Monitorowanie DNS obserwuje rekordy DNS Twojej domeny i powiadamia Cię w chwili, gdy którykolwiek z nich się zmieni. To ważne, bo zmieniony rekord nie powoduje oczywistej awarii. Jeśli ktoś skieruje Twoją domenę na inny serwer albo rekordy poczty do innego dostawcy, wszystko może wyglądać normalnie, podczas gdy ruch i e-maile trafiają gdzie indziej. Monitorowanie DNS porównuje same rekordy, więc wyłapuje zmiany, które mogą umknąć kontrolom dostępności.
Dlaczego zmiany DNS są niebezpieczne
DNS tłumaczy nazwę Twojej domeny na adresy serwerów WWW i poczty. Kto kontroluje te rekordy, ten decyduje, dokąd trafiają Twoi odwiedzający i Twoja poczta. Zmiany zdarzają się z trzech powodów:
Zmiany planowane: migracja serwera, nowy dostawca poczty, zmiana CDN. Są w porządku, ale chcesz mieć potwierdzenie, że weszły w życie poprawnie.
Pomyłki: współpracownik edytuje niewłaściwy rekord, migracja u dostawcy gubi rekord TXT, zmiana TTL ma skutki uboczne.
Przejęcie: ktoś uzyskuje dostęp do Twojego konta u rejestratora lub dostawcy DNS, często dzięki wyłudzonemu hasłu, i zmienia rekordy.
Po przejęciu atakujący może pokazywać odwiedzającym kopię Twojej strony logowania, przechwytywać pocztę albo wystawiać sobie certyfikaty dla Twojej domeny. Monitorowanie nie powstrzyma nikogo przed zalogowaniem się, ale skraca czas do wykrycia problemu z dni do minut.
Rekordy DNS, które warto obserwować
Każdy typ rekordu odpowiada za coś innego. Dobry monitor DNS obejmuje je wszystkie:
A i AAAA: adresy IPv4 i IPv6 Twojej strony. Zmiana kieruje odwiedzających na inny serwer.
CNAME: aliasy, często używane dla www, CDN i usług zewnętrznych. Zmiana może oddać subdomenę komuś innemu.
MX: miejsce dostarczania poczty dla domeny. Zmiana może przekierować całą przychodzącą pocztę.
NS: serwery nazw autorytatywne dla domeny. Zmiana oddaje kontrolę nad wszystkimi pozostałymi rekordami temu, kto obsługuje nowe serwery nazw. Traktuj ten alert jako najważniejszy.
SOA: rekord początku strefy (start of authority), który wskazuje główny serwer nazw i adres kontaktowy strefy. Zmiana może oznaczać, że strefa przeniosła się do innego dostawcy.
TXT: rekordy SPF, DKIM, DMARC i weryfikacji domeny. Zmiany wpływają na to, czy Twoja poczta jest uznawana za wiarygodną i kto może potwierdzić własność Twojej domeny w innych usługach.
CAA: urzędy certyfikacji, które mogą wystawiać certyfikaty dla Twojej domeny. Zmiana może otworzyć drogę certyfikatom, o które nie prosiłeś.
Jak działa monitorowanie DNS
Dodajesz domenę i wybierasz typy rekordów do obserwowania.
Monitor regularnie odpytuje rekordy i zapisuje bieżące wartości.
Gdy wartość różni się od ostatniej znanej, dostajesz alert ze starym i nowym rekordem.
Zmiana trafia do historii, więc widzisz dokładnie, co i kiedy się zmieniło.
Uptimecheck monitoruje rekordy A, AAAA, CNAME, MX, NS, SOA, TXT i CAA, prowadzi historię zmian i wysyła alert przy każdej zmianie.
Jak wyglądają normalne zmiany
Niektóre rekordy zmieniają się same i warto wiedzieć które. Numer seryjny SOA rośnie przy każdej edycji strefy, dlatego Uptimecheck pomija go i porównuje tylko serwer nazw i adres kontaktowy z rekordu SOA. Część dostawców DNS rotuje rekordy w ramach równoważenia obciążenia lub przełączania awaryjnego, przez co rekordy A mogą się regularnie zmieniać. CDN mogą zwracać różne adresy dla różnych lokalizacji.
Zanim zaczniesz polegać na alertach, obserwuj swoje rekordy przez tydzień. Zanotuj, które zmieniają się w ramach normalnego działania, i upewnij się, że zespół wie, jak wygląda oczekiwana zmiana. Potem każda zmiana spoza tego wzorca zasługuje na bliższe przyjrzenie się.
Monitorowanie uwierzytelniania poczty
Rekordy TXT wymagają szczególnej uwagi, bo decydują o tym, czy Twoja poczta trafia do skrzynek odbiorczych:
SPF wymienia serwery, które mogą wysyłać pocztę w imieniu Twojej domeny. Jeśli zmieni się nieoczekiwanie, ktoś mógł dodać własny serwer.
DKIM publikuje klucz publiczny, którym serwery odbiorcze weryfikują Twoje podpisy.
DMARC mówi odbiorcom, co zrobić z pocztą, która nie przejdzie tych testów.
Uszkodzony lub usunięty rekord może wysyłać Twoje newslettery, faktury i resety haseł do spamu. Rekord, który dodaje nieznanego nadawcę, może pozwolić komuś wysyłać pocztę wyglądającą na Twoją. Oba przypadki widać jako zmianę rekordu TXT.
Alert o zmianie mówi, że coś się przesunęło, a nie czy wynik jest poprawny. Do tego służy monitor domen w Uptimecheck: sprawdza SPF, DKIM i DMARC dwa razy dziennie i podpowiada, jak naprawić każdy problem, z gotowym do wklejenia rekordem DNS tam, gdzie to wystarczy. Zobacz monitorowanie uwierzytelniania poczty.
Jak reagować na alert o zmianie DNS
Gdy przyjdzie alert, działaj szybko:
Czy zmiana była planowana? Zapytaj osobę, która zarządza DNS. Jeśli tak, potwierdź, że nowe wartości są poprawne.
Jeśli nie, porównaj wartości. Czy nowy adres IP należy do Ciebie? Czy nowy host MX należy do Twojego dostawcy poczty? Czy nowe serwery nazw należą do Twojego dostawcy DNS?
Zabezpiecz konta. Jeśli to nie Ty wprowadziłeś zmianę, zmień hasła u rejestratora i dostawcy DNS, sprawdź, kto ma dostęp, i włącz uwierzytelnianie dwuskładnikowe.
Przywróć rekordy z historii.
Skontaktuj się z rejestratorem, jeśli nie możesz odzyskać kontroli, zwłaszcza po zmianie NS.
Sprawdź skutki uboczne: certyfikaty wystawione w tym czasie, pocztę odebraną przez niewłaściwy serwer i odwiedzających, którzy mogli zobaczyć fałszywą stronę.
Poinformuj klientów, jeśli ich dane mogły zostać naruszone, i publikuj aktualizacje na swojej stronie statusu.
Jak zapobiegać przejęciom DNS
Monitorowanie wykrywa. Te kroki od początku utrudniają przejęcie:
Włącz uwierzytelnianie dwuskładnikowe na kontach u rejestratora i dostawcy DNS.
Włącz blokadę u rejestratora (registrar lock), żeby domeny nie dało się przenieść bez dodatkowych kroków.
Ogranicz liczbę osób z dostępem i regularnie ją przeglądaj.
Użyj rekordu CAA, aby ograniczyć, które urzędy certyfikacji mogą wystawiać certyfikaty.
Dbaj o aktualne dane kontaktowe u rejestratora, żeby wiadomości dotyczące bezpieczeństwa do Ciebie docierały.
Monitoruj też wygaśnięcie domeny. Wygasła domena to najłatwiejszy sposób przejęcia. Zobacz monitorowanie domen.
Lista kontrolna monitorowania DNS
Spisz wszystkie swoje domeny, łącznie z domenami przekierowań i kampanii.
Dodaj monitory DNS dla rekordów NS, A, AAAA, CNAME, MX, TXT, SOA i CAA.
Wysyłaj alerty DNS na wspólny kanał, który ktoś szybko przeczyta.
Ustalcie, że każda planowana zmiana jest zapowiadana, żeby nieplanowane od razu się wyróżniały.
Zabezpiecz konta u rejestratora i dostawcy DNS za pomocą 2FA i blokady u rejestratora.
Dodaj monitorowanie domen i monitorowanie SSL dla tych samych domen.
Przeglądaj historię zmian po każdej migracji.
Podsumowanie
Zmiany DNS są ciche: żadnej strony z błędem, żadnej nieudanej kontroli, tylko ruch płynący gdzie indziej. Monitorowanie samych rekordów, z alertami i historią, sprawia, że każda zmiana staje się widoczna w ciągu kilku minut.
Monitorowanie DNS jest dostępne w Uptimecheck razem z monitorowaniem dostępności, SSL, domen i serwerów. Wypróbuj za darmo przez 14 dni, bez karty kredytowej.