DNS-overvåking følger med på domenets DNS-poster og varsler deg i det øyeblikket en av dem endres. Det er viktig fordi en endret post ikke gir et åpenbart driftsavbrudd. Hvis noen peker domenet ditt mot en annen server eller e-postpostene mot en annen leverandør, kan alt se normalt ut mens trafikk og e-post havner et annet sted. DNS-overvåking sammenligner selve postene, og fanger derfor opp endringer som oppetidssjekker kan gå glipp av.
Derfor er DNS-endringer farlige
DNS oversetter domenenavnet ditt til adressene til web- og e-postserverne dine. Den som kontrollerer disse postene, bestemmer hvor de besøkende og e-posten din havner. Endringer skjer av tre grunner:
Planlagte endringer: en serverflytting, en ny e-postleverandør, bytte av CDN. Det er helt greit, men du vil ha bekreftet at endringen gikk riktig ut.
Feil: en kollega redigerer feil post, en leverandørflytting mister en TXT-post, en TTL-endring får bivirkninger.
Kapring: noen får tilgang til kontoen din hos registraren eller DNS-leverandøren, ofte gjennom et passord stjålet ved phishing, og endrer postene.
Ved en kapring kan angriperen vise besøkende en kopi av innloggingssiden din, fange opp e-post eller utstede sertifikater for domenet ditt til seg selv. Overvåking kan ikke hindre noen i å logge inn, men den korter ned tiden før du oppdager det fra dager til minutter.
DNS-postene du bør følge med på
Hver posttype styrer noe forskjellig. En god DNS-monitor dekker alle:
A og AAAA: IPv4- og IPv6-adressene til nettstedet ditt. En endring sender besøkende til en annen server.
CNAME: aliaser, ofte brukt for www, CDN-er og tredjepartstjenester. En endring kan gi et underdomene til noen andre.
MX: hvor e-post til domenet leveres. En endring kan omdirigere all innkommende e-post.
NS: hvilke navnetjenere som er autoritative for domenet. En endring gir kontrollen over alle andre poster til den som driver de nye navnetjenerne. Behandle dette som det mest kritiske varselet.
SOA: sonens start-of-authority-post, som angir primær navnetjener og sonens kontaktadresse. En endring her kan bety at sonen er flyttet til en annen leverandør.
TXT: SPF, DKIM, DMARC og poster for domeneverifisering. Endringer påvirker om e-posten din blir stolt på, og hvem som kan bekrefte eierskap til domenet ditt hos andre tjenester.
CAA: hvilke sertifikatutstedere som kan utstede sertifikater for domenet ditt. En endring kan åpne for sertifikater du ikke har bedt om.
Slik fungerer DNS-overvåking
Du legger til et domene og velger hvilke posttyper som skal overvåkes.
Monitoren slår opp postene jevnlig og lagrer de gjeldende verdiene.
Når en verdi avviker fra den siste kjente verdien, får du et varsel som viser gammel og ny post.
Endringen lagres i en historikk, så du ser nøyaktig hva som ble endret og når.
Uptimecheck overvåker A-, AAAA-, CNAME-, MX-, NS-, SOA-, TXT- og CAA-poster, lagrer en endringshistorikk og sender varsel ved hver endring.
Slik ser normale endringer ut
Noen poster endrer seg av seg selv, og du bør vite hvilke. SOA-serienummeret øker ved hver redigering av sonen, og derfor utelater Uptimecheck serienummeret og sammenligner bare SOA-postens navnetjener og kontaktadresse. Enkelte DNS-leverandører roterer poster for lastbalansering eller failover, noe som kan gjøre at A-poster endres jevnlig. CDN-er kan returnere ulike adresser for ulike steder.
Før du stoler på varslene, bør du følge med på postene i en uke. Noter hvilke som endres som en del av normal drift, og sørg for at teamet vet hvordan en forventet endring ser ut. Etter det fortjener enhver endring utenfor mønsteret en nærmere titt.
Overvåking av e-postautentisering
TXT-poster fortjener ekstra oppmerksomhet fordi de avgjør om e-posten din havner i innboksen:
SPF lister serverne som har lov til å sende e-post for domenet ditt. Endres den uventet, kan noen ha lagt til sin egen server.
DKIM publiserer den offentlige nøkkelen som mottakende servere bruker til å verifisere signaturene dine.
DMARC forteller mottakerne hva de skal gjøre med e-post som ikke består disse kontrollene.
En ødelagt eller fjernet post kan sende nyhetsbrev, fakturaer og e-poster for tilbakestilling av passord til søppelpost. En post som legger til en ukjent avsender, kan la noen sende e-post som ser ut som din. Begge deler viser seg som en TXT-endring.
Et endringsvarsel forteller deg at noe er endret, ikke om resultatet er riktig. Til det sjekker Uptimechecks domenemonitor SPF, DKIM og DMARC to ganger om dagen og forteller hvordan du retter hvert problem, med en DNS-post klar til innliming der en slik post løser det. Se overvåking av e-postautentisering.
Slik håndterer du et varsel om DNS-endring
Når et varsel kommer, gå raskt gjennom dette:
Var det planlagt? Sjekk med den som har ansvaret for DNS. Hvis ja, bekreft at de nye verdiene er riktige.
Hvis ikke, sammenlign verdiene. Er den nye IP-adressen din? Hører den nye MX-verten til e-postleverandøren din? Er de nye navnetjenerne DNS-leverandørens?
Sikre kontoene. Hvis det ikke var du som gjorde endringen, bytt passord hos registraren og DNS-leverandøren, sjekk hvem som har tilgang, og slå på tofaktorautentisering.
Gjenopprett postene fra historikken.
Kontakt registraren hvis du ikke får tilbake kontrollen, særlig etter en NS-endring.
Se etter følgeskader: sertifikater utstedt i perioden, e-post mottatt av feil server og besøkende som kan ha sett en falsk side.
Informer kundene hvis dataene deres kan være berørt, og bruk statussiden din til oppdateringer.
Slik forhindrer du DNS-kapring
Overvåking oppdager. Disse tiltakene gjør en kapring vanskeligere i utgangspunktet:
Slå på tofaktorautentisering for kontoene hos registrar og DNS-leverandør.
Aktiver registrar lock så domenet ikke kan overføres uten ekstra steg.
Hold antallet personer med tilgang lavt, og gå gjennom listen jevnlig.
Bruk en CAA-post for å begrense hvilke sertifikatutstedere som kan utstede sertifikater.
Hold kontaktinformasjonen hos registraren oppdatert, så sikkerhetsvarsler når frem til deg.
Overvåk også utløp av domenet. Et utløpt domene er den enkleste formen for overtakelse. Se domeneovervåking.
Sjekkliste for DNS-overvåking
Lag en liste over alle domener du eier, også domener for videresending og kampanjer.
Legg til DNS-monitorer for NS, A, AAAA, CNAME, MX, TXT, SOA og CAA.
Send DNS-varsler til en felles kanal som leses raskt.
Bli enige om at alle planlagte endringer varsles på forhånd, så de uplanlagte skiller seg ut.
Sikre kontoene hos registrar og DNS-leverandør med 2FA og registrar lock.
Legg til domene- og SSL-overvåking for de samme domenene.
Gå gjennom endringshistorikken etter hver flytting.
Oppsummering
DNS-endringer er stille: ingen feilside, ingen mislykket sjekk, bare trafikk som går et annet sted. Når du overvåker selve postene, med varsler og historikk, blir hver endring synlig i løpet av minutter.
DNS-overvåking er inkludert i Uptimecheck sammen med oppetids-, SSL-, domene- og serverovervåking. Prøv gratis i 14 dager, uten kredittkort.