如何识别域名基础设施的变更

为什么基础设施变更如此重要

域名的注册商、名称服务器、邮件提供商和托管服务都可能随时间变化，有时是例行维护，有时则是因为域名的控制权已转移到不同的方，无论是合法的还是非法的。在域名用于欺诈报告前不久的突然变化，或影响已知敏感域名（如供应商或品牌自有域名）的变化，都是一个值得调查的有意义事件，尽管变化本身并非必然可疑。

比较什么

比较同一域的连续RDAP记录：注册商、状态代码、名称服务器和最后更改事件时间戳。在短时间内转移到新注册商并结合使用新名称服务器，比任何单一变更都更值得关注。在DNS方面，比较NS记录以查看名称服务器迁移、MX记录以查看邮件提供商变更，以及A/AAAA记录以查看托管变更，每个记录都带有收集时的时间戳。

证书透明度日志提供了进一步的比较点: 在其他基础设施更改后不久为域名颁发的新证书可以标记新运营商何时实际将网站上线，这通常比单独的DNS更改日期提供更多信息，因为DNS可以在新内容发布之前很久就已更改。

在没有历史数据流的情况下检测变更

单一时间点的公共DNS或RDAP查询仅显示当前状态；它本身无法显示何时或发生了什么变化。检测变化需要与同一调查人员之前保存的快照进行比较，或者依赖提供此比较的服务。将观测之间的任何时间间隔视为在此期间可能发生多次更改但未被单独捕获的时期。

使用持续监控

对于对组织持续重要的域名，例如其自身的域名、其供应商的域名或之前标记的仿冒域名，周期性的自动化比较比临时手动检查更可靠。对于无限订阅用户，域名监控每周对跟踪的域名执行 WHOIS 差异比对，并检查新注册的仿冒域名，在注册商、名称服务器和注册人可见的更改发生后不久即可显示以供审查，而无需等到有人再次查看。

• 为您跟踪的域名保存RDAP和DNS数据的时间戳快照。
• 随时间推移比较注册商、状态、名称服务器和最后更改事件。
• 比较MX和A/AAAA记录以检测邮件或托管服务提供商的变更。
• 同时期核对证书透明度日志中是否有新签发的证书。
• 对于需要持续关注的域名，使用每周监控差异报告。