Record attuali versus osservazioni storiche
Una query DNS in tempo reale riporta ciò che un risolutore risponde al momento della raccolta. I dataset DNS passivi aggregano le osservazioni da sensori partecipanti. Possono aiutare a identificare associazioni passate tra domini e indirizzi, ma la copertura è limitata dalla posizione del sensore, dalla politica di raccolta e dalla conservazione.
Le date di prima e ultima visualizzazione sono date di osservazioni all'interno di un set di dati, non necessariamente l'inizio o la fine di una configurazione DNS. Una lacuna nelle osservazioni non prova che un dominio fosse inattivo.
Confrontare i cambiamenti in modo responsabile
La migrazione dei nameserver, la modifica dei record MX e lo spostamento degli IP possono riflettere manutenzione ordinaria, cambiamenti di piattaforma o attività di incidente. Confrontare la tempistica con messaggi, rapporti di compromissione e altre prove del caso. Trattare l'infrastruttura condivisa come un indizio, non come proprietà comune.
Per il monitoraggio, conservare snapshot raw successivi e confrontare query equivalenti. Le sole differenze di TTL possono derivare dall'invecchiamento della cache. Lo strumento pubblico attuale fornisce un singolo snapshot, non un feed storico o un servizio di monitoraggio continuo.
Elementi essenziali della timeline
Mantenere i tempi di osservazione separati dai tempi degli eventi dichiarati da una fonte. Documentare il fornitore, i limiti del set di dati e come è stato effettuato il confronto.
- Identifica fonti di dati live, passivi e autorevoli.
- Confrontare gli stessi tipi di record e nomi.
- Etichettare correttamente le date di prima/ultima visione del set di dati.
- Preservare spiegazioni alternative per le modifiche infrastrutturali.