Supervisar cambios de DNS en una gran cartera de dominios

Los equipos responsables de muchos dominios (una empresa con decenas de sitios regionales, un equipo de seguridad que sigue una gran lista de vigilancia, una agencia que gestiona la infraestructura de sus clientes) se topan con un problema al que las comprobaciones puntuales individuales no escalan: volver a revisar cada dominio manualmente de forma periódica es tan tedioso que deja de hacerse con regularidad, hasta que un cambio pasa inadvertido durante más tiempo del debido.

Qué merece realmente la pena vigilar

Cómo hacerlo sostenible

La solución práctica es convertir la comprobación en algo que se ejecute con su propio calendario, en lugar de algo que una persona tenga que acordarse de hacer. Una tarea recurrente que vuelva a resolver toda la cartera a intervalos fijos (cada hora, cada día, la cadencia que se ajuste a la frecuencia con la que se esperan cambios relevantes) y que muestre solo lo que cambió desde la última vez transforma una tarea manual fácil de saltarse en una red de seguridad pasiva. Combinarlo con resultados exportables (CSV o JSON) hace sencillo comparar una ejecución con la anterior y detectar desviaciones automáticamente, en lugar de repasar a ojo una lista larga.

El riesgo concreto que detecta: registros DNS colgantes a gran escala

Una gran cartera de dominios acumula subdominios antiguos igual que cualquier base de código acumula código muerto: el subdominio de la página de aterrizaje de una campaña de marketing, un entorno de preproducción dado de baja, un CNAME hacia una prueba de un SaaS que nunca se renovó. Cada uno es un posible objetivo de toma de control de subdominio si el servicio al que apuntaba antes queda disponible para que otro lo reclame. La supervisión programada de toda la cartera es una de las pocas formas prácticas de detectar este tipo de deriva antes que un atacante: un subdominio que antes se resolvía sin problemas y ahora da error, o se resuelve a un proveedor desconocido, es exactamente la señal que merece una segunda mirada.

Quién acaba siendo responsable, en términos de organización

La supervisión del DNS de toda una cartera suele caer en un vacío entre equipos: los equipos de infraestructura son responsables de los dominios que corresponden a servicios que ejecutan, los equipos de marketing o de crecimiento crean subdominios de campaña sin necesariamente avisar a infraestructura, y los equipos de seguridad quieren visibilidad sobre todo ello sin necesariamente tener acceso de escritura para cambiar nada. Un patrón viable es tratar la propia tarea de supervisión como un servicio compartido de solo lectura, del que son responsables seguridad o ingeniería de plataforma y que se ejecuta de forma programada, con alertas dirigidas al equipo cuyos dominios hayan cambiado realmente, en lugar de esperar que un único equipo se acuerde de revisar manualmente una cartera de la que nadie tiene una visibilidad completa y actualizada de la titularidad.

Empieza por un inventario, no por una suposición

El paso que suele omitirse es construir la lista real de dominios que vale la pena vigilar. Los paneles de los registradores y de los proveedores de DNS muestran todos los dominios de una cuenta, pero una organización grande suele tener dominios dispersos entre varios registradores y proveedores, acumulados a lo largo de años de adquisiciones, campañas y compras de equipos concretos que nadie rastreó de forma centralizada. Reunir ese inventario completo una vez (aunque sea de forma imperfecta) y tratarlo como la lista inicial de la supervisión continua es más valioso que una configuración de supervisión técnicamente sofisticada que solo vigile el subconjunto de dominios cuya existencia alguien recordó.