image.png
關(guān)于Domain-Protect
Domain-Protect是一款功能強(qiáng)大的子域名安全保護(hù)工具贫奠，可以幫助廣大研究人員更好地保護(hù)自己的網(wǎng)站抵御子域名接管攻擊铐维。該工具支持實(shí)現(xiàn)以下兩個(gè)目標(biāo)：
- 掃描一個(gè)AWS組織中的Amazon Route53宙彪，并獲取存在安全問(wèn)題的域名記錄，然后嘗試執(zhí)行域名接管檢測(cè)；
- 可以通過(guò)Domain Protect for GCP檢測(cè)Google Cloud DNS中存在安全問(wèn)題的域名鸿吆；
子域名檢測(cè)功能
掃描Amazon Route53以識(shí)別：
- 缺少S3源的CloudFront發(fā)行版的ALIAS記錄；
- 缺少S3源的CloudFront發(fā)行版的CNAME記錄述呐；
- 存在接管漏洞的ElasticBeanstalk的ALIAS記錄惩淳；
- 缺少托管區(qū)域的已注冊(cè)域名；
- 易被接管的子域名乓搬；
- 易被接管的S3ALIAS記錄思犁；
- 易被接管的S3CNAME記錄代虾；
- Azure資源中存在安全問(wèn)題的CNAME記錄；
- 缺少Google云存儲(chǔ)Bucket的CNAME記錄激蹲；
【點(diǎn)擊查看網(wǎng)絡(luò)安全學(xué)習(xí)資料·攻略】如下
- 2000多本網(wǎng)絡(luò)安全系列電子書(shū)
- 網(wǎng)絡(luò)安全標(biāo)準(zhǔn)題庫(kù)資料
- 項(xiàng)目源碼
- 網(wǎng)絡(luò)安全基礎(chǔ)入門(mén)褐着、Linux、web安全托呕、攻防方面的視頻
- 網(wǎng)絡(luò)安全學(xué)習(xí)路線圖
這些額外的檢測(cè)功能默認(rèn)是關(guān)閉的含蓉，因?yàn)榭赡茉趻呙璐笮徒M織時(shí)會(huì)導(dǎo)致Lambda超時(shí)，比如說(shuō)掃描缺少Google云存儲(chǔ)Bucket的A記錄项郊。如需啟用馅扣，請(qǐng)?jiān)谀愕膖fvars文件或CI/CD管道中 創(chuàng)建下列Terraform變量：
lambdas = ["alias-cloudfront-s3", "alias-eb", "alias-s3", "cname-cloudfront-s3", "cname-eb", "cname-s3", "ns-domain", "ns-subdomain", "cname-azure", "cname-google", "a-storage"]
通知
- 針對(duì)掃描到的每種漏洞類型通過(guò)Slack通知 ，枚舉出賬號(hào)名稱和漏洞域名着降；
- 訂閱SNS主題差油，發(fā)送JSON格式的電子郵件通知，其中包含帳戶名任洞、帳戶ID和存在安全問(wèn)題的域名蓄喇；
工具要求
- 需要AWS組織內(nèi)的安全審計(jì)賬號(hào)；
- 在組織中的每個(gè)AWS帳戶都具有相同名稱的安全審核只讀角色交掏；
- 針對(duì)Terraform狀態(tài)文件的Storage Bucket妆偏；
- Terraform 1.0.x；
工具源碼獲取
廣大研究人員可以通過(guò)下列命令將該項(xiàng)目源碼克隆至本地：
git clone https://github.com/ovotech/domain-protect.git
工具使用
- 以下列命令形式替換Terraform狀態(tài)S3 Bucket字段（TERRAFORM_STATE_BUCKET）盅弛；
- 針對(duì)本地測(cè)試钱骂，拷貝項(xiàng)目中的tfvars.example，重命名并去掉.example后綴挪鹏；
- 輸入你組織相關(guān)的詳情信息见秽；
- 在你的CI/CD管道中輸出Terraform變量；
AWS IAM策略
針對(duì)最小特權(quán)訪問(wèn)控制讨盒，項(xiàng)目提供了AWS IAM策略樣例：
- domain-protect audit policy
- domain-protect audit trust relationship
- domain-protect audit trust relationship with External ID
- domain-protect deploy policy
工具使用截圖
部署至安全審計(jì)賬號(hào)
在這里插入圖片描述
掃描整個(gè)AWS組織
在這里插入圖片描述
通過(guò)Slack或電子郵件接收提醒消息
在這里插入圖片描述
通過(guò)筆記本電腦手動(dòng)執(zhí)行掃描任務(wù)
在這里插入圖片描述
