DNS-valvonta seuraa verkkotunnuksesi DNS-tietueita ja hälyttää heti, kun jokin niistä muuttuu. Tällä on väliä, koska muuttunut tietue ei aiheuta ilmeistä katkoa. Jos joku ohjaa verkkotunnuksesi toiselle palvelimelle tai sähköpostitietueesi toiselle palveluntarjoajalle, kaikki voi näyttää normaalilta, vaikka liikenne ja sähköposti kulkevat muualle. DNS-valvonta vertaa itse tietueita, joten se havaitsee muutokset, jotka käytettävyyden valvonnalta voivat jäädä huomaamatta.
Miksi DNS-muutokset ovat vaarallisia
DNS muuntaa verkkotunnuksesi verkko- ja sähköpostipalvelimiesi osoitteiksi. Se, joka hallitsee näitä tietueita, päättää, minne kävijäsi ja sähköpostisi menevät. Muutoksia tapahtuu kolmesta syystä:
Suunnitellut muutokset: palvelinsiirto, uusi sähköpostipalvelu, CDN:n vaihto. Nämä ovat kunnossa, mutta haluat varmistuksen, että ne tulivat voimaan oikein.
Virheet: kollega muokkaa väärää tietuetta, palveluntarjoajan vaihdossa katoaa TXT-tietue, TTL-muutoksella on sivuvaikutuksia.
Kaappaus: joku pääsee käsiksi verkkotunnusrekisteröijän tai DNS-palveluntarjoajan tiliisi, usein tietojenkalastelulla saadun salasanan avulla, ja muuttaa tietueita.
Kaappauksen jälkeen hyökkääjä voi näyttää kävijöille kopion kirjautumissivustasi, siepata sähköpostia tai hankkia itselleen varmenteita verkkotunnuksellesi. Valvonta ei estä ketään kirjautumasta, mutta se lyhentää aikaa, jossa huomaat asian, päivistä minuutteihin.
Seurattavat DNS-tietueet
Jokainen tietuetyyppi ohjaa eri asiaa. Hyvä DNS-valvonta kattaa ne kaikki:
A ja AAAA: verkkosivustosi IPv4- ja IPv6-osoitteet. Muutos ohjaa kävijät toiselle palvelimelle.
CNAME: aliakset, joita käytetään usein www-osoitteelle, CDN-palveluille ja kolmannen osapuolen palveluille. Muutos voi luovuttaa aliverkkotunnuksen jollekulle toiselle.
MX: minne verkkotunnuksen sähköposti toimitetaan. Muutos voi ohjata kaiken saapuvan postin muualle.
NS: mitkä nimipalvelimet ovat verkkotunnuksen virallisia nimipalvelimia. Muutos luovuttaa kaikkien muiden tietueiden hallinnan sille, joka ylläpitää uusia nimipalvelimia. Pidä tätä kaikkein kriittisimpänä hälytyksenä.
SOA: vyöhykkeen SOA-tietue (start of authority), joka nimeää ensisijaisen nimipalvelimen ja vyöhykkeen yhteysosoitteen. Muutos voi tarkoittaa, että vyöhyke on siirretty toiselle palveluntarjoajalle.
TXT: SPF-, DKIM-, DMARC- ja verkkotunnuksen vahvistustietueet. Muutokset vaikuttavat siihen, luotetaanko sähköpostiisi ja kuka voi todistaa verkkotunnuksesi omistajuuden muissa palveluissa.
CAA: mitkä varmentajat saavat myöntää varmenteita verkkotunnuksellesi. Muutos voi avata oven varmenteille, joita et ole pyytänyt.
Miten DNS-valvonta toimii
Lisäät verkkotunnuksen ja valitset seurattavat tietuetyypit.
Valvonta selvittää tietueet säännöllisesti ja tallentaa niiden nykyiset arvot.
Kun arvo poikkeaa viimeksi tunnetusta, saat hälytyksen, jossa näkyvät vanhat ja uudet tietueet.
Muutos tallentuu historiaan, joten näet tarkalleen, mikä muuttui ja milloin.
Uptimecheck valvoo A-, AAAA-, CNAME-, MX-, NS-, SOA-, TXT- ja CAA-tietueita, säilyttää muutoshistorian ja lähettää hälytyksen jokaisesta muutoksesta.
Miltä normaali muutos näyttää
Jotkin tietueet muuttuvat itsestään, ja sinun kannattaa tietää, mitkä. SOA-tietueen sarjanumero kasvaa jokaisen vyöhykemuutoksen yhteydessä, minkä vuoksi Uptimecheck jättää sarjanumeron huomiotta ja vertaa vain SOA-tietueen nimipalvelinta ja yhteysosoitetta. Jotkin DNS-palveluntarjoajat kierrättävät tietueita kuormantasausta tai vikasietoisuutta varten, jolloin A-tietueet voivat muuttua säännöllisesti. CDN-palvelut voivat palauttaa eri osoitteita eri sijainteihin.
Ennen kuin luotat hälytyksiin, seuraa tietueitasi viikon ajan. Kirjaa ylös, mitkä muuttuvat osana normaalia toimintaa, ja varmista, että tiimi tietää, miltä odotettu muutos näyttää. Sen jälkeen jokainen kaavasta poikkeava muutos ansaitsee tarkemman katsauksen.
Sähköpostin todennuksen valvonta
TXT-tietueet ansaitsevat erityistä huomiota, koska ne ratkaisevat, päätyykö sähköpostisi saapuneisiin:
SPF luettelee palvelimet, jotka saavat lähettää sähköpostia verkkotunnuksesi nimissä. Jos se muuttuu odottamatta, joku on ehkä lisännyt oman palvelimensa.
DKIM julkaisee julkisen avaimen, jolla vastaanottavat palvelimet tarkistavat allekirjoituksesi.
DMARC kertoo vastaanottajille, mitä tehdä postille, joka ei läpäise näitä tarkistuksia.
Rikkinäinen tai poistettu tietue voi ohjata uutiskirjeesi, laskusi ja salasanan palautukset roskapostiin. Tietue, joka lisää tuntemattoman lähettäjän, voi antaa jonkun lähettää postia, joka näyttää sinun lähettämältäsi. Molemmat näkyvät TXT-muutoksena.
Muutoshälytys kertoo, että jokin muuttui, mutta ei sitä, onko lopputulos oikein. Sitä varten Uptimecheckin verkkotunnusvalvonta tarkistaa SPF:n, DKIM:n ja DMARCin kahdesti päivässä ja kertoo, miten kunkin ongelman voi korjata, ja antaa valmiin, liitettävän DNS-tietueen silloin, kun sellainen korjaa ongelman. Katso sähköpostin todennuksen valvonta.
Näin toimit DNS-muutoshälytyksen jälkeen
Kun hälytys tulee, käy se läpi nopeasti:
Oliko se suunniteltu? Tarkista asia DNS:ää hallinnoivalta. Jos oli, varmista, että uudet arvot ovat oikein.
Jos ei, vertaa arvoja. Onko uusi IP-osoite sinun? Kuuluuko uusi MX-palvelin sähköpostipalveluntarjoajallesi? Ovatko uudet nimipalvelimet DNS-palveluntarjoajasi?
Suojaa tilit. Jos muutos ei ollut teidän tekemänne, vaihda verkkotunnusrekisteröijän ja DNS-palveluntarjoajan salasanat, tarkista, kenellä on pääsy, ja ota kaksivaiheinen tunnistautuminen käyttöön.
Palauta tietueet historiasta.
Ota yhteyttä rekisteröijään, jos et saa hallintaa takaisin, etenkin NS-muutoksen jälkeen.
Tarkista sivuvaikutukset: aikaikkunan aikana myönnetyt varmenteet, väärälle palvelimelle päätynyt sähköposti ja kävijät, jotka ovat ehkä nähneet väärennetyn sivun.
Kerro asiakkaille, jos heidän tietonsa ovat voineet vaarantua, ja käytä tilasivua tiedottamiseen.
DNS-kaappausten ehkäisy
Valvonta havaitsee. Nämä toimet vaikeuttavat kaappausta jo etukäteen:
Ota kaksivaiheinen tunnistautuminen käyttöön rekisteröijän ja DNS-palveluntarjoajan tileillä.
Ota käyttöön siirtolukko (registrar lock), jottei verkkotunnusta voi siirtää ilman lisävaiheita.
Pidä pääsyoikeudet harvoilla ja käy ne läpi säännöllisesti.
Rajaa CAA-tietueella, mitkä varmentajat voivat myöntää varmenteita.
Pidä rekisteröijän yhteystiedot ajan tasalla, jotta tietoturvaviestit tavoittavat sinut.
Valvo myös verkkotunnuksen vanhenemista. Vanhentunut verkkotunnus on helpoin kaapattava. Katso verkkotunnusvalvonta.
DNS-valvonnan tarkistuslista
Listaa kaikki omistamasi verkkotunnukset, myös uudelleenohjaus- ja kampanjaverkkotunnukset.
Lisää DNS-valvonnat NS-, A-, AAAA-, CNAME-, MX-, TXT-, SOA- ja CAA-tietueille.
Lähetä DNS-hälytykset yhteiseen kanavaan, jota luetaan nopeasti.
Sopikaa, että jokaisesta suunnitellusta muutoksesta ilmoitetaan, jotta suunnittelemattomat erottuvat.
Suojaa rekisteröijän ja DNS-palvelun tilit kaksivaiheisella tunnistautumisella ja siirtolukolla.
Lisää samoille verkkotunnuksille verkkotunnus- ja SSL-valvonta.
Käy muutoshistoria läpi jokaisen siirron jälkeen.
Yhteenveto
DNS-muutokset ovat äänettömiä: ei virhesivua, ei epäonnistunutta tarkistusta, vain liikenne, joka kulkee muualle. Kun valvot itse tietueita hälytyksineen ja historioineen, jokainen muutos näkyy minuuteissa.
DNS-valvonta sisältyy Uptimecheckiin yhdessä käytettävyyden, SSL:n, verkkotunnusten ja palvelinten valvonnan kanssa. Kokeile ilmaiseksi 14 päivää, luottokorttia ei tarvita.