Verificador de segurança DNS
Se ninguém tiver configurado de outra forma, qualquer pessoa na Internet poderá enviar e-mails que pareçam vir do seu domínio. Aponte o scanner para um domínio que você controla e obtenha os registros de autenticação de e-mail, o estado DNSSEC e a configuração por trás deles - avaliados, mantidos e monitorados durante o dia em que alguma coisa mudar.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Cinco razões para verificar seu próprio DNS
O DNS é a única camada nesta lista onde o dano geralmente atinge outra pessoa. Um domínio que pode ser personificado é usado contra seus clientes, seus fornecedores e seus própriosfuncionários.
01
Descubra se alguém pode enviar e-mails como você
Os registros de correio decidem isso - SPF, DKIM e DMARC, com MTA-STS e TLS-RPT protegendo a conexão que transporta o correio - e cada um tem uma página própria: SPF, DKIM, DMARC, MTA-STS e DNSSEC.
Um domínio sem registro DMARC é um domínio a partir do qual qualquer pessoa pode escrever phishing convincente.
02
Encontre os registros que sobreviveram ao que apontaram
Os registros DNS são criados para um serviço e sobrevivem a ele. O registro que aponta para uma plataforma em nuvem pela qual a empresa parou de pagar é o caminho clássico para uma aquisição de subdomínio – qualquer pessoa que reivindique esse nome de serviço agora veicula conteúdo de seu subdomínio, sob seu nome.
03
Veja se o DNSSEC está ativado e se está correto
O DNSSEC assina respostas de DNS para que um cliente possa saber que não foram violadas durante o trânsito. Está desativado por padrão na maioria dos provedores. É também o único item desta lista em que uma configuração incompleta é pior do que nenhuma, porque uma assinatura quebrada faz com que o domínio não seja resolvido, em vez de apenas ser resolvido de forma insegura.
04
Pegue a mudança que ninguém anunciou
O DNS é editado por mais pessoas do que qualquer outra camada - marketing adicionando uma ferramenta, TI movendoum provedor de e-mail, um contratante apontando um subdomínio para algum lugar. Cada edição é pequena e nenhuma delas é revisada. Um registro SPF que aumenta uma entrada por vez eventualmente excede seu limite de pesquisa e para de funcionar silenciosamente.
05
Produza evidências de que o domínio está protegido
As seguradoras e os clientes empresariais perguntam cada vez mais sobre o DMARC pelo nome. Um relatório datado mostrando a política e quando ela foi alterada é uma resposta melhor do que uma captura de tela de um DNSpainel, e é evidência que você pode manter.
Saiba o dia em que seu DNS muda
As alterações de DNS entram em vigor de forma silenciosa e imediata, e a pessoa que fez a alteração geralmente não faz parte da equipe de segurança.
As verificações agendadas transformam isso em uma diferença que você já ouviu falar: esse registro não estava aqui na semana passada, essa política passou de quarantine para none, essa nota caiu. Os alertas chegam no aplicativo, por e-mail ou pelo Slack, Teams,Jira ou um webhook.
Etapa 01 · Nomeie o domínio
Um domínio que você controla, adicionado à sua conta AYAsec. A propriedade é verificada antes de qualquer coisa ser despachada - AYAsec não agendará verificações em infraestruturas sobre as quais você não demonstrou controle e provando que é necessário um registro DNS. A verificação rápida acima ignora isso: sem conta, sem verificação, apenas limitação de taxa de IP e uma regra de que o alvo deve ser um endereço público.
Etapa 02 · Deixea verificação
As respostas DNS são públicas, portanto, esta verificação lê em vez de sondar. Ele consulta o domínio da mesma forma que um servidor de e-mail ou resolvedor faria.
Etapa 03 · Leia o resultado
As descobertas chegam ordenadas por gravidade e pontuadas de A+ a F. Uma política DMARC ausente e um registro TXT desordenado não estão na mesma lista indiferenciada.
O que a verificação verifica
01
Autenticação de correio
SPF, DKIM, DMARC, MTA-STS e TLS-RPT – se cada um existee o que diz a um servidor receptor para fazer, com SPF, DKIM, DMARC e MTA-STS disponíveis em suas próprias páginas.
02
DNSSEC
Se o domínio está assinado e se a cadeia de confiança está intacta.
03
Registros e servidores de nomes
A configuração em si: quais servidores de nomes são autoritativos e se o conjunto de registros contém algo que não deveria estar lá.
DNScarrega 20% do grau composto. HTTP carrega 30%, TLS e portas carrega 20% cada e a credibilidade do domínio carrega 10%.
Perguntas antes de digitalizar
O que posso digitalizar?
Infraestrutura que você possui ou foi contratada para testar. A verificação rápida acima não verifica isso para você - ela apenas limita a taxa por IP e se recusa a direcionar qualquer coisa que não seja um endereço público. Em vez disso, adicione o domínio a uma conta AYAsec e o controle será verificado antes que qualquer coisa programada seja executada: um limite legal e prático, já que uma verificação não verificada também não tem utilidade para você como prova.
Os registros DNS são públicos. Por que isso precisaverificação?
Os registros são públicos e a verificação é somente leitura, portanto a verificação em si é inofensiva. A verificação trata do que acontece a seguir: um domínio em sua conta AYAsec é monitorado, avaliado e mantido em seu histórico, e nada disso deveria ser possível para um domínio que não é seu.
Não enviamos e-mails deste domínio. Ainda precisamos de FPS e DMARC?
Sim, e possivelmente mais. Um domínio que não envia e-mails deve dizê-lo explicitamente - um SPFregistro que não autoriza nada e uma política DMARC de reject. Um domínio estacionado sem registros é o mais fácil de personificar, porque ninguém fica observando as respostas.
Ativar o DMARC interromperá nosso próprio e-mail?
Pode, se estiver ativado em reject antes que os remetentes legítimos sejam conhecidos. É por isso que a política existe em três estágios: comece em none e leia os relatórios, vá para quarantine e depois para reject. A varredura diz a vocêem qual estágio você está, não que você deva pular para o fim.
Vale a pena ativar o DNSSEC?
Depende do seu provedor. Onde é um interruptor, sim. Onde isso significa gerenciamento manual de chaves, a resposta honesta é que uma configuração DNSSEC corrompida deixa seu domínio off-line, e um domínio que é resolvido de forma insegura representa um risco menor do que um domínio que não é resolvido.
Você mantém os resultados?
Não a verificação rápida acima - ela permanece na memória por cerca de quinze minutos, então você pode lê-la uma vez e depois desaparece. Essa é uma escolha deliberada de privacidade, não uma limitação: ninguém além de você vê essa verificação e você pode baixar o resultado completo antes que expire. Adicione o domínio a uma conta AYAsec e cada varredura será mantida – uma série que informa quando alguém alterou o registro. A retenção depende do seu plano.
Mantenha a história, não apenaso resultado
Execute a verificação completa em seus próprios domínios, de acordo com um cronograma, com cada alteração sinalizada para quem precisar vê-la.
Mais scanners de segurança gratuitos para HTTP, TLS e portas
DNS é uma das cinco camadas pontuadas. Cada um dos outros responde a uma pergunta diferente:
Scanner de porta on-line
o que esta propriedade está disposta a falar com umestranho sobre?
Verificador SSL/TLS
a criptografia está correta e quando o certificado expira?
verificador de segurança HTTP
o aplicativo da web está configurado de forma defensiva?
Todos os cinco juntos são o que gerenciamento de superfície de ataque significa na prática.
Dados estruturados para incorporar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DNS Security Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dns-security-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Não adicione a marcação FAQPage ou HowTo. O Google retirou ambos os tipos de resultados.