인프라 변경이 중요한 이유
도메인의 등록기관, 네임서버, 메일 제공업체 및 호스팅은 시간이 지남에 따라 모두 변경될 수 있으며, 때로는 일상적인 유지보수로 인해, 때로는 도메인 제어가 합법적이든 아니든 다른 당사자에게 이전되었기 때문입니다. 사기 보고서에 도메인이 사용되기 직전의 갑작스러운 변경 또는 공급업체나 브랜드 자체 도메인과 같이 이미 민감한 것으로 알려진 도메인에 영향을 미치는 변경은 변경 자체는 본질적으로 의심스럽지 않더라도 조사할 가치가 있는 중요한 사건입니다.
무엇을 비교할 것인가
동일한 도메인에 대한 연속적인 RDAP 기록: 등록기관, 상태 코드, 네임서버 및 최종 변경 이벤트 타임스탬프를 비교합니다. 짧은 시간 내에 새 등록기관으로의 이전과 새 네임서버가 결합된 경우는 각각의 변경만 있는 경우보다 더 주목할 만합니다. DNS 측면에서는 네임서버 마이그레이션을 위한 NS 기록, 메일 공급자 변경을 위한 MX 기록, 호스팅 변경을 위한 A/AAAA 기록을 각각 수집 시점을 기준으로 타임스탬프를 찍어 비교합니다.
인증서 투명성 로그는 추가 비교 지점을 제공합니다. 다른 인프라 변경 직후 도메인에 대해 갑자기 새 인증서가 발급되는 것은 새 운영자가 실제로 사이트를 온라인에 게시한 시점을 나타낼 수 있으며, 이는 DNS 변경 날짜만으로는 알기 어려운 경우가 많습니다. 왜냐하면 새 콘텐츠가 게시되기 한참 전에 DNS가 변경될 수 있기 때문입니다.
이력 피드 없이 변경 감지
단일 시점의 공개 DNS 또는 RDAP 조회는 현재 상태만 보여줍니다. 무엇이 언제 변경되었는지는 그 자체로는 보여줄 수 없습니다. 변경 사항을 감지하려면 이전에 동일한 조사관이 저장한 스냅샷과 비교하거나, 해당 비교를 수행해 주는 서비스에 의존해야 합니다. 관찰 사이의 모든 간격은 개별적으로 캡처되지 않고 여러 변경 사항이 발생했을 수 있는 기간으로 간주하십시오.
지속적인 모니터링 사용
자체 도메인, 공급업체 도메인 또는 이전에 플래그된 유사 도메인과 같이 조직에 지속적으로 중요한 도메인의 경우, 임시 수동 확인보다 주기적인 자동 비교가 더 신뢰할 수 있습니다. 무제한 구독자의 경우, 도메인 모니터링은 추적된 도메인에 대해 주간 WHOIS 변경 사항을 비교하고 새로 등록된 유사 도메인을 확인하여, 누군가가 다시 확인할 때만이 아니라 변경 사항이 발생한 직후 등록기관, 네임서버 및 등록자에게 보이는 변경 사항을 검토할 수 있도록 제공합니다.
- 추적하는 도메인에 대한 RDAP 및 DNS 데이터의 타임스탬프 스냅샷 저장
- 등록기관, 상태, 네임서버 및 변경 이력을 시간 경과에 따라 비교합니다.
- 메일 또는 호스팅 공급자 변경을 감지하기 위해 MX 및 A/AAAA 기록을 비교합니다.
- 비슷한 시기에 신규 발행된 인증서 투명성을 교차 확인하십시오.
- 지속적인 주의가 필요한 도메인에 대해서는 주간 모니터링 차이점을 사용하십시오.