Pratik bir domain izleme kontrol listesi

Herkese açık bağımlılıkları takip edin

Müşteriler için önemli olan domainlerle başlayın. Ana web siteleri, önemli pazarlama siteleri ve e-posta göndermek için kullanılan domainler buna dahildir. DNS, web yayını, sertifika yenileme ve e-posta yapılandırması için sahibi kaydedin.

Her servisin aynı sağlayıcıyı ya da aynı değişiklik sürecini kullandığını varsaymayın. Bir DNS güncellemesinin, CDN geçişinin, sertifika yenilemesinin ve e-posta sağlayıcısı değişikliğinin sahipleri de bozulma biçimleri de farklı olabilir.

Birlikte bozulan sinyalleri gözden geçirin

DNS çözümlemesi temeldir: Başarısız olursa web sitesi ve sertifika kontrolleri yapılamayabilir. HTTPS erişilebilirliği ve sertifika doğrulaması, ziyaretçilerin güvenli bir uç noktaya ulaşıp ulaşamadığını göstermeye yardımcı olur.

E-posta için SPF, DKIM ve DMARC'ı birlikte gözden geçirin. Bir kayıt, amaçlanan politika olmadan da var olabilir. Bu yüzden herkese açık sinyalleri, kontrollü bir yapılandırma incelemesi için işaret olarak kullanın.

1. Müşteriye dönük domainleri ve operasyonel sahiplerini listeleyin.
2. DNS, CDN, barındırma ya da kayıt firması değişikliklerinden sonra herkese açık DNS çözümlemesini kontrol edin.
3. Sertifika ya da yönlendirme değişikliklerinden sonra HTTPS'i ve sertifika doğrulamasını kontrol edin.
4. E-posta sağlayıcısı ya da DNS değişikliklerinden sonra SPF, DKIM ve DMARC'ı gözden geçirin.
5. Bir müdahale sorumlusu atayın ve kontrolü tetikleyen değişikliği kaydedin.
6. Elle yapılan kontrollerin değişiklikler arasında uzun boşluklar bıraktığı yerlerde sürekli izleme kullanın.

Bulguları işleyen bir rutine dönüştürün

Bir bulgu, bir sonraki sahibi net olduğunda en yararlı halindedir. Sorunun bir DNS sağlayıcısına mı, web sitesi platformuna mı, e-posta sağlayıcısına mı yoksa şirket içi bir ekibe mi ait olduğunu kaydedin. Düzeltmeden sonra herkese açık sonucu doğrulayın.

CloudSpex, eldeki herkese açık bulguları önceliklendirir ve yönetilen domainler için izleme geçmişini saklayabilir. Tek seferlik bir herkese açık tarama mevcut durumu gösterir ve değişikliklerden sonra tekrarlanmalıdır.

Yanıltıcı kesinlikten kaçının

Herkese açık izleme, özel altyapıyı, şirket içi onay süreçlerini ya da her uygulama bağımlılığını göremez. Temiz bir sonuç, eksiksiz bir güvenlik değerlendirmesi olarak okunmamalıdır.

Kontrol listesini tekrarlanabilirliği artırmak için kullanın, ardından onu değişiklik yönetimi ve olay sürecinizle birleştirin.

Domainler kimse değiştirmeden neden bozulur

Domain olaylarının çoğuna bir saldırı, hatta o gün yapılan bir hata bile neden olmaz. Olaylar, süresi dolan ya da zamanla kayan şeylerden kaynaklanır: Bir sertifika bitiş tarihine ulaşır, kayıtlı kart değiştirildiği için bir domain kaydı düşer, bir sağlayıcı bir SPF include girdisinin arkasındaki adresleri değiştirir, bir site silinir ve DNS kaydı geride kalır. Arızanın yaşandığı gün hiçbir şey düzenlenmez, bu yüzden kimse bakmıyordur.

Dolayısıyla bir izleme kontrol listesinin iki işi vardır. Değişikliği fark etmelidir, çünkü beklenmeyen değişiklik sorunun en erken işaretidir. Bir tarihin yaklaştığını da fark etmelidir, çünkü süre sonu öngörülebilirdir ve yine de kesintilerin en yaygın nedenidir.

Domain kaydı ve ad sunucuları

Geri kalan her şey domain kaydına bağlıdır. Domainin süresi dolarsa ya da ad sunucuları değiştirilirse web sitesi, e-posta ve bütün alt domainler birlikte durur.

1. Domain kaydının süre sonu tarihi. Altmış, otuz ve yedi gün kala uyarı verilmelidir.
2. Otomatik yenilemenin açık ve ödeme yönteminin güncel olup olmadığı.
3. Yetkisiz transferleri önleyen kayıt firması kilidinin durumu.
4. Ad sunucularının listesi. Sizin yapmadığınız her değişiklik, aksi kanıtlanana kadar bir olaydır.
5. Domain kaydındaki iletişim e-postası. Yenileme ve transfer bildirimleri bu adrese gider.

DNS kayıtları

Kayıt izleme, şimdiki durumu bilinen son sağlam durumla karşılaştırmaktır. İzlediğiniz her kaydın önceki değerini saklayın, çünkü bir olay sırasında soru her zaman neyin ne zaman değiştiğidir.

1. Web sitesi ve önemli alt domainler için A ve AAAA kayıtları.
2. E-postanın nereye teslim edileceğini belirleyen MX kayıtları.
3. Kayıt firması ile bölge (zone) arasında karşılaştırılan NS kayıtları.
4. SPF, DMARC ve domain doğrulama değerlerini taşıyan TXT kayıtları.
5. CNAME kayıtları ve hedeflerinin hâlâ çözümlenip çözümlenmediği.
6. Kimin sertifika verebileceğini denetleyen CAA kayıtları.
7. Domain imzalıysa DNSSEC durumu: DS kaydı ve imzaların geçerliliği.

Sertifikalar ve HTTPS

Sertifikaları dışarıdan, sertifika sunan her ana makine adında kontrol edin ve tarihten fazlasına bakın.

1. Gerçekten sunulan sertifikanın süre sonuna kalan gün sayısı.
2. Ana makine adının sertifika kapsamında olup olmadığı.
3. Zincirin tamamının gönderilip gönderilmediği.
4. HTTP'nin HTTPS'e yönlendirip yönlendirmediği ve son sayfanın yüklenip yüklenmediği.
5. Sertifikayı veren otoritenin değişmesi. Bu planlı olabilir ya da o sunucu adına artık başka bir şeyin yanıt verdiğinin işareti olabilir.

E-posta kimlik doğrulaması

E-posta sorunları en geç fark edilen sorunlardır, çünkü gönderen hiçbir şey görmez. İletiler alıcı tarafında filtrelenir ya da reddedilir ve ilk bildirim, faturasını alamayan bir müşteriden gelir.

1. SPF: Tam olarak tek bir kayıt, geçerli sözdizimi ve on sorgu sınırı içinde kalan bir sorgu sayısı.
2. DKIM: Gönderen sistemlerinizin kullandığı her seçicide (selector) geçerli bir anahtar.
3. DMARC: Tek bir kayıt, mevcut politika ve çalışan bir rapor adresi.
4. DMARC toplu raporları: Yeni gönderim kaynakları ve artan hata sayıları.
5. Yayınlanmışsa MTA-STS ve TLS-RPT: Politika dosyası erişilebilir durumdadır ve MX kayıtlarıyla eşleşir.

dig example.com TXT +short | grep spf1
dig _dmarc.example.com TXT +short
dig s1._domainkey.example.com TXT +short

Alt domainler ve artıklar

Alt domainler projeler için oluşturulur ve projelerden daha uzun yaşar. Silinmiş bir bulut kaynağını hâlâ gösteren bir kaydı başka biri sahiplenebilir ve sizin adınız altında içerik sunabilir. Kayıtların tam listesini belirli aralıklarla gözden geçirin ve hedefi artık var olmayan ya da artık size ait olmayan kayıtları kaldırın. Barındırma platformlarını, depolama servislerini ve pazarlama araçlarını gösteren CNAME kayıtlarına özellikle dikkat edin.

Ne sıklıkla kontrol edilmeli

Sıklık, bir sorunun ne kadar hızlı zarar verdiğine ve izlenen şeyin ne kadar hızlı değişebildiğine göre belirlenmelidir.

1. Web sitesi erişilebilirliği ve HTTPS: Site para kazandırıyorsa birkaç dakikada bir, aksi halde saatte bir.
2. DNS kayıtları ve ad sunucuları: En az günde bir. Değişiklikler seyrektir ve her biri önemlidir.
3. Sertifikalar: Günde bir. Süre sonu günlerle ölçülür ve günlük kontrol net bir geri sayım verir.
4. E-posta kimlik doğrulama kayıtları: Günde bir.
5. DMARC toplu raporları: Geldikçe alınır, haftada bir gözden geçirilir.
6. Domain kaydının süre sonu: Günde bir, uyarılar epey önceden verilerek.
7. Tüm kayıtların ve alt domainlerin tam incelemesi: Üç ayda bir.

Neyin uyarıyı hak ettiğine karar vermek

Çok fazla uyarı gönderen bir izleme düzeni bir ay içinde görmezden gelinir. Hemen bir insan gerektiren bulguları, haftalık özete ait olanlardan ayırın.

Ad sunucularında ya da MX kayıtlarında bir değişiklik olduğunda, bir sertifikanın on dört günden az süresi kaldığında, bir DMARC ya da SPF kaydı geçersiz hale geldiğinde ya da kaybolduğunda ve bir site erişilemez olduğunda hemen uyarı verin. Bilinmeye değer ama acil olmayan şeyleri özete koyun: hâlâ p=none düzeyinde olan bir politika, eksik bir güvenlik başlığı, süre sonuna otuz gün kalmış ve otomatik yenilenen bir sertifika.

Bir durum başladığında bir kez, ortadan kalktığında bir kez uyarı verin. Aynı uyarıyı her saat tekrarlamak, insanlara kanalı sessize almayı öğretir.

Her bulgunun sahibi kim

Sahibi olmayan bir bulgu düzeltilmez. Her domain için kayıt firması hesabını kimin, DNS'i kimin denetlediğini, e-posta sağlayıcısını kimin yönettiğini ve web sitesi barındırmasını kimin yürüttüğünü kaydedin. Küçük kuruluşlarda bunlar çoğu zaman dört farklı kişi ya da şirkettir ve bir kısmı eski tedarikçilerdir.

Erişim bilgilerini tek bir kişinin posta kutusunda değil, kuruluşun denetiminde olan bir yerde saklayın. Gerçek olaylarda toparlanma süresinin büyük bir bölümü, kayıt firmasına kimin giriş yapabildiğini bulmaya harcanır.

Haftalık ve üç aylık bir rutin

Sürekli kontroller arızaları yakalar. Kısa bir rutin ise hiçbir tekil uyarının bildirmediği yavaş kaymayı yakalar.

1. Haftalık: Özeti okuyun, her açık bulguyu kapatın ya da birine atayın ve yeni gönderenler için DMARC raporuna bakın.
2. Aylık: Son uyarıyı kimin aldığına bakarak uyarıların hâlâ bir insana ulaştığını doğrulayın.
3. Üç aylık: Tüm DNS kayıtlarını dışa aktarın ve artık kullanılmayanları kaldırın.
4. Üç aylık: Kayıt firması erişimini, otomatik yenilemeyi ve ödeme yöntemini doğrulayın.
5. Her tedarikçi değişikliğinden sonra: Ad sunucularını, MX kayıtlarını, SPF include girdilerini ve DKIM seçicilerini gözden geçirin ve eski tedarikçinin kayıtlarını kaldırın.

Herkese açık izleme neyi kapsar, neyi kapsamaz

Bu kontrol listesindeki her şey herkese açık internetten gözlemlenebilir. Sistemlerinize erişim olmadan izlenebilmesinin nedeni de budur. Sınırı da buradadır. Dışarıdan izleme, şirket içi servisleri, giriş ekranının arkasındaki uygulama hatalarını, yedeklerin durumunu ya da bir sunucunun yamalı olup olmadığını görmez. Size domainin dışarıya bakan yüzünün sağlam olduğunu söyler ve değiştiğinde sizi uyarır. CloudSpex bu herkese açık kontrolleri belirli bir takvimle çalıştırır, her sonucun geçmişini saklar ve ölçülemeyen bir kontrolü başarılı ya da başarısız saymak yerine değerlendirilmedi olarak raporlar.