Dlaczego zmiany w infrastrukturze są ważne
Rejestrator domeny, serwery nazw, dostawca poczty i hosting mogą zmieniać się w czasie, czasem w ramach rutynowej konserwacji, a czasem dlatego, że kontrola nad domeną przeszła na inną stronę, legalnie lub w inny sposób. Nagła zmiana krótko przed użyciem domeny w zgłoszeniu oszustwa lub zmiana dotycząca domeny już znanej jako wrażliwa, takiej jak domena dostawcy lub marki, jest znaczącym wydarzeniem wartym zbadania, mimo że sama zmiana nie jest z natury podejrzana.
Co porównać
Porównaj kolejne rekordy RDAP dla tej samej domeny: rejestratora, kodów statusu, serwerów nazw i znacznika czasu ostatniej zmiany. Transfer do nowego rejestratora w połączeniu z nowymi serwerami nazw w krótkim czasie jest bardziej godny uwagi niż sama zmiana. Po stronie DNS porównaj rekordy NS dla migracji serwera nazw, rekordy MX dla zmiany dostawcy poczty oraz rekordy A/AAAA dla zmiany hostingu, każdy oznaczony znacznikiem czasu w momencie zebrania danych.
Dzienniki przejrzystości certyfikatów dodają dodatkowy punkt porównawczy: nagłe wydanie nowego certyfikatu dla domeny wkrótce po innych zmianach infrastruktury może wskazać, kiedy nowy operator faktycznie uruchomił witrynę, co często jest bardziej informatywne niż sama data zmiany DNS, ponieważ DNS może zostać zmieniony znacznie wcześniej niż nowa treść zostanie opublikowana.
Wykrywanie zmian bez historycznego źródła
Pojedyncze, publiczne zapytanie DNS lub RDAP z jednego punktu w czasie pokazuje tylko aktualny stan; samo w sobie nie może pokazać, co się zmieniło ani kiedy. Wykrywanie zmian wymaga albo porównania z wcześniej zapisaną migawką wykonaną przez tego samego śledczego, albo polegania na usłudze, która wykonuje to porównanie za Ciebie. Każdą lukę między obserwacjami traktuj jako okres, w którym mogło nastąpić wiele zmian bez ich indywidualnego zarejestrowania.
Korzystanie z bieżącego monitoringu
Dla domen, które są ważne dla organizacji na bieżąco, takich jak jej własne domeny, domeny jej dostawców lub wcześniej oznaczone domeny podszywające się, okresowe automatyczne porównanie jest bardziej niezawodne niż doraźne ręczne kontrole. Dla subskrybentów Unlimited, monitorowanie domen wykonuje cotygodniowe porównania WHOIS (diffs) na śledzonych domenach i sprawdza nowo zarejestrowane domeny podszywające się, ujawniając zmiany widoczne dla rejestratora, serwera nazw i rejestrującego wkrótce po ich wystąpieniu, a nie tylko wtedy, gdy ktoś przypadkowo ponownie sprawdzi.
- Zapisz migawkę danych RDAP i DNS z sygnaturą czasową dla śledzonych domen.
- Porównaj rejestratora, status, serwery nazw i daty ostatnich zmian w czasie.
- Porównaj rekordy MX i A/AAAA, aby wykryć zmiany dostawcy poczty lub hostingu.
- Sprawdź krzyżowo przejrzystość certyfikatów pod kątem nowego wydania mniej więcej w tym samym czasie.
- Użyj cotygodniowych różnic w monitoringu dla domen wymagających stałej uwagi.