使われていないイベント用サブドメインを監査して整理する方法
過去のイベントのサブドメインが終了した外部サービスを指している場合があります。DNS変更前に用途、担当者、依存関係を確認します。
Boletolibre編集部
公開日
監査シートをダウンロード
ホスト名、接続先、担当者、証拠、判断、見直し日を記録します。認証情報は記載しないでください。
監査が必要な理由
過去のイベントのサブドメインが終了した外部サービスを指している場合があります。DNS変更前に用途、担当者、依存関係を確認します。[2]
名前を集める
各サービスを確認
サービス、アカウント、担当者、観測結果、依存関係、判断を記録します。404だけで乗っ取り可能とは言えません。[2]
判断して廃止
チケットやメールのリンクを確認してから転送または廃止します。外部リソースを削除する前にDNSを更新し、結果を記録します。[2]
台帳を維持
新しい名前ごとに担当者と見直し日を設定します。
出典と参考資料
- How to Audit Every Subdomain You Own (Including the Ones You Forgot About)Domain Verity · 確認日
- Subdomain Takeover Prevention Cheat SheetOWASP · 確認日
- Subdomain delegation and available setupsCloudflare · 確認日