Registros en vivo versus observaciones históricas
Una consulta DNS en vivo informa lo que un resolvedor responde en el momento de la recopilación. Los conjuntos de datos de DNS pasivo agregan observaciones de sensores participantes. Pueden ayudar a identificar asociaciones pasadas entre dominios y direcciones, pero la cobertura está limitada por la ubicación del sensor, la política de recopilación y la retención.
Las fechas de primera y última observación (first-seen y last-seen) son fechas de observaciones dentro de un conjunto de datos, no necesariamente el principio o el fin de una configuración DNS. Una brecha en las observaciones no prueba que un dominio estuviera inactivo.
Comparando cambios de manera responsable
La migración del servidor de nombres, los cambios en los registros MX y el movimiento de IP pueden reflejar mantenimiento rutinario, cambios de plataforma o actividad de incidentes. Compare los tiempos con los mensajes, los informes de compromiso y otras pruebas del caso. Trate la infraestructura compartida como una pista, no como propiedad común.
Para la monitorización, conserve instantáneas brutas sucesivas y compare consultas equivalentes. Las diferencias de TTL por sí solas pueden surgir del envejecimiento de la caché. La herramienta pública actual proporciona una instantánea, no una alimentación histórica o un servicio de monitorización continua.
Esenciales de la línea de tiempo
Mantenga los tiempos de observación separados de los tiempos de eventos afirmados por una fuente. Documente el proveedor, los límites del conjunto de datos y cómo se realizó la comparación.
- Identificar fuentes de datos vivas, pasivas y autorizadas.
- Compare los mismos tipos de registros y nombres.
- Etiquete correctamente las fechas de primera/última vista del conjunto de datos.
- Conserve explicaciones alternativas para los cambios de infraestructura.