DNS-overvågning holder øje med dit domænes DNS-records og giver dig en alarm i det øjeblik, en af dem ændres. Det er vigtigt, fordi en ændret record ikke giver et tydeligt nedbrud. Hvis nogen peger dit domæne mod en anden server eller dine mail-records mod en anden udbyder, kan alt se normalt ud, mens trafik og mail havner et andet sted. DNS-overvågning sammenligner selve records, så den fanger ændringer, som oppetidstjek kan overse.
Hvorfor DNS-ændringer er farlige
DNS oversætter dit domænenavn til adresserne på dine web- og mailservere. Den, der styrer de records, styrer, hvor dine besøgende og din mail ender. Ændringer sker af tre grunde:
Planlagte ændringer: en serverflytning, en ny mailudbyder, et skift af CDN. De er helt fine, men du vil have bekræftet, at de gik korrekt i luften.
Fejl: en kollega retter den forkerte record, en flytning mellem udbydere taber en TXT-record, en ændret TTL har bivirkninger.
Kapring: nogen får adgang til din konto hos registrar eller DNS-udbyder, ofte via en phishet adgangskode, og ændrer records.
Ved en kapring kan angriberen vise besøgende en kopi af din login-side, opsnappe mail eller udstede certifikater til sig selv for dit domæne. Overvågning kan ikke forhindre nogen i at logge ind, men den forkorter tiden, før du opdager det, fra dage til minutter.
De DNS-records, du skal holde øje med
Hver record-type styrer noget forskelligt. En god DNS-monitor dækker dem alle:
A og AAAA: IPv4- og IPv6-adresserne på dit website. En ændring sender besøgende til en anden server.
CNAME: aliaser, ofte brugt til www, CDN’er og tredjepartstjenester. En ændring kan give et subdomæne til en anden.
MX: hvor mail til domænet leveres. En ændring kan omdirigere al indgående mail.
NS: hvilke navneservere der er autoritative for domænet. En ændring giver kontrollen over alle andre records til den, der driver de nye navneservere. Behandl det som den mest kritiske alarm.
SOA: zonens start-of-authority-record, som angiver den primære navneserver og zonens kontaktadresse. En ændring her kan betyde, at zonen er flyttet til en anden udbyder.
TXT: SPF-, DKIM-, DMARC- og domæneverificerings-records. Ændringer påvirker, om din mail bliver betroet, og hvem der kan bekræfte ejerskabet af dit domæne over for andre tjenester.
CAA: hvilke certifikatudstedere der må udstede certifikater til dit domæne. En ændring kan åbne døren for certifikater, du ikke har bestilt.
Sådan virker DNS-overvågning
Du tilføjer et domæne og vælger, hvilke record-typer der skal overvåges.
Monitoren slår records op med jævne mellemrum og gemmer de aktuelle værdier.
Når en værdi afviger fra den senest kendte, får du en alarm, der viser de gamle og nye records.
Ændringen gemmes i en historik, så du kan se præcis, hvad der ændrede sig og hvornår.
Uptimecheck overvåger A-, AAAA-, CNAME-, MX-, NS-, SOA-, TXT- og CAA-records, fører en ændringshistorik og sender en alarm ved hver ændring.
Sådan ser normale ændringer ud
Nogle records ændrer sig af sig selv, og du bør vide hvilke. SOA-serienummeret stiger ved hver ændring af zonen, og derfor udelader Uptimecheck serienummeret og sammenligner kun SOA-recordens navneserver og kontaktadresse. Nogle DNS-udbydere roterer records for at fordele belastningen eller ved failover, så A-records kan ændre sig jævnligt. CDN’er kan returnere forskellige adresser til forskellige steder.
Før du stoler på alarmerne, så hold øje med dine records i en uge. Notér, hvilke der ændrer sig som en del af den normale drift, og sørg for, at teamet ved, hvordan en forventet ændring ser ud. Derefter fortjener enhver ændring uden for mønsteret et nærmere kig.
Overvågning af mailgodkendelse
TXT-records fortjener særlig opmærksomhed, fordi de afgør, om din mail når frem til indbakken:
SPF angiver de servere, der må sende mail for dit domæne. Ændres den uventet, kan nogen have tilføjet deres egen server.
DKIM offentliggør den offentlige nøgle, som modtagende servere bruger til at verificere dine signaturer.
DMARC fortæller modtagerne, hvad de skal gøre med mail, der ikke består de tjek.
En ødelagt eller fjernet record kan sende dine nyhedsbreve, fakturaer og nulstillinger af adgangskoder i spam. En record, der tilføjer en ukendt afsender, kan lade nogen sende mail, der ligner din. Begge dele viser sig som en TXT-ændring.
En ændringsalarm fortæller dig, at noget har flyttet sig, ikke om resultatet er korrekt. Til det tjekker Uptimechecks domænemonitor SPF, DKIM og DMARC to gange om dagen og fortæller, hvordan du retter hvert problem, med en DNS-record klar til at indsætte, hvor en sådan løser det. Se overvågning af mailgodkendelse.
Sådan reagerer du på en DNS-ændringsalarm
Når en alarm kommer, så gå hurtigt igennem den:
Var den planlagt? Spørg den, der administrerer DNS. Hvis ja, så bekræft, at de nye værdier er korrekte.
Hvis ikke, så sammenlign værdierne. Er den nye IP-adresse din? Tilhører den nye MX-host din mailudbyder? Er de nye navneservere din DNS-udbyders?
Sikr kontiene. Var ændringen ikke din, så skift adgangskoderne hos registrar og DNS-udbyder, tjek, hvem der har adgang, og slå totrinsgodkendelse til.
Gendan records fra historikken.
Kontakt din registrar, hvis du ikke kan få kontrollen tilbage, især efter en NS-ændring.
Tjek for følgevirkninger: certifikater udstedt i perioden, mail modtaget af den forkerte server og besøgende, der kan have set en falsk side.
Informér kunderne, hvis deres data kan være berørt, og brug din statusside til opdateringer.
Sådan forebygger du DNS-kapring
Overvågning opdager. Disse trin gør en kapring sværere i første omgang:
Slå totrinsgodkendelse til for kontiene hos registrar og DNS-udbyder.
Aktivér registrar lock, så domænet ikke kan overføres uden ekstra trin.
Hold antallet af personer med adgang lavt, og gennemgå det jævnligt.
Brug en CAA-record til at begrænse, hvilke certifikatudstedere der kan udstede certifikater.
Hold kontaktoplysningerne hos din registrar opdaterede, så sikkerhedsmails når frem til dig.
Overvåg også domænets udløb. Et udløbet domæne er den letteste form for overtagelse. Se domæneovervågning.
Tjekliste til DNS-overvågning
Lav en liste over alle dine domæner, også redirect- og kampagnedomæner.
Tilføj DNS-monitorer for NS, A, AAAA, CNAME, MX, TXT, SOA og CAA.
Send DNS-alarmer til en fælles kanal, der bliver læst hurtigt.
Aftal, at alle planlagte ændringer meldes ud, så de uplanlagte skiller sig ud.
Sikr kontiene hos registrar og DNS-udbyder med 2FA og registrar lock.
Tilføj domæne- og SSL-overvågning for de samme domæner.
Gennemgå ændringshistorikken efter hver flytning.
Opsummering
DNS-ændringer er tavse: ingen fejlside, intet fejlet tjek, bare trafik, der havner et andet sted. Når du overvåger selve records med alarmer og historik, bliver hver ændring synlig inden for få minutter.
DNS-overvågning er inkluderet i Uptimecheck sammen med oppetids-, SSL-, domæne- og serverovervågning. Prøv det gratis i 14 dage, uden kreditkort.