Monitorizare DNS

DNS este fundamentul - și cel mai ușor lucru de stricat

DNS stă la baza tuturor celorlalte: fiecare solicitare web, fiecare email, fiecare apel API începe cu o interogare DNS. Acest lucru face ca modificările silențioase ale înregistrărilor DNS să fie unele dintre cele mai frecvent exploatate atacuri - și una dintre cele mai simple greșeli pe care un membru neatent al echipei le poate face. O modificare DNS îți poate redirecționa domeniul către o copie de phishing a site-ului tău, poate trimite emailurile prin serverul atacatorului, te poate scoate din rezultatele căutărilor sau poate strica întregul stack dintr-o simplă greșeală de scriere. De cele mai multe ori, daunele provocate de DNS nici nu sunt rău intenționate; sunt modificări de rutină ale echipei de operațiuni pe care cineva le-a făcut fără să anunțe pe nimeni, iar asta a cauzat probleme în aval.

Monitorizarea DNS detectează aceste modificări realizând un instantaneu al înregistrărilor tale la fiecare verificare și comparându-le cu cele precedente. Dacă ceva urmărit a fost adăugat sau eliminat de la ultima verificare, vei primi o alertă. Fie că este vorba despre o modificare planificată de care ai uitat să informezi, o eroare de configurare sau chiar un hijack real - vei afla în câteva ore.

Ce tipuri de înregistrări sunt monitorizate

Pentru fiecare monitor de tip HTTP, o verificare zilnică avansată preia aceste tipuri de înregistrări:

• A și AAAA: adresele IPv4 și IPv6 la care se rezolvă numele de host. O modificare - traficul ajunge în altă parte, intenționat sau pentru că cineva ți-a compromis registratorul.
• MX: mail exchangers. O nouă înregistrare MX (sau mai rău, una lipsă) înseamnă că emailurile tale au început să fie redirecționate altfel. Pierderea silențioasă de emailuri este unul dintre cele mai grave scenarii pentru afaceri.
• NS: nameservere. O modificare - cineva a mutat zona ta DNS la alt furnizor - cea mai puternică modificare posibilă pentru un domeniu. Modificările NS aproape întotdeauna înseamnă fie o migrare planificată, fie un atac reușit asupra registratorului.
• TXT: orice înregistrare de tip text, utilizată frecvent pentru verificarea domeniului (Google, Microsoft, Stripe etc.) și pentru SPF/DKIM/DMARC.
• SPF, DMARC, CAA: înregistrări dedicate pentru securitatea emailurilor și eliberarea certificatelor. O modificare CAA, în special, poate permite unui atacator să obțină un certificat TLS pentru domeniul tău.

Panoul de control afișează toate înregistrările actuale în vizualizarea detaliată a monitorului, așa că poți vedea dintr-o privire ce este publicat în prezent.

Detectarea modificărilor

Monitorul păstrează un instantaneu pentru înregistrările A, AAAA, MX și NS pentru fiecare monitor. La fiecare verificare avansată, înregistrările curente sunt comparate cu instantaneul. Înregistrările care au dispărut sunt marcate ca "șterse", cele noi ca "adăugate". Ambele liste apar în raportul de modificări.

Dacă vreun grup urmărit de înregistrări s-a modificat, se trimite o alertă pe canalele activate. Notificarea menționează ce tip de înregistrare s-a schimbat și indică exact ce a fost adăugat și ce a fost eliminat. În loc de "DNS modificat pentru example.com" vei primi "MX pentru example.com: șters mail.oldhost.com, adăugat mail-1.attacker.com" - ceea ce face imediat clară situația.

Poți dezactiva alertele pentru modificări DNS independent de alte alerte, în cazul unei migrări planificate care generează mult zgomot. Dezactivează, realizează migrarea, reactivează după stabilizare.

De ce detectează lucruri pe care alte instrumente le scapă

Majoritatea instrumentelor de uptime tratează DNS ca o configurație - îl folosesc pentru a rezolva URL-ul și apoi uită de el. Dar în secunda în care un concurent (sau un atacator, sau un deployment neinspirat de vineri) îți schimbă DNS-ul, acea rezolvare începe să indice către o altă adresă IP, iar monitorizarea doar-HTTP continuă să raporteze totul "verde", pentru că noua adresă IP răspunde tot cu 200. Fără monitorizare la nivel DNS, modificarea rămâne invizibilă până când cineva verifică manual. Până atunci poți pierde zile întregi de emailuri sau să rămâi săptămâni nerelevant în rezultate de căutare.

Monitorizarea DNS detectează și probleme la nivelul furnizorului DNS. Unii furnizori pierd sau încurcă ocazional înregistrările în timpul actualizărilor zonei; unii au probleme regionale, în care interogările dintr-o locație returnează alte rezultate decât din alta. Compararea instantaneelor scoate la iveală aceste instabilități.

Configurație

Monitorizarea DNS este automată pentru fiecare monitor HTTP/keyword/API. Prima verificare avansată (în decurs de 24h de la adăugarea monitorului) salvează instantaneul de bază - alerta nu se trimite prima dată, ci doar când verificările ulterioare diferă. Pentru a activa/dezactiva alertele de modificare DNS, comută "Notifică despre modificări DNS" în secțiunea Preferințe din Notificări. Vizualizarea extinsă a oricărui monitor arată mereu starea DNS completă actuală, inclusiv SPF, DMARC și CAA, care nu sunt urmărite pentru modificări, dar sunt utile pentru o revizuire periodică.

Întrebări frecvente

• Ce înregistrări DNS monitorizează monitorul?

  Implicit A, AAAA, MX, NS, TXT și CNAME. Monitorul face un instantaneu al valorilor rezolvate la fiecare verificare și alertează când apare o modificare — adăugare, ștergere sau modificare.

• De ce să monitorizez DNS — furnizorul meu de DNS nu este de încredere?

  Încrederea nu este problema — schimbarea este. Preluări DNS, actualizări accidentale în timpul migrărilor, CDN-uri externe care rotesc IP-urile și breșe în conturi de registratori — toate acestea se manifestă prin modificarea înregistrărilor. Monitorizarea DNS detectează aceste probleme în minute, nu în zile.

• Cum gestionează monitorul cache-ul TTL?

  Rezolvările se fac către nameservere autoritare (nu către resolverul tău local), astfel încât cache-ul TTL nu ascunde modificările. Fiecare verificare trimite o interogare proaspătă autoritară — dacă înregistrarea sursă s-a schimbat, monitorul va detecta asta la următoarea verificare.

• Pot monitoriza statusul de validare DNSSEC?

  Da. Monitorul înregistrează statusul DNSSEC (semnat / nesemnat) la fiecare verificare și alertează la modificări. Un domeniu care era ieri DNSSEC-signed și azi raportează unsigned reprezintă un incident de securitate ce necesită investigații imediate.

• Voi primi alerte false din cauza DNS load balancing?

  Dacă înregistrarea ta de tip A returnează mai multe IP-uri în rotație, monitorul va vedea o "schimbare" la fiecare verificare. Pentru a reduce acest zgomot, configurează expected-values să includă toate IP-urile posibile sau dezactivează monitorizarea înregistrării A pentru acel domeniu și bazează-te doar pe verificarea HTTP pentru disponibilitate.