Por que as mudanças na infraestrutura importam
O registrador, os nameservers, o provedor de e-mail e o alojamento de um domínio podem mudar ao longo do tempo, por vezes como manutenção de rotina e por vezes porque o controlo do domínio mudou para uma parte diferente, legitimamente ou não. Uma mudança súbita pouco antes de um domínio ser usado num relatório de fraude, ou uma mudança que afeta um domínio já conhecido por ser sensível, como o de um fornecedor ou o da própria marca, é um evento significativo que merece investigação, embora a mudança por si só não seja inerentemente suspeita.
O que comparar
Compare os registos RDAP sucessivos para o mesmo domínio: registrador, códigos de status, servidores de nomes e o carimbo de data/hora do evento de última alteração. Uma transferência para um novo registrador combinada com novos servidores de nomes num curto espaço de tempo é mais notável do que qualquer alteração isolada. No lado do DNS, compare os registos NS para uma migração de servidor de nomes, os registos MX para uma alteração de provedor de e-mail e os registos A/AAAA para uma alteração de hospedagem, cada um com carimbo de data/hora no momento da recolha.
Os registos de transparência de certificados adicionam um ponto de comparação adicional: um novo certificado súbito emitido para um domínio logo após outras alterações na infraestrutura pode marcar quando um novo operador realmente colocou o site online, o que é muitas vezes mais informativo do que a data de alteração do DNS isoladamente, uma vez que o DNS pode ser alterado bem antes de novo conteúdo ser publicado.
Deteção de mudança sem um feed histórico
Uma única consulta pública DNS ou RDAP num determinado momento apenas mostra o estado atual; por si só, não pode mostrar o que mudou ou quando. Detetar mudanças requer comparar com um instantâneo previamente guardado pelo mesmo investigador, ou depender de um serviço que realize essa comparação por si. Trate qualquer lacuna entre as observações como um período durante o qual múltiplas mudanças podem ter ocorrido sem serem individualmente capturadas.
Utilizando monitoramento contínuo
Para domínios que são importantes para uma organização de forma contínua, como os seus próprios domínios, os domínios dos seus fornecedores ou domínios semelhantes previamente sinalizados, a comparação automatizada periódica é mais fiável do que verificações manuais ad hoc. Para os subscritores Ilimitados, a monitorização de domínios realiza diffs semanais de WHOIS em domínios monitorizados e verifica novos domínios semelhantes registados, mostrando alterações visíveis no registrador, servidor de nomes e registrante para revisão pouco depois de ocorrerem, em vez de apenas quando alguém os verifica novamente por acaso.
- Salve um instantâneo com carimbo de data/hora dos dados RDAP e DNS para domínios que você rastreia.
- Compare o registrador, status, servidores de nomes e eventos de última alteração ao longo do tempo.
- Compare os registos MX e A/AAAA para detetar alterações de provedor de e-mail ou hospedagem.
- Verificar a transparência de certificados para uma nova emissão na mesma altura.
- Use diferenças de monitoramento semanais para domínios que exigem atenção contínua.