什么是域名取证调查
域名取证调查是对域名及其基础设施进行的结构化审查：域名创建时间、注册人、托管位置、使用的邮件服务器以及其配置随时间的变化。这是大多数网络犯罪调查的第一步，因为欺诈性域名是网络钓鱼、商务电子邮件诈骗、在线诈骗和品牌冒充的基础。
创建日期作为起点
WHOIS或RDAP创建日期是整个调查的锚点。一个在欺诈性发票或钓鱼活动前几天创建的域名表明存在预谋；一个早于事件的域名可能已被入侵而非为欺诈目的注册。所有其他观察结果都将根据这一时间线进行检验。
注册人与注册商分析
注册记录显示注册商、声明的注册组织和国家，以及是否使用了隐私保护。调查人员会将这些详细信息与被冒充的合法实体以及以相同模式注册的其他域名进行比较。编辑过的数据限制了归属，记录显示的是基础设施和时间线，而非个人身份。
DNS、托管和电子邮件基础设施
地址记录、域名服务器和托管服务提供商揭示了域名所在地及其共享的基础设施。邮件交换记录、SPF和DMARC策略显示了域名发送电子邮件的方式以及其策略是否得到执行。在电子邮件诈骗调查中，核实发送IP与SPF记录是标准步骤，这通常能区分是欺骗行为还是账户被盗用。
历史和随时间变化
被动DNS和注册历史记录显示了域在事件发生前后是否易主、迁移托管或更改了其邮件服务器。名称服务器或邮件提供商的突然更改可能与创建日期本身一样重要。
证据处理
每项观察均记录了其公开来源和UTC时间戳，最终报告使用可验证的SHA-256哈希密封，以便检测任何后续更改。报告说明了数据显示的内容和无法显示的内容，技术关联并非身份，怀疑并非证据。
开始调查
由Digitpol开发和运营的URL取证工具箱在一个密封的证据报告中收集创建日期、注册人数据、DNS记录、托管提供商、电子邮件服务器以及DMARC和SPF策略。 运行域名检查，阅读 域名取证方法，或 联系 Digitpol 用于专业调查。