Overvåke DNS: Slik fanger du endringer automatisk

Et domene er bare pålitelig så lenge oppføringene i DNS peker dit de skal. Endrer noen A- eller MX-posten uten at du vet det, kan trafikk og e-post bli kapret i løpet av timer. Derfor bør du overvåke DNS automatisk, og det kan du gjøre allerede i dag med verktøy du trolig har på maskinen.

Å overvåke DNS betyr å følge med på endringer i domenets oppføringer og få varsel når noe endrer seg. Automatisk overvåking sjekker oppføringene jevnlig og sammenligner dem med det du forventer. Målet er å oppdage uautoriserte endringer, feilkonfigurering og utløp før de får konsekvenser.

Kort oppsummert

Overvåk NS-, A/AAAA-, MX- og TXT-postene dine automatisk.
Bygg et enkelt skript med dig, eller bruk en tjeneste som varsler deg.
Sett varsel på utløpsdato og DNSSEC-status, ikke bare på oppføringene.

Vil du slippe å bygge noe selv, har Feno overvåking av DNS-endringer og utløp direkte i kontrollpanelet. Mer om det lenger ned i guiden.

Hvorfor overvåke DNS-endringer

DNS er infrastrukturen som gjør at domenet ditt i det hele tatt fungerer. Uten riktige oppføringer er domenet bare et navn som ikke leder noen vei. En endring skjer som regel av tre grunner: noen med tilgang gjorde en feil, en angriper tok over kontoen, eller en tjeneste endret seg uten at du ble varslet.

Den farligste varianten kalles DNS-kapring (DNS hijacking). Angriperen endrer for eksempel A-posten til sitt eget nettsted, så besøkende som skriver inn domenet ditt lander hos dem i stedet. Endrer de MX-posten, kan de i verste fall lese e-posten til domenet. Verst av alt er endringer i NS-posten, der hele domenet flyttes over på navneservere angriperen kontrollerer.

Endringene får effekt raskt. TTL (Time To Live) bestemmer hvor lenge DNS-resolvere cacher oppføringene, og en lav TTL betyr at en endring når ut til alle i løpet av minutter eller timer. Uten overvåking kan en kapring stå i flere dager før noen oppdager den.

Konkret eksempel: A-posten til nettstedet ditt pekes om til en skadevare-side en fredag kveld. Besøkende i helgen møter et falskt påloggingsskjema, og du får vite om det først mandag. Med automatisk overvåking får du varsel samme kveld og kan rette oppføringen før skaden sprer seg.

Når du bør ha overvåkingen på plass

Du bør overvåke alle domener du har ansvar for, enten det er ett eller femti. Det gjelder særlig domener som peker til produksjonssystemer, sender e-post eller brukes i pålogging. Også ubrukte domener bør overvåkes, siden de er et yndet mål for angripere som vil misbruke dem til spam og phishing.

Hva du bør overvåke

Ikke alt i DNS er like kritisk. Prioriter disse oppføringene:

NS-poster (navneservere): Den alvorligste endringen. Hvis navneserverne endres, mister du kontrollen over hele domenet.
A- og AAAA-poster: Peker domenet mot riktig IP-adresse. En endring sender trafikken feil vei.
MX-poster (e-post): Styrer hvor e-posten til domenet leveres. Endres den, kan angriperen lese e-posten din.
TXT-poster: Inneholder SPF, DKIM og DMARC. Feil her svekker e-postleveransen og åpner for spoofing.
DNSSEC og DS-posten: Hvis signaturen forsvinner eller nøkkelen byttes, kan du miste DNSSEC-beskyttelsen uten å vite det.
Utløpsdato: Ikke en DNS-post, men like viktig. Et domene som utløper, kan bli overtatt av andre.

Hvordan overvåke DNS automatisk

Du har tre hovedveier: et eget skript, en overvåkningstjeneste, eller overvåking på servernivå. Valget avhenger av hvor mange domener du har og hvor mye du vil vedlikeholde selv.

1. Bygg et eget skript med dig

dig er standardverktøyet for DNS-spørringer og ligger på Linux og macOS. Du spør etter en oppføring og sammenligner svaret med en forventet verdi:

dig +short feno.no A
dig +short feno.no MX
dig +short feno.no NS

Kjør skriptet jevnlig med cron eller en systemd-timer, og la det sende varsel når utfallet endrer seg. Noen tips for skriptet ditt:

Lagre forrige utfall og varsle når det endrer seg, ikke bare når det avviker fra forventet verdi.
Spør mot navneserveren til domenet direkte, ikke mot en lokal cache.
Kjør sjekken fra to nettverk for å unngå blinde flekker.

2. Bruk en overvåkningstjeneste

Skal du følge med på mange domener uten å vedlikeholde skript, finnes tjenester som sjekker DNS fra flere steder i verden og varsler deg ved endring. Flere har gratis nivåer for et par domener, og prisen øker med antall domener og sjekkefrekvens. Sammenlign dekning og varslingskanaler før du velger.

Vil du holde alt på ett sted, følger overvåking av endringer og utløp med på Feno. Du får varsel uten å sette opp egen infrastruktur, og oppføringene ligger i et kontrollpanel som også håndterer DNSSEC automatisk.

3. Overvåk på servernivå

Kontrollerer du navneserverne selv, kan du også overvåke innenfra. Følg med på tilgangslogger, varsle ved endringer i konfigurasjonsfiler og sjekk at sonene lastes som forventet. Denne tilnærmingen fanger opp endringer før de en gang publiseres.

Hva betyr TTL for overvåkingen din

TTL (Time To Live) er tallet som sier hvor lenge en oppføring kan caches. En A-post med TTL på 300 sekunder når ut til resolvere på fem minutter. Med TTL på 86400, altså ett døgn, kan en endring stå i et helt døgn før alle ser den.

For selve overvåkingen spiller TTL liten rolle, siden du spør mot navneserverne direkte og ikke mot en cache. Men vil du kunne rulle tilbake raskt ved en uautorisert endring, bør TTL-en på kritiske poster være lav. Senk den også noen dager før du planlegger en overføring eller en planlagt endring, så slår den nye konfigurasjonen raskt igjennom.

Vanlige spørsmål om DNS-overvåking

Hvor ofte bør jeg overvåke DNS?

En sjekk i timen er et godt utgangspunkt for de fleste domener. Har du lav TTL på kritiske poster eller driver med e-post, kan du sjekke hvert femte minutt. Det viktigste er at varslene faktisk når fram til noen som kan agere.

Hva koster det å overvåke DNS?

Et eget skript koster ingenting utover serveren det kjører på. Ferdige tjenester starter gjerne på noen titalls kroner i måneden, og flere har gratis nivåer. På Feno følger overvåkingen med domenet ditt, med varsel ved endringer og utløp.

Får jeg varsel ved alle endringer?

Det avhenger av oppsettet. Du kan velge varsel ved hver eneste endring, eller bare når kritiske poster endres. De fleste tjenester lar deg filtrere på posttype og på hvor lenge en endring må stå før du varsles.

Få kontroll over DNS-en din

Automatisk overvåking av DNS er en av de rimeligste forsikringene et domene kan ha. Enten du bygger skriptet selv eller bruker en tjeneste, er poenget det samme: oppdag endringer før de får konsekvenser.

Flytter du domenet ditt til Feno, får du overvåking av endringer og utløp på alle domenene, i tillegg til DNSSEC på hvert eneste domene. Sjekk hva det koster å registrere domenet ditt hos Feno, fra 99 kroner i året for et .no-domene.