Monitorare le modifiche DNS in un portafoglio di domini

I team responsabili di molti domini (un'azienda con decine di siti regionali, un team di sicurezza che segue una grande watchlist, un'agenzia che gestisce l'infrastruttura dei clienti) si scontrano con un problema a cui i controlli puntuali sui singoli domini non scalano: ricontrollare a mano ogni dominio a intervalli regolari è abbastanza noioso da smettere di accadere con regolarità, finché una modifica non passa inosservata più a lungo di quanto dovrebbe.

Cosa vale davvero la pena tenere d'occhio

Renderlo sostenibile

La soluzione pratica è trasformare il controllo in qualcosa che gira secondo una propria pianificazione, invece che in qualcosa che una persona deve ricordarsi di fare. Un job ricorrente che risolve di nuovo l'intero portafoglio a un intervallo prestabilito (ogni ora, ogni giorno, con la cadenza che corrisponde alla frequenza con cui ci si aspettano modifiche significative) e mette in evidenza solo ciò che è cambiato dall'ultima volta trasforma un'incombenza manuale facile da saltare in una rete di sicurezza passiva. Abbinarlo a risultati esportabili (CSV o JSON) rende semplice confrontare un'esecuzione con la precedente e individuare automaticamente le derive, invece di scorrere a occhio un lungo elenco.

Il rischio specifico che intercetta: il DNS pendente su larga scala

Un grande portafoglio di domini accumula vecchi sottodomini nello stesso modo in cui qualsiasi codebase accumula codice morto: il sottodominio della landing page di una campagna di marketing, un ambiente di staging dismesso, un CNAME verso una prova di un SaaS che non è mai stata rinnovata. Ognuno di essi è un potenziale bersaglio di subdomain takeover se il servizio a cui puntava un tempo diventa disponibile per essere rivendicato da qualcun altro. Il monitoraggio pianificato, esteso a tutto il portafoglio, è uno dei pochi modi pratici per intercettare questo tipo di deriva prima di un attaccante: un sottodominio che prima si risolveva senza problemi e ora dà errore, o si risolve presso un provider sconosciuto, è esattamente il segnale che merita un secondo sguardo.

A chi spetta, a livello organizzativo

Il monitoraggio del DNS dell'intero portafoglio spesso finisce in una zona grigia tra i team: i team infrastruttura sono responsabili dei domini che corrispondono ai servizi che gestiscono, i team marketing o growth creano sottodomini per le campagne senza necessariamente coinvolgere l'infrastruttura e i team di sicurezza vogliono visibilità su tutto senza necessariamente avere accesso in scrittura per modificare alcunché. Uno schema praticabile è trattare il job di monitoraggio stesso come un servizio condiviso, in sola lettura, di cui sono responsabili la sicurezza o il platform engineering e che viene eseguito a intervalli regolari, con gli avvisi indirizzati al team i cui domini sono effettivamente cambiati, invece di aspettarsi che un singolo team si ricordi di ricontrollare a mano un portafoglio di cui nessuno ha una visibilità completa e aggiornata sulla proprietà.

Partire da un inventario, non da un'ipotesi

Il passaggio che tende a essere saltato è costruire in primo luogo l'elenco vero dei domini che vale la pena tenere sotto controllo. Le dashboard di registrar e provider DNS mostrano ogni dominio presente in un dato account, ma una grande organizzazione ha spesso domini sparsi tra più registrar e provider, accumulati in anni di acquisizioni, campagne e acquisti a livello di team che nessuno ha tracciato in modo centralizzato. Mettere insieme una volta quell'inventario completo (anche in modo imperfetto) e trattarlo come l'elenco di partenza per il monitoraggio continuo vale più di un sistema di monitoraggio tecnicamente sofisticato che sorveglia solo il sottoinsieme di domini di cui qualcuno si è ricordato l'esistenza.