Je dobrým řešením blokovat po určitou dobu přístup na nově zaregistrované domény?

Newly Registered Domains, zkr. NRD nebo také Newly Observed Domains, zkr. NOD jsou domény, které jak již název sám napovídá, byly nově zaregistrovány.

Denně vzniká až několik stovek tisíc domén, a dle některých zdrojů jsou až v 70 % případů krátce po vytvoření zneužity ke kriminálním aktivitám, např. k šíření SPAMu, phishingu, malware anebo jako C&C server.

Tyto domény jsou zakládány na různých doménách prvního řádu. Nejvíce jich je samozřejmě na doméně .com, přičemž zpravidla se jedná o domény druhého řádu (stovky tisíc) a třetího řádu (desítky tisíc), ale občas se objeví doména třeba i patnáctého řádu.

Nejčastěji je doménou druhého řádu číslo, za kterým se pak nachází nějaký znak. Často se generuje celá řada domén, které v názvu obsahují řadu po sobě jdoucích čísel a znaků.

Tyto domény sice mají jepičí život, často jen několik málo hodin nebo dnů, neboť jsou bezpečnostními řešeními označeny poměrně záhy jako podvodné a přístup k nim je blokován anebo je daná doména rovnou zrušena.

Nicméně zpočátku nejsou tyto domény bezpečnostními řešeními označovány jako škodlivé vůbec, a proto se nabízí všechny nově vytvořené domény preventivně blokovat na úrovni DNS a zpřístupnit je až po uplynutí určité doby.

Stejně tak lze přistoupit i k hodnocení domén, když dojde ke změně jejich vlastnictví, protože ty mohou být rovněž v okamžiku, kdy přejde doména na nového vlastníka, zneužity ke kriminálním účelům a těžit z jejich dosavadní dobré reputace.

Je však otázka, zdali je tato technika skutečně účinná? Momentálně asi ano, ale v okamžiku, kdy se stane všeobecně používanou, tak to může vést jedině k tomu, že útočník prostě pár dnů po registraci domény počká a teprve pak rozjede svojí aktivitu. Účinnost této ochrany pak bude v čase rapidně klesat.

Nehledě na to, že onen škodlivý obsah může být zpřístupněn pouze pro uživatele přistupující na daný web jen z určitého IP adresního rozsahu, což se děje už teď, takže bezpečnostní řešení o něm neví.

Další problém je, že dost často jsou zneužívány již delší dobu běžící weby s dobrou reputací, nad kterými útočník de facto převzal kontrolu, ale v doménovém záznamu se to samozřejmě neobjeví.

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.