Kontrola DNSSEC

DNSSEC bráni tomu, aby niekto podstrčil falošnú odpoveď na otázku, kde sa nachádza vaša doména. Skontrolujte, či je reťaz dôvery úplná a či nastavenie, ktoré má chrániť DNS, naozaj funguje.

Čo je DNSSEC v jednom odseku

DNSSEC podpisuje DNS odpovede a umožňuje resolveru overiť, že pochádzajú zo správneho zdroja a neboli zmenené. Nešifruje DNS a nenahrádza správne nastavené nameservery; pridáva však dôkaz integrity k existujúcemu DNS.

Päť dôvodov skontrolovať vlastný DNSSEC

Zapnutý indikátor ešte neznamená funkčný reťazec

DNSSEC funguje iba vtedy, keď DS v nadradenej zóne odkazuje na správny DNSKEY v zóne. Chýbajúci alebo starý DS môže spôsobiť SERVFAIL pre validujúce resolveri.

Rotácia kľúča musí skončiť v správnom poradí

Pri zmene kľúča treba publikovať nový DNSKEY, počkať na propagáciu a až potom meniť DS. Nesprávne poradie prerušuje reťaz dôvery.

Exspirácia podpisu je tichý výpadok

RRSIG podpisy majú platnosť. Ak ich automatická obnova zlyhá, doména môže fungovať pre niektorých používateľov a zlyhávať pre validujúce siete.

DNSSEC chráni aj dôkaz pre audit

Datovaný report o delegácii a podpisoch ukáže, v akom stave bola ochrana v konkrétny deň. Je to dôkaz, ktorý si môžete uchovať.

Zistenie problému skôr, než ho nájdu zákazníci

Kontrola odhalí nesúlad medzi registrátorom, DNS poskytovateľom a nameservermi skôr, než sa zmení dostupnosť domény.

Poznajte deň, keď sa DNSSEC zmení

Plánovaný sken porovná DS, DNSKEY a podpisy medzi jednotlivými dňami. Upozorní na vypnutie, rotáciu alebo chybu v reťazci cez aplikáciu, e-mail, Slack, Teams, Jira či webhook.

Krok 01 · Pomenujte doménu

Pridajte doménu, ktorú ovládate, do účtu AYAsec a preukážte vlastníctvo jedným DNS záznamom.

Krok 02 · Nechajte kontrolu prebehnúť

DNSSEC sa overuje čítaním verejnej delegácie a podpisov; sken nič nemení na vašej infraštruktúre.

Krok 03 · Prečítajte výsledok

Nálezy prídu podľa závažnosti so známkou A+ až F. Neúplný reťazec a chýbajúce DNSSEC nie sú nerozlíšené.

Súčasť čoho to je

DNSSEC je jedna z kontrol DNS skenu spolu s SPF, DKIM, DMARC, MTA-STS a TLS-RPT. DNS tvorí 20 % zloženého hodnotenia; ostatné vrstvy pokrývajú HTTP, TLS, porty a dôveryhodnosť domény. Správa útočnej plochy ich spája do jedného pohľadu.

Otázky pred kontrolou

Čo môžem kontrolovať?

Domény, ktoré vlastníte alebo máte povolenie testovať. Účet AYAsec overí kontrolu pred plánovaným skenom.

Šifruje DNSSEC moje DNS dotazy?

Nie. DNSSEC overuje pôvod a integritu odpovede; súkromie dotazu riešia iné protokoly.

Môže DNSSEC spôsobiť výpadok?

Áno, nesprávna delegácia môže spôsobiť SERVFAIL. Preto treba kontrolovať DS a DNSKEY spolu, nielen jeden záznam.

Ako často kontrolovať?

Po každej zmene DNS alebo kľúča a pravidelne podľa frekvencie nasadzovania. Pre stabilnú doménu je rozumný týždenný základ.

Uchovávate výsledky?

Rýchla kontrola dočasne, plánované skeny v účte podľa retenčného plánu. História ukáže, kedy sa reťaz zmenila.

Uchovávajte históriu, nielen výsledok

Spustite úplný DNS sken vlastných domén podľa plánu a dostávajte upozornenie pri zmene DNSSEC.

Začať skenovať zadarmo Porovnať plány

Ďalšie kontroly

Zobraziť všetky bezplatné bezpečnostné skenery