Live records versus historische observaties
Een live DNS-query rapporteert wat een resolver antwoordt op het moment van verzameling. Passieve DNS-datasets aggregeren observaties van deelnemende sensoren. Ze kunnen helpen bij het identificeren van eerdere associaties tussen domeinen en adressen, maar de dekking is beperkt door sensorlocatie, verzamelbeleid en retentie.
Eerst geziene en laatst geziene datums zijn observatiedatums binnen een dataset, niet noodzakelijkerwijs het begin of einde van een DNS-configuratie. Een hiaat in observaties bewijst niet dat een domein inactief was.
Wijzigingen verantwoord vergelijken
Nameserver-migratie, gewijzigde MX-records en IP-verplaatsing kunnen routinematig onderhoud, platformwijzigingen of incidentactiviteit weerspiegelen. Vergelijk de timing met berichten, compromisrapporten en ander casusbewijs. Behandel gedeelde infrastructuur als een aanwijzing, niet als gemeenschappelijk eigendom.
Voor monitoring, bewaar opeenvolgende ruwe snapshots en vergelijk equivalente queries. TTL-verschillen alleen kunnen voortkomen uit cacheveroudering. De huidige openbare tool levert één snapshot, geen historische feed of continue monitoringservice.
Tijdlijn essentiële zaken
Houd observatietijden gescheiden van gebeurtenistijden zoals aangegeven door een bron. Documenteer de provider, datasetlimieten en hoe de vergelijking is gemaakt.
- Identificeer live, passieve en gezaghebbende gegevensbronnen.
- Vergelijk dezelfde recordtypes en namen.
- Label 'eerste/laatst gezien'-datums van de dataset correct.
- Bewaar alternatieve verklaringen voor infrastructuurwijzigingen.