Live-Datensätze versus historische Beobachtungen
Eine Live-DNS-Abfrage meldet, was ein Resolver zum Zeitpunkt der Erfassung antwortet. Passive DNS-Datensätze aggregieren Beobachtungen von teilnehmenden Sensoren. Sie können helfen, frühere Verbindungen zwischen Domains und Adressen zu identifizieren, aber die Abdeckung ist durch den Sensorstandort, die Erfassungsrichtlinie und die Aufbewahrung begrenzt.
Datum der ersten und letzten Sichtung sind Beobachtungsdaten innerhalb eines Datensatzes, nicht notwendigerweise der Beginn oder das Ende einer DNS-Konfiguration. Eine Lücke in den Beobachtungen beweist nicht, dass eine Domain inaktiv war.
Verantwortungsvoller Vergleich von Änderungen
Nameserver-Migration, geänderte MX-Einträge und IP-Bewegungen können routinemäßige Wartung, Plattformänderungen oder Vorfallsaktivitäten widerspiegeln. Vergleichen Sie den Zeitpunkt mit Nachrichten, Kompromittierungsberichten und anderen Falldokumenten. Behandeln Sie geteilte Infrastruktur als Hinweis, nicht als gemeinsamen Besitz.
Zur Überwachung fortlaufende Roh-Snapshots sichern und gleichwertige Abfragen vergleichen. TTL-Unterschiede allein können durch Cache-Alterung entstehen. Das aktuelle öffentliche Tool liefert einen Snapshot, keinen historischen Feed oder kontinuierlichen Überwachungsdienst.
Grundlagen der Zeitachse
Halten Sie Beobachtungszeiten getrennt von Ereigniszeiten, die von einer Quelle angegeben werden. Dokumentieren Sie den Anbieter, die Grenzen des Datensatzes und wie der Vergleich durchgeführt wurde.
- Live-, passive und maßgebliche Datenquellen identifizieren.
- Die gleichen Datensatztypen und Namen vergleichen.
- Beschriften Sie die Datensatz-Erstdarstellungs-/Letztdarstellungsdaten korrekt.
- Alternative Erklärungen für Infrastrukturänderungen bewahren.