Registos ativos versus observações históricas
Uma consulta DNS ao vivo reporta o que um resolvedor responde no momento da recolha. Conjuntos de dados DNS passivos agregam observações de sensores participantes. Podem ajudar a identificar associações passadas entre domínios e endereços, mas a cobertura é limitada pela localização do sensor, política de recolha e retenção.
As datas de primeira e última observação são datas de observações dentro de um conjunto de dados, não necessariamente o início ou o fim de uma configuração DNS. Uma lacuna nas observações não prova que um domínio estava inativo.
Comparando mudanças de forma responsável
Migração de servidor de nomes, registros MX alterados e movimento de IP podem refletir manutenção de rotina, mudanças de plataforma ou atividade de incidente. Compare o momento com mensagens, relatórios de comprometimento e outras evidências do caso. Trate a infraestrutura compartilhada como uma pista, não como propriedade comum.
Para monitorização, preserve instantâneos brutos sucessivos e compare consultas equivalentes. As diferenças de TTL por si só podem surgir do envelhecimento da cache. A ferramenta pública atual fornece um instantâneo, não um feed histórico ou um serviço de monitorização contínua.
Essenciais da linha do tempo
Mantenha os tempos de observação separados dos tempos de evento afirmados por uma fonte. Documente o provedor, os limites do conjunto de dados e como a comparação foi feita.
- Identificar fontes de dados ativas, passivas e autoritativas.
- Compare os mesmos tipos e nomes de registros.
- Rotule corretamente as datas de primeira/última visualização do conjunto de dados.
- Preservar explicações alternativas para mudanças de infraestrutura.