ניטור DNS: שינויים, TTL, DNSSEC — הגדרה סוהר

ניטור DNS: שינויים, TTL, DNSSEC — הקמה מלאה

דמיינו שהאתר שלכם עובד, השרת מגיב, אבל המבקרים לא רואים כלום. הסיבה: רשומת A של DNS שונתה לפני שעה, ואתם למדתם על כך רק מתלונות של משתמשים. ניטור DNS הוא מה שמפריד בין שליטה לבין טיסה עיוורת. לפי הסטטיסטיקה, 60% מהחברות חוות לפחות מתקפת DNS אחת בשנה, וזמן הגילוי הממוצע ללא ניטור עולה על 6 שעות. ראינו מקרים שבהם לקוחות איבדו תנועה במשך שעות בגלל פריצה לחשבון הרשם ושינוי רשומות. הניסיון שלנו מראה: ללא ניטור DNS ייעודי, אתם עיוורים לאחד החלקים הפגיעים ביותר של התשתית שלכם.

למה ניטור שרתים רגיל לא מגן מפני מתקפות DNS

כשאתר נופל, הצעדים הראשונים הרגילים הם בדיקת עומס השרת, לוגים של היישום ומסדי נתונים. אבל התקלה עשויה להיות ב-DNS: שינוי לא מורשה ברשומת A, חתימת DNSSEC שבורה, או ירידה פתאומית ב-TTL יכולים להפוך את האתר שלכם לבלתי זמין לאלפי משתמשים בזמן שהשרת עצמו בריא. טיפלנו במקרה שבו דומיין של לקוח היה בלתי זמין במשך 6 שעות בגלל חידוש שהוחמץ — ההפסדים היו עשרות אלפי דולרים. מאז, הפכנו בדיקת תפוגת דומיינים למרכיב חובה.

סיכונים באי-ניטור DNS

• שינויי A/AAAA: האתר מציג תוכן של צד שלישי או דף ריק.
• חטיפת MX: תעבורת הדוא"ל מופנית לשרת של תוקף, מה שפוגע בהתכתבויות ובסיסמאות.
• מתקפות NS: אובדן שליטה מלא בדומיין — התנועה מופנית לדפי פישינג.
• מניפולציית TTL: TTL נמוך באופן חריג (<60 שניות) מקדים לעיתים קרובות מתקפה.
• DNSSEC שבור: 30% מהמשתמשים (דפדפנים עם אימות) לא יכולים להגיע לאתר שלכם.
• תפוגת דומיין: דומיין שפג תוקפו מאבד את כל תצורת ה-DNS.

רשומות DNS לניטור

בנוסף, אנו מנטרים:

• TTL: התראה אוטומטית כאשר TTL יורד מתחת ל-300 שניות.
• DNSSEC: אימות נוכחות ותקינות RRSIG. לפי RFC 4033, DNSSEC מאמת תשובות DNS.
• תפוגת דומיין: בדיקה יומית, התראה 30 יום לפני התפוגה.

איך אנחנו מקימים ניטור DNS במתכונת מלאה

אנחנו משתמשים בשילוב של סקריפטים קלים ב-Python להתחלה מהירה ו-Prometheus Blackbox Exporter לקנה מידה תעשייתי.

1. ביקורת תצורה נוכחית — איסוף רשומות בסיס, אימות DNSSEC, TTL, תאריך תפוגה. שמירת הבסיס בתמונת JSON.
2. פריסת סקריפט ניטור שינויים ב-Python — שאילתה לשלושה רסולברים ציבוריים (Google, Cloudflare, OpenDNS) והשוואת תשובות לבסיס. התראה דרך Telegram, Slack או PagerDuty תוך דקה. זמן גילוי ממוצע: 60 שניות.
3. אינטגרציה עם Prometheus דרך Blackbox Exporter — יצירת מודול import dns.resolver from dns.exception import DNSException def check_dns(domain, expected_ip): try: answers = dns.resolver.resolve(domain, 'A') for rdata in answers: if rdata.address != expected_ip: alert(f"DNS change detected for {domain}") except (DNSException, IndexError) as e: alert(f"DNS error for {domain}: {e}") לכל דומיין, אימות כתובת IP צפויה. המדדים זורמים ל-Grafana; התראות מופעלות אם dig +dnssec example.com.
4. אימות DNSSEC — פתרון תקופתי עם דגל DO (DNSSEC OK) ובדיקת RRSIG. התראה קריטית על שגיאת אימות.
5. ניטור WHOIS — בדיקה יומית של מספר הימים עד לתפוגת הדומיין. סף: 30 יום.

import dns.resolver
from dns.exception import DNSException

def check_dns(domain, expected_ip):
    try:
        answers = dns.resolver.resolve(domain, 'A')
        for rdata in answers:
            if rdata.address != expected_ip:
                alert(f"DNS change detected for {domain}")
    except (DNSException, IndexError) as e:
        alert(f"DNS error for {domain}: {e}")