Перевірка безпеки DNS

Якщо ніхто не налаштував інакше, будь-хто в Інтернеті може надсилати електронні листи, які, здається, надходять із вашого домену. Направте сканер на домен, яким ви керуєте, і отримайте записи автентифікації електронної пошти, стан DNSSEC і конфігурацію, що стоїть за ними – оцінюйте, зберігайте та спостерігайте протягом дня, коли вони зміниться.

П'ять причин перевірити власний DNS

DNS - це єдиний рівень у цьому списку, де пошкодження зазвичай завдає хтось інший. Домен, який можна видати за себе, використовується проти ваших клієнтів, постачальників і ваших власнихперсонал.

Дізнайтеся, чи хтось може надсилати листи від вашого імені

Це вирішують записи електронної пошти – SPF, DKIM і DMARC, а MTA-STS і TLS-RPT захищають з’єднання, через яке передається пошта – і кожен має окрему сторінку: SPF, DKIM, DMARC, MTA-STS і DNSSEC.

Домен без запису DMARC – це домен, з якого будь-хто може написати переконливий фішинг.

Знайдіть записи, які пережили те, на що вони вказали

Записи DNS створюються для служби та зберігаються. Рекорд, який вказує на хмарну платформу, за яку компанія перестала платити, - це класичний шлях до захоплення субдомену: будь-хто, хто стверджує, що це ім’я служби, тепер надає вміст із вашого субдомену під вашим іменем.

Подивіться, чи увімкнено DNSSEC і чи правильно воно працює

DNSSEC підписує відповіді DNS, щоб клієнт міг визначити, що їх не було підроблено під час передачі. У більшості постачальників він вимкнений за умовчанням. Це також один пункт у цьому списку, де наполовину завершена конфігурація гірша, ніж відсутність, оскільки пошкоджений підпис призводить до того, що домен не вдається вирішити, а не просто небезпечно.

Зрозумійте зміни, про які ніхто не повідомляв

DNS редагується більшою кількістю людей, ніж будь-який інший рівень - маркетинг додає інструмент, IT рухаєтьсяпостачальник послуг електронної пошти, підрядник, який вказує десь субдомен. Кожна правка невелика, і жодна з них не переглядається. Запис SPF, який збільшується на один запис за раз, зрештою перевищує ліміт пошуку та мовчки припиняє працювати.

Надайте докази того, що домен захищено

Страховики та корпоративні клієнти все частіше запитують про DMARC за назвою. Датований звіт, у якому показано політику та час її зміни, є кращою відповіддю, ніж знімок екрана DNSпанель, і це докази, які ви можете зберегти.

Дізнайтеся, коли ваш DNS зміниться

Зміни DNS набувають чинності тихо й негайно, і особа, яка внесла зміни, часто не входить до групи безпеки.

Заплановані сканування перетворюють це на різницю, про яку вам повідомляють: цього запису не було минулого тижня, цю політику повернули з quarantine до none, цю оцінку знизили. Сповіщення надходять у додаток, електронною поштою або через Slack, Teams,Jira або вебхук.

Крок 01 · Назвіть домен

Домен, яким ви керуєте, доданий до вашого облікового запису AYAsec. Право власності перевіряється перед надсиланням – AYAsec не плануватиме сканування інфраструктури, над якою ви не продемонстрували контроль, і [для підтвердження цього потрібен один запис DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). Швидка перевірка вище пропускає це: немає облікового запису, немає перевірки, лише обмеження швидкості IP-адреси та правило, згідно з яким цільовою адресою має бути публічна адреса.

Крок 02 · Нехайперевірка

Відповіді DNS є загальнодоступними, тому це сканування читає, а не досліджує. Він надсилає запити домену так, як це робив би поштовий сервер або резолвер.

Крок 03 · Прочитайте результат

Результати надходять упорядкованими за ступенем серйозності та оціненими від A+ до F. Відсутня політика DMARC і неохайний запис TXT не знаходяться в одному недиференційованому списку.

Що перевіряє сканування

Автентифікація пошти

SPF, DKIM, DMARC, MTA-STS і TLS-RPT – чи існує кожені що він повідомляє серверу-одержувачу робити з SPF, DKIM, DMARC і MTA-STS, доступними на їхніх власних сторінках.

DNSSEC

Чи підписано домен і чи ланцюжок довіри непорушений.

Записи та сервери імен

Сама конфігурація: які сервери імен є авторитетними та чи містить набір записів щось, чого там не повинно бути.

DNSмістить 20% композиту. HTTP передає 30%, TLS і порти передають по 20%, а довіра до домену становить 10%.

Запитання перед скануванням

Що можна сканувати?

Інфраструктура, якою ви володієте або ви замовили тестування. Швидка перевірка вище не підтверджує це для вас - вона лише обмежує швидкість IP-адресою та відмовляється націлюватися на будь-що, окрім публічної адреси. Натомість додайте домен до облікового запису AYAsec, і контроль буде перевірено до того, як буде запущено будь-який запланований запуск: це юридичне обмеження, як і практичне, оскільки неперевірене сканування також не є для вас доказом.

Записи DNS є загальнодоступними. Навіщо це потрібноперевірка?

Записи є загальнодоступними, а перевірка доступна лише для читання, тому саме сканування нешкідливо. Перевірка стосується того, що відбувається далі: домен у вашому обліковому записі AYAsec відстежується, оцінюється та зберігається у вашій історії, і нічого з цього не повинно бути можливим для домену, який не є вашим.

Ми не надсилаємо електронні листи з цього домену. Чи потрібні нам SPF і DMARC?

Так, і, можливо, більше. Домен, який не надсилає пошту, має це чітко вказати – SPFзапис, що нічого не авторизує, і політику DMARC reject. Припаркований домен без записів найлегше видати за себе, оскільки ніхто не дивиться відповіді.

Чи зупинить увімкнення DMARC нашу власну електронну пошту?

Це можливо, якщо його ввімкнути в reject до того, як будуть відомі законні відправники. Саме тому ця політика складається з трьох етапів: починайте з none і читайте звіти, переходьте до quarantine, потім до reject. Сканування підкажена якому етапі ви знаходитесь, а не те, що ви повинні стрибати до кінця.

Чи варто вмикати DNSSEC?

Це залежить від вашого провайдера. Там, де це перемикач, так. Там, де це означає керування ключами вручну, чесною відповіддю є те, що несправна конфігурація DNSSEC переведе ваш домен у автономний режим, а домен, який небезпечно розпізнається, становить менший ризик, ніж домен, який не розпізнається.

Ви зберігаєте результати?

Не швидка перевірка вище - він живе в пам'яті приблизно п'ятнадцять хвилин, тому ви можете прочитати його один раз, а потім він зникає. Це свідомий вибір конфіденційності, а не обмеження: ніхто, крім вас, ніколи не бачить це сканування, і ви можете завантажити повний результат до закінчення терміну його дії. Натомість додайте домен до облікового запису AYAsec, і кожне сканування буде збережено – серія, яка повідомляє вам, коли хтось змінив запис. Утримання залежить від вашого плану.

Зберігайте історію, а не просторезультат

Запустіть повну перевірку ваших власних доменів за розкладом, позначаючи кожну зміну всім, хто її бажає побачити.

Почніть безкоштовне сканування Порівняти плани

Більше безкоштовних сканерів безпеки для HTTP, TLS і портів

DNS є одним із п’яти оцінених рівнів. Кожен з інших відповідає на інше запитання:

View all free security scanners

Онлайн-сканер портів

про що цей маєток готовий поговорити знезнайомець про?

Засіб перевірки SSL/TLS

чи є звук шифрування, і коли закінчується термін дії сертифіката?

[Засіб перевірки безпеки HTTP] (/http-security-checker/) - веб-програма налаштована захисно?

Усі п’ять разом - це те, що [керування поверхнею атаки] (/attack-surface-management/) означає на практиці.

Структуровані дані для вбудовування

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNS Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dns-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Не додавайте розмітку FAQPage або HowTo – Google вилучив обидва типи результатів.