Subdomeinen: het verborgen aanvalsoppervlak
Elke organisatie heeft meer subdomeinen dan ze vermoedt. Naast de klassieke www, mail, ftp bestaan er subdomeinen voor ontwikkelomgevingen (dev, staging, test), API's (api, api-v2), beheerpanelen (admin, panel, cpanel), interne diensten (jira, confluence, gitlab) en clouddiensten (app, cdn, assets). Elk hiervan vormt een potentieel toegangspunt voor een aanvaller. De Subdomain Finder automatiseert de ontdekking van deze subdomeinen en levert een complete kaart van de domeinperimeter.
Het beveiligingsprobleem van subdomeinen wordt verergerd door "shadow IT": diensten aangemaakt door verschillende teams, vaak vergeten na de testfase, die zonder beveiligingsupdates, zonder monitoring en soms met standaardinloggegevens op het internet blijven staan. Een vergeten subdomein zoals staging.voorbeeld.nl met een kwetsbare versie van het CMS is een geschenk voor elke aanvaller. De eerste verdediging is bewustzijn: weten welke subdomeinen er bestaan.
Technieken voor subdomain-enumeratie
De Subdomain Finder gebruikt meerdere bronnen: Certificate Transparency Logs (openbare registers van alle uitgegeven SSL-certificaten, die de gedekte hostnamen bevatten), DNS brute-force met woordlijsten (het bevragen van duizenden veelvoorkomende namen), analyse van bestaande DNS-records (NS, MX, TXT bevatten vaak verwijzingen naar subdomeinen) en andere OSINT-bronnen. De combinatie van meerdere technieken maximaliseert de dekking.
Wat te doen met de gevonden subdomeinen
Zodra je de lijst hebt, moet elk subdomein worden geanalyseerd. Controleer het SSL-certificaat met SSL Check — subdomeinen zonder HTTPS of met verlopen certificaten zijn een alarmsignaal. Controleer de beveiligingsheaders met Security Headers om zwakke configuraties te identificeren. Zoek naar subdomeinen die oplossen naar privé-IP's (10.x, 172.16-31.x, 192.168.x) wat duidt op een foutieve configuratie, en verweesde CNAME's die verwijzen naar opgeheven diensten (risico op subdomain takeover).
Subdomain takeover is een bijzonder ernstig risico: als een CNAME verwijst naar een clouddienst (bijv. something.azurewebsites.net) die niet meer actief is, kan een aanvaller die hostnaam bij de cloudprovider claimen en willekeurige inhoud aanbieden op jouw subdomein. Dit maakt geloofwaardige phishing, verspreiding van malware en compromittering van de domeinreputatie mogelijk. De preventie is eenvoudig: verwijder DNS-records voor niet meer gebruikte subdomeinen.
Voor een volledige beveiligingsaudit van de perimeter combineer je de Subdomain Finder met een systematische scan van elk gevonden subdomein. Documenteer elk subdomein met het doel, de verantwoordelijke en de datum van laatste gebruik. Deze continue perimeterkartografie is een fundamenteel onderdeel van elk beveiligingsprogramma, en Domain Health kan een geconsolideerd rapport leveren over de algehele gezondheid van het domein en zijn afhankelijkheden.