서브도메인 찾기란?
서브도메인 찾기(Subdomain Finder)는 루트 도메인에 연결된 모든 서브도메인을 검색하는 도구입니다. Certificate Transparency 로그 스캔, DNS 열거, 브루트포스 워드리스트 공격, 공개 데이터셋 쿼리 등의 기법을 사용하여 mail.example.com, api.example.com, staging.example.com과 같이 공개적으로 나열되지 않은 서브도메인을 발견합니다.
서브도메인은 조직의 인프라를 드러내는 창구입니다. 개발 서버, API 엔드포인트, 내부 도구, 스테이징 환경 등이 서브도메인으로 운영되며, 이러한 서브도메인을 파악하는 것은 보안 감사와 인프라 관리의 첫 번째 단계입니다. DNS 조회 도구로 각 서브도메인의 DNS 레코드를 확인할 수 있습니다.
이 무료 서브도메인 찾기 도구는 crt.sh와 Certspotter의 CT 로그를 실시간으로 스캔하여 서브도메인을 검색하고, 각 서브도메인의 IP 주소, 호스팅 제공업체, ASN, 국가 정보를 Team Cymru DNS를 통해 확인합니다.
서브도메인 검색 작동 방식
서브도메인을 검색하는 방법은 여러 가지가 있으며, 각 방법은 장단점이 있습니다. 가장 효과적인 서브도메인 검색은 여러 기법을 결합하여 포괄적인 결과를 얻는 것입니다.
이 도구는 주로 Certificate Transparency 로그를 활용하지만, 다른 검색 방법도 이해하면 보안 평가에 도움이 됩니다. CNAME 조회 도구로 서브도메인의 별칭 체인을 확인할 수 있습니다.
Certificate Transparency 로그
CT 로그는 인증 기관이 발급한 모든 SSL/TLS 인증서의 공개 감사 기록입니다. 인증서에 서브도메인 이름이 포함되므로, crt.sh나 Certspotter 같은 서비스로 CT 로그를 검색하면 해당 도메인의 서브도메인을 발견할 수 있습니다. 가장 신뢰할 수 있는 수동 검색 방법입니다.
DNS 브루트포스 열거
일반적인 서브도메인 이름(www, mail, api, dev, staging 등)의 워드리스트를 사용하여 DNS 리졸버에 체계적으로 쿼리하는 방법입니다. 존재하는 서브도메인은 IP 주소를 반환하고, 존재하지 않는 서브도메인은 NXDOMAIN을 반환합니다. 효과적이지만 시간이 오래 걸릴 수 있습니다.
DNS Zone Transfer (AXFR)
Zone Transfer는 네임서버에 전체 DNS 영역 파일을 요청하는 것입니다. 성공하면 모든 DNS 레코드와 서브도메인을 한 번에 얻을 수 있지만, 대부분의 네임서버는 보안상 AXFR 요청을 거부합니다. NS 조회로 도메인의 네임서버를 먼저 확인하세요.
공개 데이터셋 및 검색 엔진
검색 엔진의 인덱스, Wayback Machine 아카이브, 보안 데이터베이스(Shodan, Censys) 등을 통해 서브도메인을 수집합니다. 과거에 존재했지만 현재는 비활성화된 서브도메인도 발견할 수 있어 테이크오버 위험 평가에 유용합니다.
서브도메인을 찾아야 하는 이유
서브도메인 검색은 보안 감사, 인프라 관리, 경쟁 분석에 필수적입니다. 대부분의 조직은 운영 중인 서브도메인의 전체 목록을 관리하지 않으며, 잊혀진 서브도메인이 보안 취약점이 됩니다.
정기적인 서브도메인 검색은 Shadow IT를 발견하고, 공격 표면을 파악하며, DNS 기록을 최신 상태로 유지하는 데 중요합니다. 도메인 검증 도구로 전체 DNS 구성의 건강 상태를 확인하세요.
공격 표면 매핑
서브도메인은 조직의 외부 공격 표면을 구성합니다. 개발 서버, 스테이징 환경, 내부 API 등이 인터넷에 노출되어 있을 수 있습니다. 모든 서브도메인을 파악하면 잠재적 취약점을 식별하고 불필요한 노출을 줄일 수 있습니다.
서브도메인 테이크오버 방지
더 이상 사용하지 않는 외부 서비스를 가리키는 CNAME 레코드가 남아 있으면 공격자가 해당 서비스를 등록하여 서브도메인을 탈취할 수 있습니다. 정기적인 서브도메인 스캔으로 이러한 위험을 발견하세요.
DNS 인벤토리 및 감사
조직의 서브도메인 전체 목록을 유지하는 것은 DNS 관리의 기본입니다. 사용하지 않는 레코드를 정리하고, 각 서브도메인의 용도와 담당자를 문서화하며, 변경 사항을 추적하세요.
인프라 매핑
서브도메인에서 사용하는 IP 주소, 호스팅 제공업체, CDN을 분석하면 조직의 인프라 구조를 파악할 수 있습니다. 도메인 IP 조회와 IP 조회 도구로 각 서브도메인의 서버 정보를 확인하세요.
경쟁 인텔리전스
경쟁사의 서브도메인을 분석하면 사용 중인 기술 스택, 서비스 구조, 개발 환경을 파악할 수 있습니다. 예를 들어 api.competitor.com, staging.competitor.com 등을 통해 기술 전략을 이해할 수 있습니다.
규정 준수 및 문서화
SOC 2, ISO 27001 등의 보안 인증을 위해 모든 외부 자산을 문서화해야 합니다. 서브도메인 찾기 도구를 사용하면 알려지지 않은 자산을 발견하고 규정 준수 요구 사항을 충족할 수 있습니다.
일반적인 서브도메인과 그 의미
서브도메인 이름은 해당 서비스의 용도를 나타내는 경우가 많습니다. 아래는 가장 일반적으로 발견되는 서브도메인 패턴과 각각이 의미하는 바입니다.
서브도메인을 검색하여 인프라 서브도메인과 개발/운영 서브도메인을 구분하면 보안 우선순위를 설정하는 데 도움이 됩니다. HTTP 헤더 확인으로 각 서브도메인의 보안 헤더를 점검하세요.
인프라 서브도메인
mail, smtp, pop, imap (이메일 서버), ns1, ns2 (네임서버), ftp (파일 전송), vpn, remote (원격 접속), cdn, static, assets (정적 리소스), db, mysql, redis (데이터베이스). 이러한 서브도메인은 핵심 인프라를 나타내며 보안이 중요합니다.
개발 및 운영 서브도메인
dev, staging, test, qa (개발/테스트 환경), api, api-v2 (API 서비스), admin, dashboard, panel (관리 인터페이스), ci, jenkins, gitlab (CI/CD), monitoring, grafana (모니터링). 이러한 서브도메인은 종종 보안 설정이 미흡하여 취약점이 될 수 있습니다.
서브도메인 테이크오버란?
서브도메인 테이크오버는 서브도메인(예: blog.example.com)에 외부 서비스(GitHub Pages, Heroku, AWS S3 등)를 가리키는 CNAME 레코드가 있지만, 해당 외부 서비스가 해지된 상태에서 DNS 레코드가 그대로 남아 있을 때 발생합니다. 공격자는 버려진 서비스 엔드포인트를 등록하여 해당 서브도메인에서 악성 콘텐츠를 제공할 수 있습니다.
서브도메인 테이크오버는 심각한 보안 위협입니다. 공격자가 합법적인 서브도메인에서 피싱 페이지를 호스팅하거나, 쿠키를 탈취하거나, 악성 소프트웨어를 배포할 수 있습니다. 특히 같은 루트 도메인의 쿠키에 접근할 수 있어 세션 하이재킹의 위험이 있습니다.
서브도메인 테이크오버를 방지하려면 정기적으로 서브도메인 찾기 도구를 실행하고, CNAME 조회로 모든 CNAME 레코드가 유효한 서비스를 가리키고 있는지 확인하세요. 서비스를 해지할 때는 반드시 DNS 레코드도 함께 삭제해야 합니다.
서브도메인 보안 모범 사례
서브도메인 보안은 전체 도메인 보안의 핵심 요소입니다. 다음 모범 사례를 따르면 서브도메인으로 인한 보안 위험을 크게 줄일 수 있습니다.
SSL 인증서 확인으로 모든 활성 서브도메인에 유효한 SSL 인증서가 설치되어 있는지 확인하고, 도메인 건강 검사 도구로 전체 도메인 구성을 점검하세요.
정기적인 서브도메인 감사 수행 — 매월 또는 분기별로 서브도메인 찾기 도구를 실행하여 새로 생성되거나 알려지지 않은 서브도메인을 발견하세요. CT 로그 모니터링을 설정하면 새 인증서 발급 시 알림을 받을 수 있습니다
댕글링 DNS 레코드 제거 — 더 이상 사용하지 않는 서비스를 가리키는 CNAME, A 레코드를 즉시 삭제하세요. 서비스를 해지하기 전에 DNS 레코드 삭제를 체크리스트에 포함하세요
와일드카드 인증서 신중하게 사용 —
*.example.com와일드카드 인증서는 편리하지만, 테이크오버된 서브도메인에서도 유효한 SSL을 제공할 수 있습니다. 중요한 서브도메인에는 개별 인증서를 사용하세요Zone Transfer 제한 — 네임서버에서 AXFR 쿼리를 인가된 서버로만 제한하세요. 무제한 Zone Transfer는 전체 DNS 영역을 노출시킵니다. NS 조회로 네임서버 구성을 확인하세요
CT 로그 모니터링 — 도메인의 Certificate Transparency 로그를 모니터링하여 무단 인증서 발급을 감지하세요. 예상치 않은 서브도메인에 인증서가 발급되면 보안 사고의 징후일 수 있습니다
서브도메인 노출 최소화 — 내부 도구와 개발 환경은 VPN 뒤에 배치하세요. 공개적으로 접근할 필요가 없는 서브도메인은 인터넷에서 제거하고, 필요한 경우에만 접근 제어를 적용하세요
관련 도구
DNS Robot은 서브도메인 찾기를 보완하는 다양한 도메인 분석 및 보안 도구를 제공합니다. 종합적인 도메인 보안 감사를 위해 함께 사용하세요.