Por qué son importantes los cambios en la infraestructura
El registrador, los servidores de nombres, el proveedor de correo y el alojamiento de un dominio pueden cambiar con el tiempo, a veces como mantenimiento rutinario y otras porque el control del dominio ha pasado a una parte diferente, legítimamente o no. Un cambio repentino poco antes de que un dominio se utilice en un informe de fraude, o un cambio que afecte a un dominio ya conocido por ser sensible, como el de un proveedor o el propio dominio de una marca, es un evento significativo que vale la pena investigar, aunque el cambio en sí mismo no sea inherentemente sospechoso.
Qué comparar
Comparar registros RDAP sucesivos para el mismo dominio: registrador, códigos de estado, servidores de nombres y la marca de tiempo del evento de último cambio. Una transferencia a un nuevo registrador combinada con nuevos servidores de nombres en un corto período de tiempo es más destacable que cualquiera de los cambios por sí solo. En cuanto al DNS, compare los registros NS para una migración de servidor de nombres, los registros MX para un cambio de proveedor de correo y los registros A/AAAA para un cambio de alojamiento, cada uno con una marca de tiempo en el momento de la recopilación.
Los registros de transparencia de certificados añaden un punto de comparación adicional: un nuevo certificado repentino emitido para un dominio poco después de otros cambios de infraestructura puede marcar cuándo un nuevo operador puso el sitio en línea, lo que a menudo es más informativo que solo la fecha de cambio de DNS, ya que el DNS puede cambiarse mucho antes de que se publique nuevo contenido.
Detectar cambios sin una fuente histórica
Una búsqueda puntual pública de DNS o RDAP solo muestra el estado actual; no puede por sí misma mostrar qué cambió o cuándo. Detectar el cambio requiere comparar con una instantánea guardada previamente tomada por el mismo investigador, o depender de un servicio que realice esa comparación por usted. Trate cualquier brecha entre observaciones como un período durante el cual múltiples cambios podrían haber ocurrido sin ser capturados individualmente.
Uso del monitoreo continuo
Para dominios que son importantes para una organización de forma continua, como sus propios dominios, los dominios de sus proveedores o dominios similares previamente señalados, la comparación automatizada periódica es más fiable que las comprobaciones manuales ad hoc. Para los suscriptores Ilimitados, el monitoreo de dominios realiza diferencias semanales de WHOIS en los dominios rastreados y verifica la existencia de dominios similares recién registrados, mostrando los cambios visibles del registrador, el servidor de nombres y el registrante para su revisión poco después de que ocurran, en lugar de solo cuando alguien los vuelve a mirar.
- Guarde una instantánea con marca de tiempo de los datos de RDAP y DNS para los dominios que rastrea.
- Comparar el registrador, el estado, los servidores de nombres y los eventos de último cambio a lo largo del tiempo.
- Comparar registros MX y A/AAAA para detectar cambios en el proveedor de correo o alojamiento.
- Coteje la transparencia del certificado para una nueva emisión aproximadamente al mismo tiempo.
- Use las diferencias de monitoreo semanal para los dominios que requieren atención continua.