διορθώσεων Πολιτική Διαχείρισης Ευπαθειών και Διορθώσεων της Clarysec, στις απαιτήσεις εφαρμογής της πολιτικής, ρήτρα 6.1.1, αναφέρει:

Όλα τα συστήματα πρέπει να σαρώνονται τουλάχιστον μηνιαία· τα υψηλού κινδύνου ή εξωτερικά εκτεθειμένα περιουσιακά στοιχεία πρέπει να σαρώνονται εβδομαδιαία.

Για τις ΜΜΕ, η αντίστοιχη πολιτική ενισχύει την ιεράρχηση. Η Πολιτική Διαχείρισης Ευπαθειών και Διορθώσεων για ΜΜΕ Πολιτική Διαχείρισης Ευπαθειών και Διορθώσεων για ΜΜΕ, στις απαιτήσεις εφαρμογής της πολιτικής, ρήτρα 6.5.1, αναφέρει:

Τα συστήματα που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, παρέχουν απομακρυσμένη πρόσβαση ή είναι εκτεθειμένα στο διαδίκτυο πρέπει να έχουν προτεραιότητα για σάρωση και ενημερώσεις

Δεύτερον, ο ιδιοκτήτης εντοπίζεται μέσω του Μητρώου Περιουσιακών Στοιχείων. Εάν ο ιδιοκτήτης είναι άγνωστος, αυτό συνιστά αστοχία ελέγχου έναντι της διακυβέρνησης περιουσιακών στοιχείων. Το μητρώο επικαιροποιείται ώστε να περιλαμβάνει το όνομα DNS, τον πάροχο-στόχο, τον αρχικό ιδιοκτήτη της επιχειρησιακής ανάγκης, την ταξινόμηση δεδομένων, τον προμηθευτή και την κατάσταση.

Τρίτον, η Πληροφορική ελέγχει την πλατφόρμα νέφους ή SaaS. Εάν ο λογαριασμός νέφους έχει διαγραφεί, η Πολιτική Χρήσης Υπηρεσιών Νέφους για ΜΜΕ Πολιτική Χρήσης Υπηρεσιών Νέφους για ΜΜΕ της Clarysec, στις απαιτήσεις εφαρμογής της πολιτικής, ρήτρα 6.3.6, είναι άμεσα συναφής:

Οι διαγραμμένοι λογαριασμοί νέφους πρέπει να ανασκοπούνται από τον πάροχο υπηρεσιών πληροφορικής ή τον GM για υπολειπόμενη πρόσβαση, ορφανά δεδομένα ή περιεχόμενο που παραβλέφθηκε.

Τέταρτον, ο ιδιοκτήτης αλλαγής υποβάλλει επείγον ή επισπευσμένο αίτημα αλλαγής για την αφαίρεση της εγγραφής DNS ή την προσωρινή επαναδέσμευση του πόρου πριν από την αφαίρεση. Το αίτημα περιλαμβάνει εκτίμηση αντικτύπου, σχέδιο επαναφοράς, εγκρίσεις, τεκμήρια υλοποίησης και επικύρωση μετά την αλλαγή.

Πέμπτον, ο επικεφαλής ιδιωτικότητας αξιολογεί αν ο υποτομέας επεξεργάστηκε ή θα μπορούσε να έχει εκθέσει δεδομένα προσωπικού χαρακτήρα. Η PII Security and Access Control Policy PII Security and Access Control Policy της Clarysec, στην ενότητα Ασφαλής διαμόρφωση και διαχείριση ευπαθειών, ρήτρα 4.7.4, αναφέρει:

[Both] Ο Ιδιοκτήτης συστήματος / Ιδιοκτήτης Εφαρμογής ΠΡΕΠΕΙ να καταγράφει την κάλυψη αξιολόγησης ευπαθειών για συστήματα που επεξεργάζονται PII στο REG12 τουλάχιστον τριμηνιαία και μετά από ουσιώδη τεχνική αλλαγή.

Η ρήτρα 4.7.5 προσθέτει:

[Both] Ο Επικεφαλής Ασφάλειας Πληροφοριών ΠΡΕΠΕΙ να καταγράφει στο REG12, εντός πέντε εργάσιμων ημερών από την επικύρωση, μη επιλυμένες ευπάθειες υψηλού κινδύνου που επηρεάζουν PII.

Οι ρήτρες αυτές εφαρμόζονται είτε ο οργανισμός ενεργεί ως υπεύθυνος επεξεργασίας είτε ως εκτελών την επεξεργασία, επειδή φέρουν την ετικέτα [Both]. Για ζήτημα dangling DNS που αφορά PII, τα τεκμήρια δεν πρέπει να παραμένουν μόνο σε τεχνικό αίτημα. Πρέπει να αποτυπώνονται στο μητρώο τεκμηρίων ευπαθειών PII.

Έκτον, εάν εξωτερικό γραφείο ή πάροχος SaaS φιλοξενούσε την καμπάνια, το Τμήμα Προμηθειών ελέγχει τα αρχεία τρίτων. Η Processor, Subprocessor and Third-Party Privacy Management Policy Processor, Subprocessor and Third-Party Privacy Management Policy της Clarysec, στην ενότητα Αναγνώριση και ταξινόμηση σχέσης, ρήτρα 4.1.2, αναφέρει:

[All] Ο Ιδιοκτήτης Διεργασίας / Ιδιοκτήτης της επιχείρησης ΠΡΕΠΕΙ να προσδιορίζει στο REG08 κάθε προτεινόμενη σχέση με τρίτο μέρος που θα επεξεργάζεται, έχει πρόσβαση, λαμβάνει, αποθηκεύει, διαβιβάζει, υποστηρίζει ή επηρεάζει με άλλον τρόπο PII πριν από την προμήθεια, την ένταξη, την ανανέωση ή ουσιώδη αλλαγή τρίτου μέρους σε θέματα ιδιωτικότητας.

Η ρήτρα 4.5.5 απαιτεί:

[Both] Ο Ιδιοκτήτης Προμηθευτή / Προμηθειών ΠΡΕΠΕΙ να καταγράφει τοποθεσίες επεξεργασίας, τοποθεσίες φιλοξενίας και δείκτες διεθνών διαβιβάσεων στο REG08 και να συνδέει τα εφαρμοστέα τεκμήρια διαβίβασης με το REG09 πριν εγκρίνει εκτελούντα την επεξεργασία, υπεργολάβο επεξεργασίας, αλλαγή τοποθεσίας ή αλλαγή υπηρεσίας σχετική με διαβίβαση.

Τέλος, ο επικεφαλής συμμόρφωσης συγκροτεί τη δέσμη τεκμηρίων. Η Πολιτική Ελέγχου και Παρακολούθησης Συμμόρφωσης Πολιτική Ελέγχου και Παρακολούθησης Συμμόρφωσης της Clarysec, στους στόχους, ρήτρα 3.4, αναφέρει ότι ένας στόχος είναι:

Η παραγωγή υποστηρίξιμων τεκμηρίων και διαδρομής ελέγχου προς υποστήριξη ερωτημάτων ρυθμιστικών αρχών, δικαστικών διαδικασιών ή αιτημάτων διασφάλισης πελατών.

Αυτό είναι το αποτέλεσμα που χρειάζεται ο Υπεύθυνος Ασφάλειας Πληροφοριών όταν ένας πελάτης, ρυθμιστική αρχή ή ελεγκτής ρωτά: «Πώς γνωρίζετε ότι αυτό δεν θα ξανασυμβεί;»

Πού εντάσσεται το Zenith Blueprint

Το Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint της Clarysec μετατρέπει τους ελέγχους σε επιχειρησιακές πρακτικές έτοιμες για έλεγχο. Το dangling DNS χαρτογραφείται ισχυρά σε τέσσερις περιοχές.

Στη φάση Controls in Action, το Βήμα 22 καλύπτει τους οργανωτικούς ελέγχους 5.1 έως 5.18, συμπεριλαμβανομένου του ελέγχου 5.9 του ISO/IEC 27002:2022. Το Zenith Blueprint αναφέρει:

Κανένας οργανισμός δεν μπορεί να προστατεύσει κάτι που δεν γνωρίζει ότι διαθέτει. Ο έλεγχος 5.9 τυποποιεί αυτή τη θεμελιώδη αρχή, απαιτώντας τη δημιουργία και τη διατήρηση ενός επικαιροποιημένου αποθετηρίου όλων των πληροφοριών και των συναφών περιουσιακών στοιχείων που σχετίζονται με το ISMS.

Συνεχίζει:

Στην πιο στρατηγική του μορφή, ένα αποθετήριο περιουσιακών στοιχείων λειτουργεί ως το κεντρικό νευρικό σύστημα του ISMS σας.

Το αποθετήριο υποτομέων σας δεν είναι παράπλευρη λίστα. Τροφοδοτεί αποφάσεις πρόσβασης, σαρώσεις ευπαθειών, καταγραφή, διαχείριση προμηθευτών, χαρτογράφηση ιδιωτικότητας και απόκριση σε περιστατικά.

Στο Βήμα 20, το Zenith Blueprint καλύπτει τους τεχνολογικούς ελέγχους 8.18 έως 8.26. Για τον έλεγχο 8.21, Ασφάλεια υπηρεσιών δικτύου, καθοδηγεί τους οργανισμούς να επικυρώνουν την ασφάλεια υπηρεσιών δικτύου:

Καταγράψτε όλες τις εσωτερικές και εξωτερικές υπηρεσίες δικτύου (DNS, VPN, SMTP, DHCP, πύλες API κ.λπ.).

Γι’ αυτό οι πάροχοι DNS, οι καταχωρητές, το cloud DNS, οι πλατφόρμες CDN και οι δυνατότητες προσαρμοσμένου domain των SaaS ανήκουν στο μητρώο υπηρεσιών.

Στο Βήμα 19, το Zenith Blueprint καλύπτει τους τεχνολογικούς ελέγχους 8.1 έως 8.17. Για τον έλεγχο 8.8, αναφέρει:

Η διαχείριση ευπαθειών είναι μία από τις πιο κρίσιμες περιοχές της σύγχρονης κυβερνοϋγιεινής. Παρότι τα τείχη προστασίας και τα εργαλεία αντιιικού λογισμικού παρέχουν προστασία, μπορούν να υπονομευθούν εάν παραμένουν εκτεθειμένα μη επιδιορθωμένα συστήματα ή εσφαλμένα διαμορφωμένες υπηρεσίες.

Μια dangling εγγραφή DNS είναι εσφαλμένα διαμορφωμένη διαδρομή εξωτερικής υπηρεσίας. Ακόμη και όταν δεν υπάρχει CVE, πρέπει να αντιμετωπίζεται μέσω διαχείρισης ευπαθειών: επικύρωση, βαθμολόγηση, ανάθεση, αποκατάσταση, επανέλεγχος και κλείσιμο.

Στο Βήμα 23, το Zenith Blueprint εξετάζει τους οργανωτικούς ελέγχους 5.19 έως 5.37. Για τον έλεγχο 5.23, συμβουλεύει:

Καταγράψτε όλες τις υπηρεσίες νέφους που χρησιμοποιούνται σήμερα (5.23), συμπεριλαμβανομένου του shadow IT όπου είναι γνωστό. Εντοπίστε ποιος τις ενέκρινε και αν διενεργήθηκε δέουσα επιμέλεια. Αναπτύξτε έναν ελαφρύ κατάλογο ελέγχου αξιολόγησης που καλύπτει την τοποθεσία δεδομένων, το μοντέλο πρόσβασης, την καταγραφή και την κρυπτογράφηση.

Για την πρόληψη κατάληψης υποτομέων, προσθέστε προσαρμοσμένα domains, εξαρτήσεις DNS, ιδιοκτήτη παροπλισμού και τεκμήρια εξόδου σε αυτόν τον κατάλογο ελέγχου αξιολόγησης υπηρεσιών νέφους.

Χαρτογράφηση NIS2, DORA και GDPR

Η NIS2 καθιστά τη διακυβέρνηση dangling DNS ζήτημα επιπέδου Διοικητικού Συμβουλίου για πολλές βασικές και σημαντικές οντότητες. Το Article 20 απαιτεί από τα διοικητικά όργανα να εγκρίνουν μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, να εποπτεύουν την εφαρμογή τους και να παρακολουθούν εκπαίδευση κυβερνοασφάλειας. Το Article 21 απαιτεί κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα με ολιστική προσέγγιση του κινδύνου. Οι ελάχιστες περιοχές του περιλαμβάνουν ανάλυση κινδύνου, χειρισμό περιστατικών, επιχειρησιακή συνέχεια, ασφάλεια εφοδιαστικής αλυσίδας, ασφαλή απόκτηση, ανάπτυξη και συντήρηση, χειρισμό ευπαθειών, αξιολόγηση αποτελεσματικότητας, κυβερνοϋγιεινή, εκπαίδευση, έλεγχο πρόσβασης και διαχείριση περιουσιακών στοιχείων.

Ένα πρόγραμμα dangling DNS χαρτογραφείται καθαρά σε αυτές τις περιοχές. Το Article 21(3) απαιτεί επίσης η ασφάλεια εφοδιαστικής αλυσίδας να λαμβάνει υπόψη ευπάθειες ειδικές για κάθε άμεσο προμηθευτή ή πάροχο υπηρεσιών. Εάν εξωτερικό γραφείο μάρκετινγκ, προμηθευτής SaaS, πάροχος διαχειριζόμενης φιλοξενίας ή πλατφόρμα νέφους διαχειρίζεται προσαρμοσμένα domains, οι έλεγχοι ανά προμηθευτή πρέπει να καλύπτουν ιδιοκτησία DNS, έξοδο υπηρεσίας, υποστήριξη περιστατικών και παράδοση τεκμηρίων.

Το Article 23 έχει σημασία εάν συμβεί κατάληψη ή εάν αυτή είναι ικανή να προκαλέσει σοβαρή επιχειρησιακή διαταραχή, οικονομική ζημία ή σημαντική υλική ή μη υλική βλάβη. Η NIS2 χρησιμοποιεί σταδιακή αναφορά: έγκαιρη προειδοποίηση εντός 24 ωρών από τη λήψη γνώσης σημαντικού περιστατικού, κοινοποίηση εντός 72 ωρών, ενδιάμεσες αναφορές όπου ζητηθούν και τελική αναφορά εντός ενός μήνα από την κοινοποίηση του περιστατικού.

Για τις χρηματοοικονομικές οντότητες, ο DORA είναι το ειδικό τομεακό καθεστώς ψηφιακής επιχειρησιακής ανθεκτικότητας. Τα Articles 5 και 6 απαιτούν εσωτερικό πλαίσιο διακυβέρνησης και ελέγχου για τη διαχείριση κινδύνων ΤΠΕ, με τελική ευθύνη του διοικητικού οργάνου, σαφείς ρόλους ΤΠΕ, πολιτικές για τη διαθεσιμότητα, αυθεντικότητα, ακεραιότητα και εμπιστευτικότητα των δεδομένων, σχέδια ελέγχων, πόρους, πολιτική υπηρεσιών τρίτων και τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ.

Τα Articles 8 έως 14 αποτελούν τον επιχειρησιακό πυρήνα. Το Article 8 απαιτεί αναγνώριση, ταξινόμηση και τεκμηρίωση επιχειρησιακών λειτουργιών που υποστηρίζονται από ΤΠΕ, πληροφοριακών περιουσιακών στοιχείων, περιουσιακών στοιχείων ΤΠΕ, εξαρτήσεων, διασυνδέσεων με τρίτους παρόχους ΤΠΕ, αποθετηρίων, σεναρίων κινδύνου και συστημάτων παλαιού τύπου. Ένα dangling CNAME είναι συχνά χαμένη εξάρτηση. Το Article 9 απαιτεί προστασία και πρόληψη. Το Article 10 απαιτεί ανίχνευση ανώμαλης δραστηριότητας, περιστατικών ΤΠΕ και πιθανών ενιαίων σημείων αστοχίας. Τα Articles 11 και 12 αφορούν τη συνέχεια, την ανάκαμψη, τα αντίγραφα ασφαλείας και την αποκατάσταση. Το Article 13 απαιτεί μάθηση από ευπάθειες, απειλές, περιστατικά και δοκιμές.

Τα Articles 17 έως 19 τυποποιούν τη διαχείριση περιστατικών, την ταξινόμηση και την αναφορά. Τα Articles 28 έως 30 καθιστούν τον κίνδυνο τρίτων παρόχων ΤΠΕ βασισμένο στον κύκλο ζωής. Οι χρηματοοικονομικές οντότητες παραμένουν πλήρως υπεύθυνες όταν χρησιμοποιούν παρόχους υπηρεσιών ΤΠΕ. Για ετοιμότητα DORA, η Clarysec συνιστά να προστίθενται τέσσερα πεδία σε κάθε μητρώο DNS και υπηρεσιών νέφους: υποστήριξη κρίσιμης ή σημαντικής λειτουργίας, τρίτος πάροχος ΤΠΕ, αναφορά σύμβασης ή μητρώου και κατάσταση δοκιμής εξόδου.

Ο GDPR εφαρμόζεται όταν το ζήτημα αφορά δεδομένα προσωπικού χαρακτήρα. Η κατάληψη υποτομέα δεν αποτελεί αυτομάτως παραβίαση δεδομένων προσωπικού χαρακτήρα, αλλά μπορεί να καταστεί τέτοια εάν ο επηρεαζόμενος υποτομέας συλλέγει διαπιστευτήρια, καταγράφει δεδομένα φορμών, πλαστοπροσωπεί υπηρεσία, εκθέτει αναγνωριστικά χρηστών ή επιτρέπει μη εξουσιοδοτημένη πρόσβαση σε δεδομένα προσωπικού χαρακτήρα. Το GDPR Article 5 απαιτεί ακεραιότητα, εμπιστευτικότητα και λογοδοσία. Το Article 32 απαιτεί κατάλληλη ασφάλεια της επεξεργασίας. Το Article 33 μπορεί να απαιτεί γνωστοποίηση στην εποπτική αρχή εάν μια παραβίαση δεδομένων προσωπικού χαρακτήρα είναι πιθανό να επιφέρει κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων.

Η PII Incident and Breach Management Policy PII Incident and Breach Management Policy της Clarysec, στην ενότητα Ταξινόμηση και αξιολόγηση παραβίασης, ρήτρα 4.2.6, υποστηρίζει αυτή την ανάλυση εναυσμάτων σε πολλαπλά καθεστώτα:

[Conditional] Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS ΠΡΕΠΕΙ να αξιολογεί τα εφαρμοστέα νομικά, τομεακά, χρηματοοικονομικού τομέα, κυβερνοασφάλειας, συμβατικά, πελατειακά και έναντι αποδεκτών υπηρεσιών εναύσματα αναφοράς για κάθε περιστατικό υψηλού αντικτύπου που αφορά PII και να καταγράφει το αποτέλεσμα εφαρμοσιμότητας στα REG01, REG08 και REG10.

Αυτό το αρχείο απόφασης είναι ακριβώς ό,τι χρειάζεται όταν μια κατάληψη υποτομέα θα μπορούσε να αφορά GDPR, NIS2, DORA, συμβάσεις και κοινοποίηση προς πελάτες.

Πώς θα ελέγξουν οι ελεγκτές τα τεκμήριά σας

Ένα ενοποιημένο ISMS πρέπει να σας επιτρέπει να απαντάτε σε διαφορετικούς ελεγκτές με την ίδια βάση τεκμηρίων. Η διατύπωση της ερώτησης αλλάζει, αλλά η απόδειξη είναι συχνά η ίδια.

Ένας ευρύτερος φακός διασφάλισης περιλαμβάνει συχνά NIST CSF 2.0 και COBIT 2019. Το NIST CSF 2.0 βοηθά να εκφραστεί η κατάσταση-στόχος μέσω αποτελεσμάτων GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND και RECOVER. Ένα Current Profile μπορεί να δείχνει χειροκίνητες τριμηνιαίες ανασκοπήσεις DNS και ασυνεπή αποχώρηση SaaS. Ένα Target Profile μπορεί να απαιτεί αυτοματοποιημένους εβδομαδιαίους ελέγχους κατάληψης, υποχρεωτική ανάθεση ιδιοκτήτη, τεκμήρια εξόδου προμηθευτή και ενσωμάτωση με τη διαχείριση αλλαγών.

Ένας ελεγκτής με προσανατολισμό COBIT 2019 ή ISACA συνήθως θα ρωτήσει ποιος κατέχει τη διαδικασία, πώς αξιολογείται και κατευθύνεται ο κίνδυνος, αν οι αλλαγές ελέγχονται, αν οι προμηθευτές διαχειρίζονται, αν η διαμόρφωση και τα περιουσιακά στοιχεία είναι αξιόπιστα και αν τα τεκμήρια διασφάλισης υποστηρίζουν την αναφορά προς τη διοίκηση. Μπορεί να μην ζητήσει πρώτα κατάλογο CNAME. Μπορεί να ρωτήσει πώς η διοίκηση γνωρίζει ότι οι εξωτερικές ψηφιακές υπηρεσίες ελέγχονται σε όλο τον κύκλο ζωής τους.

Πώς μοιάζουν τα καλά ελεγκτικά τεκμήρια

Μια δέσμη ελεγκτικών τεκμηρίων για dangling DNS πρέπει να είναι αρκετά μικρή ώστε να συντηρείται, αλλά αρκετά πλήρης ώστε να υποστηρίζει τη θέση του οργανισμού. Η Clarysec συνήθως συνιστά το ακόλουθο σύνολο τεκμηρίων:

• Αποθετήριο ζωνών DNS με πηγή, ημερομηνία, τύπο εγγραφής, στόχο και ιδιοκτήτη.
• Αποτελέσματα σάρωσης εξωτερικής επιφάνειας επίθεσης που δείχνουν ελέγχους κατάληψης.
• Καταχωρίσεις Μητρώου Περιουσιακών Στοιχείων για domains, υποτομείς, υπηρεσίες νέφους, εφαρμογές SaaS και CDN.
• Μητρώο υπηρεσιών που δείχνει εσωτερική ευθύνη ή ευθύνη προμηθευτή.
• Αιτήματα αλλαγής για δημιουργία, τροποποίηση και διαγραφή εγγραφών DNS.
• Λίστες ελέγχου ένταξης υπηρεσιών νέφους και SaaS που περιλαμβάνουν ανασκόπηση προσαρμοσμένου domain και DNS.
• Συμβάσεις προμηθευτών ή ρήτρες ασφάλειας που καλύπτουν DNS, φιλοξενία, υποστήριξη περιστατικών και έξοδο.
• Αιτήματα ευπαθειών με σοβαρότητα, ιδιοκτήτη, ημερομηνία αποκατάστασης και τεκμήρια επανελέγχου.
• Αξιολόγηση PII όταν ο υποτομέας επεξεργάζεται ή επεξεργαζόταν προηγουμένως δεδομένα προσωπικού χαρακτήρα.
• Αρχεία ταξινόμησης περιστατικών για ύποπτη ή επιβεβαιωμένη κατάληψη.
• Διδάγματα που αντλήθηκαν και επικαιροποιημένες διαδικασίες μετά από ευρήματα.

Οι μετρικές έχουν επίσης σημασία. Η διοίκηση πρέπει να βλέπει τον αριθμό των εξωτερικών υποτομέων, το ποσοστό με ανατεθειμένους ιδιοκτήτες, τον αριθμό των dangling ευρημάτων, τον μέσο χρόνο αποκατάστασης, τα εκπρόθεσμα ευρήματα υψηλού κινδύνου, τους υποτομείς που φιλοξενούνται από προμηθευτές χωρίς τρέχουσα αναφορά σύμβασης και το ποσοστό εξόδων από υπηρεσίες νέφους με τεκμήρια αφαίρεσης DNS.

Αυτές οι μετρικές μετατρέπουν την τεχνική υγιεινή σε τεκμήρια εποπτείας από τη διοίκηση.

Συνήθη μοτίβα αστοχίας που εντοπίζει η Clarysec

Σε πελάτες SaaS, fintech, τεχνολογίας υγείας, διαχειριζόμενων υπηρεσιών και ηλεκτρονικού εμπορίου, επαναλαμβάνονται τα ίδια μοτίβα.

Πρώτον, η ιδιοκτησία DNS είναι κατακερματισμένη μεταξύ ομάδων. Η Μηχανική κατέχει το περιβάλλον νέφους. Το Μάρκετινγκ κατέχει τις καμπάνιες. Η Πληροφορική κατέχει την πρόσβαση στον πάροχο DNS. Το Τμήμα Προμηθειών κατέχει τον τερματισμό SaaS. Κανείς δεν κατέχει ολόκληρο τον κύκλο ζωής.

Δεύτερον, η διαγραφή στο περιβάλλον νέφους αντιμετωπίζεται ως το τέλος της υπηρεσίας. Στην πραγματικότητα, DNS, πιστοποιητικά, κανόνες WAF, παρακολούθηση, μυστικά, τεκμηρίωση και αρχεία προμηθευτών μπορεί να παραμένουν.

Τρίτον, οι σαρωτές ευπαθειών εστιάζουν σε ενεργούς κεντρικούς υπολογιστές αλλά χάνουν συνθήκες κατάληψης ειδικές ανά πάροχο. Οι οργανισμοί χρειάζονται ελέγχους εξωτερικής επιφάνειας επίθεσης που κατανοούν συνήθεις καταστάσεις σφαλμάτων SaaS και νέφους.

Τέταρτον, οι διαδικασίες εξόδου προμηθευτών εστιάζουν σε τιμολόγια και επιστροφή δεδομένων, όχι σε προσαρμοσμένα domains, εγγραφές DNS και αλλαγές υπεργολάβων επεξεργασίας.

Πέμπτον, οι ομάδες ιδιωτικότητας ενημερώνονται πολύ αργά. Εάν ένας υποτομέας επεξεργαζόταν PII, ο DPO ή ο επικεφαλής ιδιωτικότητας πρέπει να συμμετέχει στην ταξινόμηση πριν γίνουν παραδοχές.

Έκτον, τα τεκμήρια υπάρχουν αλλά είναι διάσπαρτα. Η εξαγωγή DNS βρίσκεται σε ένα εργαλείο, τα αιτήματα αλλαγής σε άλλο, οι συμβάσεις προμηθευτών στις προμήθειες, οι αναφορές ευπαθειών στους σαρωτές και η ανάλυση ιδιωτικότητας σε email. Οι ελεγκτές αντιμετωπίζουν τον κατακερματισμό ως αδυναμία.

Η εργαλειοθήκη της Clarysec το επιλύει συνδέοντας πολιτικές, μητρώα, ελέγχους και ροές εργασίας τεκμηρίων.

Σχέδιο δράσης 30 ημερών για τη διακυβέρνηση DNS

Εάν εντοπίσατε μία dangling εγγραφή DNS, υποθέστε ότι υπάρχουν περισσότερες. Εάν δεν εντοπίσατε καμία, βεβαιωθείτε ότι μπορείτε να αποδείξετε το γιατί.

Ξεκινήστε με αυτό το σχέδιο 30 ημερών:

1. Εξαγάγετε όλες τις έγκυρες ζώνες DNS.
2. Εντοπίστε εγγραφές CNAME, ALIAS, A και AAAA που παραπέμπουν σε υπηρεσίες νέφους, SaaS, CDN και υπηρεσίες διαχειριζόμενες από εξωτερικά γραφεία.
3. Αναθέστε ιδιοκτήτες και επιχειρησιακούς σκοπούς.
4. Εκτελέστε ελέγχους κατάληψης και επικυρώστε χειροκίνητα τις ύποπτες εγγραφές.
5. Δημιουργήστε αιτήματα ευπαθειών για επιβεβαιωμένους κινδύνους.
6. Αφαιρέστε ή επαναδεσμεύστε εκτεθειμένες εγγραφές μέσω ελέγχου αλλαγών.
7. Επικαιροποιήστε το Μητρώο Περιουσιακών Στοιχείων, το μητρώο νέφους και το μητρώο προμηθευτών.
8. Ανασκοπήστε αν κάποιος επηρεαζόμενος υποτομέας επεξεργάστηκε PII.
9. Προσθέστε ελέγχους κύκλου ζωής DNS στην ένταξη υπηρεσιών νέφους, στις προμήθειες SaaS και στην έξοδο προμηθευτών.
10. Αναφέρετε μετρικές στη διοίκηση.

Η τεχνική διόρθωση για το dangling DNS είναι συχνά απλή. Η διόρθωση διακυβέρνησης είναι αυτή που αποτρέπει την επόμενη κατάληψη.

Η Clarysec μπορεί να σας βοηθήσει να το θέσετε σε επιχειρησιακή λειτουργία χρησιμοποιώντας το Zenith Blueprint Zenith Blueprint, τα Zenith Controls Zenith Controls και την εργαλειοθήκη πολιτικών μας για διαχείριση περιουσιακών στοιχείων, χρήση υπηρεσιών νέφους, διαχείριση ευπαθειών, διακυβέρνηση προμηθευτών, ασφάλεια PII, απόκριση σε περιστατικά και ελεγκτικά τεκμήρια.

Εάν θέλετε προσέγγιση έτοιμη για έλεγχο, η Clarysec μπορεί να σας βοηθήσει να δημιουργήσετε τη δέσμη τεκμηρίων έκθεσης DNS και νέφους, να τη χαρτογραφήσετε σε ISO/IEC 27001:2022, NIS2, DORA και GDPR και να μετατρέψετε ξεχασμένους υποτομείς σε ελεγχόμενα, ιδιόκτητα και παρακολουθούμενα περιουσιακά στοιχεία. Κατεβάστε τη σχετική εργαλειοθήκη Clarysec, ζητήστε demo ή προγραμματίστε αξιολόγηση διακυβέρνησης DNS πριν ένας δοκιμαστής διείσδυσης, ελεγκτής ή επιτιθέμενος εντοπίσει τον επόμενο ξεχασμένο δείκτη.