Herwgipio enw parth, gwenwyno DNS, a chloi cofrestrydd allan¶

Mae colli rheolaeth ar brif enw parth neu barth DNS Awdurdodol eich sefydliad yn un o'r argyfyngau digidol mwyaf dinistriol y gall busnes, ysbyty, asiantaeth ddinesig, neu gyhoeddiad ar-lein ei ddioddef. Gan mai eich enw parth yw gwraidd ymddiriedaeth pob system ar y rhyngrwyd, nid yw ymosodwr sy'n herwgipio'ch cyfrif cofrestrydd parth neu'n gwenwyno'ch cofnodion DNS yn difwyno'ch gwefan yn unig. O fewn munudau i newid eich NS (Gweinydd enw), A/AAAA (Gwe IP), neu MX (Mail Exchange) yn cofnodi, gall yr ymosodwr ryng-gipio pob e-bost corfforaethol a chwsmer sy'n dod i mewn yn dawel, pasio awtomataidd Let's Encrypt Parth Dilysiad (DV) sieciau i bathu tystysgrifau amgryptio TLS/SSL dilys yn eich enw, dal cyfrineiriau Sign-On Sengl (SSO) cyflogai, a sbarduno e-byst ailosod cyfrinair ar gyfer eich seilwaith cwmwl, pyrth bancio, a chyfrifon ariannol. Methiant nad yw'n faleisus hyd yn oed, fel parth sydd wedi dod i ben yn syrthio iddo AutoRenewGracePeriod neu RedemptionPeriod (clientHold), yn dod â thraffig gwe, backends symudol API, ac e-bost cwmni i stop ar unwaith ledled y byd.

Os yw herwgipio parth neu ddiffyg DNS yn peryglu llwybro cleifion ysbyty, cyfathrebiadau anfon brys, telemetreg cyfleustodau cyhoeddus, neu system diogelwch bywyd gweithredol, ffoniwch eich rhif argyfwng lleol (911 yn yr Unol Daleithiau a Chanada, 112 ar draws yr Undeb Ewropeaidd, 999 yn y Deyrnas Unedig) neu edrychwch ar ein cyfeirlyfr rhyngwladol rhifau brys a hysbysu eich tîm ymateb i ddigwyddiadau seiber cenedlaethol (fel CISA yn yr Unol Daleithiau yn 1-844-SAY-CISA neu NCSC yn y Deyrnas Unedig) ar unwaith. Ar gyfer pob argyfwng parth masnachol, dielw a phersonol, gweithredwch y camau brysbennu isod yn union drefn.

Gwnewch hyn nawr¶

1. Penderfynwch mewn 30 eiliad a ddaeth eich parth i ben, a gafodd eich cofnodion DNS eu newid, neu a gafodd y parth ei drosglwyddo i gofrestrydd tramor: Rhedeg byw RDAP neu WHOIS ymholiad ac ymholiad DNS awdurdodol o derfynell (rdap yourdomain.com neu whois yourdomain.com, a dig +trace yourdomain.com). Gwiriwch Enw'r Cofrestrydd, y Codau Statws EPP (fel clientHold ar gyfer bilio/dilysu vs. ok gyda gweinyddwyr enwau anghyfarwydd), a'r Gweinyddwyr Enwau Awdurdodol (NS).
2. Rhewch yr holl ailosodiadau cyfrinair sy'n mynd allan a chlowch eich Darparwr Hunaniaeth (Okta, Microsoft Entra ID, Google Workspace) ar unwaith: Os yw ymosodwr yn rheoli eich parth MX cofnodion neu NS gweinyddwyr, maent yn derbyn pob e-bost a anfonir at *@yourdomain.com. Cyfarwyddwch eich gweinyddwyr TG ar unwaith i analluogi ailosodiadau hunanwasanaeth "Anghofio Cyfrinair trwy E-bost" ar draws yr holl offer corfforaethol, dirymu sesiynau gweithredol ar gyfer defnyddwyr y gellir defnyddio eu cyfeiriadau e-bost i ailosod cyfrifon gwerthwyr allanol, a newid mewngofnodi gweinyddol i allweddi diogelwch caledwedd FIDO2 neu fewnol .onmicrosoft.com parthau wrth gefn.
3. ** Cadw cipluniau fforensig llawn o RDAP/WHOIS, parthau DNS, a Thryloywder Tystysgrif (CT) logiau cyn i unrhyw beth newid**: Arbed allbwn o dig ANY yourdomain.com @8.8.8.8, whois yourdomain.com, a gwirio crt.sh/?q=%25.yourdomain.com ar unwaith. Chwilio crt.sh yn datgelu pob tystysgrif SSL/TLS anawdurdodedig y mae'r ymosodwr newydd ei bathu ar gyfer eich is-barthau (mail., vpn., login., api.) fel eich bod yn gwybod yn union pa wasanaethau mewnol y maent yn eu dynwared yn weithredol trwy ddirprwyon Adversary-in-the-Middle (AitM).
4. Cysylltwch â Thîm Gweithrediadau Diogelwch / Cam-drin Argyfwng pwrpasol y Cofrestrydd Colled (nid cymorth sgwrsio Haen-1) i sbarduno Anghydfod Trosglwyddo Heb Ganiatâd ICANN (IRTP) neu wrthdroad Cloi'r Gofrestrfa: Os cafodd eich parth ei wthio i gyfrif arall yn yr un cofrestrydd neu ei drosglwyddo trwy ladrad Auth-Info (EPP) cod i gofrestrydd tramor, cysylltwch â Desg Cam-drin Parth / Diogelwch Risg Uchel eich cofrestrydd gwreiddiol a gofynnwch am Dadwneud y Cofrestrydd / Anghydfod Trosglwyddo Brys ar unwaith o dan Bolisi Trosglwyddo ICANN (Section I.A a Transfer Dispute Resolution Policy), gan ddyfynnu cyfaddawd credadwy heb awdurdod.
5. Ewch yn syth i'r Gweithredwr Cofrestrfa Parth Lefel Uchaf (TLD) os yw'r cofrestrydd yn anymatebol: Cofiwch yr hierarchaeth: Mae Cofrestryddion (fel GoDaddy, Namecheap, Cloudflare, MarkMonitor, Network Solutions, Gandi, Porkbun) yn ailwerthwyr manwerthu yn syml; y Gweithredwr Cofrestrfa (fel Verisign ar gyfer .com/.net, Cofrestrfa Budd Cyhoeddus (PIR) ar gyfer .org, Nominet ar gyfer .uk, CIRA ar gyfer .ca, DENIC am .de, neu auDA ar gyfer .au) yn rhedeg y gronfa ddata parth gwraidd meistr. Cod gwlad (ccTLD) gall cofrestrfeydd a sawl cofrestrfa gTLD osod argyfwng serverHold neu serverUpdateProhibited cloi yn uniongyrchol ar y lefel sylfaenol yn ystod digwyddiadau seiberdroseddu a ddilyswyd.
6. Rhybuddiwch gwsmeriaid, gwerthwyr, a phartneriaid bancio trwy sianeli y tu allan i'r band hynny @yourdomain.com e-bost yn cael ei beryglu: Os yw'r ymosodwr herwgipio eich MX cofnodion, byddant yn ymateb ar unwaith i edafedd cyfrifo agored gyda chyfarwyddiadau trosglwyddo gwifren ffug. Hysbysu cleientiaid dros y ffôn, SMS, LinkedIn, tudalen statws ar barth wrth gefn ar wahân, neu gyfrifon cyfryngau cymdeithasol swyddogol i beidio ag ymddiried mewn unrhyw e-bost neu borth mewngofnodi ar y parth yr effeithir arno nes bod adferiad wedi'i gadarnhau.

Coeden benderfynu: gwneud diagnosis a chynnwys toriad parth neu DNS¶

Dilynwch y siart llif diagnostig cyflym hwn i nodi union haen y System Enw Parth sydd wedi methu neu wedi cael ei herwgipio:

flowchart TD
    A["Gwefan i Lawr, Rhybudd Tystysgrif TLS, neu Atal E-bost Corfforaethol"] --> B["Rhedeg RDAP/WHOIS a chloddio + olrhain o'r Rhwydwaith Allanol"]
    B --> C{"Beth mae Meysydd Statws a Chofrestrydd RDAP yn ei Ddangos?"}
    C -->|"Statws: clientHold, autoRenewPeriod, neu redemptionPeriod"| D["Dod i Ben yn Ddamweiniol neu Ataliad Gwirio Pwy ICANN"]
    D --> E["Mewngofnodwch i'r Cofrestrydd Ar Unwaith: Talu Ffi Adnewyddu / Adbrynu neu Cliciwch Cyswllt Gwirio RAA; Cais Argyfwng TTL Flush"]
    C -->|"Enw'r Cofrestrydd neu Gyfrif Aelod Cofrestredig wedi'i Newid Heb Ganiatâd"| F["Herwgipio Cyfrif Cofrestrydd Llawn neu Drosglwyddiad EPP Anawdurdodedig"]
    F --> G["Cloi Darparwr Hunaniaeth (Entra/Google), Tocyn Cam-drin Cofrestrydd Argyfwng Ffeil + Anghydfod Trosglwyddo ICANN, Gwiriwch crt.sh am Dystysgrifau Twyllodrus"]
    C -->|"Cofrestrydd a NS Heb ei newid, ond mae Cofnodion A / CNAME / MX yn Pwyntio at IPs Anhysbys"| H["Cyfaddawd Darparwr DNS a Reolir (Allwedd API Cloudflare / Route53 / NS1 neu Doriad Cyfrif)"]
    H --> I["Diddymu Tocynnau API DNS Cyfaddawdu, Adfer Ffeil Parth Hysbys-Da, Diddymu Tystysgrifau TLS Twyllodrus, Cylchdroi Manylion Amlygedig"]
    C -->|"Mae Cofnodion y Cofrestrydd, NS, a Parth yn Edrych yn Normal, ond Safle'n Methu gyda SERVFAIL"| J["Cadwyn Ymddiriedaeth DNSSEC sydd wedi torri (Dimmatch Record DS neu RRSIG wedi dod i ben)"]
    J --> K["Rhedeg Gwiriad DNSViz.net: Tynnwch Gofnod Stale DS yn y Cofrestrydd neu Ail-lofnodi Parth yn DNS Host"]

Cam 1: Fforensig technegol i nodi'r union fector ymosodiad¶

Pan fydd parth yn rhoi'r gorau i ddatrys yn sydyn neu'n dechrau gwasanaethu tudalen gwe-rwydo neu sgam arian cyfred digidol, mae pob munud a dreulir yn dyfalu yn gwastraffu amser adfer gwerthfawr. Mae pedwar senario hollol wahanol sy'n edrych yn union yr un fath â defnyddiwr terfynol mewn porwr gwe, ac mae angen atgyweiriad hollol wahanol ar bob un.

Sut i Ddarllen RDAP, WHOIS, a dig Allbynnau Fel Ymatebwr i Ddigwyddiad¶

Agor terfynell orchymyn ar Linux, macOS, neu Windows (gan ddefnyddio WSL neu nslookup) a rhedeg y tri gwiriad diagnostig canlynol gan ddefnyddio datrysiad ailadroddus cyhoeddus niwtral (8.8.8.8 neu 1.1.1.1):

1. Gwiriwch Ddirprwyaeth Lefel y Gofrestrfa (dig +trace a RDAP):

   dig +trace yourdomain.com NS @1.1.1.1
   

   • Edrychwch ar y cam yn union ar ôl y gweinyddwyr gwraidd TLD (er enghraifft, a.gtld-servers.net. canys .com). Pa NS (Gweinydd Enw) enwau gwesteiwr yn cael eu dychwelyd gan y Gofrestrfa TLD ei hun?
   • Os bydd y Gofrestrfa TLD yn dychwelyd eich gweinyddwyr enwau arferol (ns1.yourdnsprovider.com) gyda statws NOERROR, mae'r herwgipio yn digwydd ** y tu mewn i'ch darparwr cynnal DNS ** (neu mae'n doriad DNSSEC).
   • Os bydd y Gofrestrfa TLD yn dychwelyd gweinyddwyr enwau cwbl anghyfarwydd (neu os whois yourdomain.com yn dangos newydd Registrar: enw a Updated Date: o fewn yr ychydig oriau neu ddyddiau diwethaf), digwyddodd yr herwgipio ar lefel y Cofrestrydd Parth.
2. Datgodio Codau Statws Parth Parth EPP ICANN: Edrychwch ar y Domain Status: llinellau yn eich WHOIS neu RDAP allbwn. Mae'r codau Protocol Darpariaeth Estynadwy (EPP) safonol hyn yn dweud wrthych pam mae parth yn methu neu wedi'i gloi:

Cam 2: Adfer ar ôl herwgipio parth maleisus neu drosglwyddiad cofrestrydd heb awdurdod¶

Mae ymosodwyr yn herwgipio parthau corfforaethol gwerth uchel, Web3/DeFi, ariannol a chyfryngau gan ddefnyddio tair techneg sylfaenol: 1. Cymeriad Cyfrif y Cofrestrydd (Stwffio Credyd, Infostealer Malware, neu SIM Swap): Mae'r ymosodwr yn mewngofnodi i'ch GoDaddy, Namecheap, Google Domains/Squarespace, neu ddangosfwrdd Network Solutions, yn diffodd clientTransferProhibited, yn newid y NS cofnodion i bwyntio at gyfrif Cloudflare a reolir gan ymosodwr, neu'n cynhyrchu Auth-Info (EPP) cod i drosglwyddo'r parth allan. 2. Peirianneg Gymdeithasol Cymorth Cofrestrydd: Mae'r ymosodwr yn cyflwyno dogfennau corffori ffug, IDau ffug y llywodraeth, neu bennawd llythyr ffug i ddesg adfer cyfrif cofrestrydd yn honni bod y gweinyddwr TG gwreiddiol wedi marw neu wedi gadael y cwmni. 3. Meddiannu Is-barth (Dangling CNAME / Dangling NS): Mae eich prif barth heb ei gyffwrdd, ond hen is-barth (promo.yourdomain.com neu status.yourdomain.com) yn dal i gael a CNAME cofnod yn pwyntio at fwced AWS S3 wedi'i ddatgomisiynu, Azure App Service, repo GitHub Pages, app Heroku, neu enghraifft Zendesk y gwnaethoch ei ddileu fisoedd yn ôl. Mae'r ymosodwr yn cofrestru a adawodd enw adnodd cwmwl ar AWS / Azure / GitHub ac yn gwasanaethu cynnwys maleisus o'ch is-barth swyddogol ar unwaith.

Cam 1: Trowch yr Ymosodwr allan o'ch Darparwr Hunaniaeth Cwmwl a'ch System E-bost¶

Cyn i chi hyd yn oed orffen llenwi'r ffurflen adfer cofrestrydd, cymerwch fod yr ymosodwr wrthi'n darllen pob e-bost a anfonwyd i'ch parth ac yn ceisio colyn i'ch seilwaith cwmwl mewnol:

1. Newid Microsoft 365 / Google Workspace i Parthau Wrth Gefn a Chaledwedd MFA:
   • Yn Microsoft Entra ID (Azure AD gynt), mae gan bob tenant barth wrth gefn parhaol, na ellir ei herwgipio (yourcompany.onmicrosoft.com). Gall gweinyddwyr fewngofnodi drwy admin@yourcompany.onmicrosoft.com hyd yn oed os yourdomain.com Mae DNS wedi'i herwgipio'n llwyr.
   • Analluoga'r holl ddulliau ailosod cyfrinair SMS, galwad llais, ac e-bost amgen yn Entra ID / Okta / Google Workspace (Authentication Methods Policy). Angen allweddi diogelwch caledwedd FIDO2/WebAuthn neu hysbysiadau gwthio Dilyswr sy'n cyfateb i rifau.
2. Archwilio Logiau E-bost Allan ac i Mewn ar gyfer yr Union Ffenest Cyfaddawd:
   • Os yw eich MX newidiwyd cofnodion am 02:14 UTC, mae sero e-byst allanol cyfreithlon wedi cyrraedd eich gweinyddwyr post go iawn ers 02:14 UTC; cipiwyd pob e-bost allanol a anfonwyd at eich staff yn ystod y ffenestr honno mewn testun plaen llawn gan weinydd post twyllodrus yr ymosodwr (gwrandäwr Postfix/Exim).
   • Tynnwch restr ar unwaith o bob platfform SaaS trydydd parti, banc, cyfrif gwraidd AWS / GCP, sefydliad GitHub, a phorth gwerthwr sy'n gysylltiedig â @yourdomain.com cyfeiriadau e-bost, a gwirio a ysgogodd yr ymosodwr ailosodiadau cyfrinair ar y llwyfannau allanol hynny yn ystod y ffenestr herwgipio.

Cam 2: Gweithredu Protocol Adfer Brys y Cofrestrydd a'r Gofrestrfa¶

Peidiwch ag agor sgwrs gymorth generig "Nid yw fy ngwefan yn gweithio". Rhaid i chi ddefnyddio'r union derminoleg reoleiddiol a chyfreithiol sy'n sbarduno uwchgyfeirio i Diogelwch Haen-3 y Cofrestrydd / Cwnsler Cyffredinol / Tîm Cydymffurfiaeth ICANN:

1. Achos A: Mae'r Parth yn Dal i fod yn Eich Cofrestrydd Gwreiddiol (Meddiannu Cyfrif neu "Wthio Cyfrifon) Mewnol"):
   • Nid yw llawer o ymosodwyr yn aros 5 diwrnod am drosglwyddiad EPP rhyng-gofrestrydd; yn lle hynny, maen nhw'n defnyddio nodwedd gwib "Gwthio Parth i Gyfrif Arall" y cofrestrydd i symud eich parth i gyfrif llosgwr yn yr un cofrestrydd ** mewn 3 eiliad.
   • Ffoniwch ac e-bostiwch Adran Twyll / Herwgipio Cyfrifon / Cam-drin y cofrestrydd ar unwaith. Nodwch yn glir: "DIGWYDDIAD DIOGELWCH BRYS: Mynediad Cyfrif Anawdurdodedig a Gwthio Parth Mewnol / Addasiad DNS o [yourdomain.com]. Yn gofyn am rewi'r parth ar unwaith o dan serverHold/clientUpdateProhibited a dychwelyd newidiadau DNS/Cyfrif heb awdurdod."
   • Casglu Eich Pecyn Prawf o Berchnogaeth Hanesyddol ar unwaith: Mae angen prawf diwrthdro ar dimau diogelwch cofrestrydd mai chi yw'r cofrestrydd blaenorol cyfreithlon cyn y byddant yn tynnu parth yn ôl o gyfrif arall. Casglwch y 5 dogfen hyn yn un PDF ar unwaith:
     1. Anfonebau Cofrestrydd Hanesyddol a Phrawflenni Talu: derbynebau PDF a datganiadau cerdyn credyd / banc yn dangos eich sefydliad yn talu am gofrestru ac adnewyddu yourdomain.com dros yr 1 i 10 mlynedd diwethaf (gan gynnwys 4 digid olaf y cerdyn talu neu gyfeirnod gwifren).
     2. Cofrestriad Corfforaethol a gyhoeddir gan y Llywodraeth ac ID Swyddog: Tystysgrif Corffori Swyddogol / Erthyglau Trefniadaeth sy'n cyfateb i'r WHOIS hanesyddol Registrant Organization, ynghyd â llun adnabod y llywodraeth o'r swyddog corfforaethol yn llofnodi'r affidafid.
     3. Ffeil Parth DNS Hanesyddol a Phrawf Perchnogaeth Gweinyddwr: Copïau o'ch ffeil parth DNS blaenorol, cipluniau WHOIS hanesyddol, neu brawf bod eich sefydliad yn berchen ar y system ymreolaethol (ASN) neu flociau IP (A cofnodion) y cyfeiriodd y parth ato am flynyddoedd cyn y newid heddiw.
     4. E-bost Creu Cyfrif Gwreiddiol / Hanes Tocynnau: Penawdau e-byst a dderbyniwyd gan y cofrestrydd ar yr adeg y cofrestrwyd neu adnewyddwyd y parth yn wreiddiol.
     5. Rhif Adroddiad Gorfodi Cyfraith Swyddogol: A ffeiliwyd FBI IC3 (ic3.gov) rhif cwyn (Unol Daleithiau), Rhif cyfeirnod Action Fraud (y Deyrnas Unedig), neu rif adroddiad seiberdroseddu cenedlaethol yr heddlu. Mae cofrestryddion yn gweithredu'n ddramatig yn gyflymach pan roddir rhif achos gorfodi'r gyfraith ffurfiol iddynt sy'n cadarnhau ymwthiad cyfrifiadurol troseddol o dan 18 U.S.C. § 1030 (CFAA) neu Ddeddf Camddefnyddio Cyfrifiaduron y DU 1990.
2. Achos B: Trosglwyddwyd y Parth i Gofrestrydd Gwahanol (Hwgipiad Rhwng Cofrestrydd):
   • O dan Polisi Trosglwyddo ICANN (IRTP gynt), mae trosglwyddiad rhwng cofrestrydd yn gofyn am Auth-Info (EPP) cod a rhaid ei rwystro am 60 diwrnod ar ôl rhai newidiadau i gofrestryddion oni bai eu bod yn cael eu hepgor. Pe bai ymosodwr yn hacio'ch cyfrif yn Cofrestrydd A (y "Cofrestrydd Colled") ac wedi trosglwyddo'r parth i Cofrestrydd B (y "Cofrestrydd Ennill"):
   • Cysylltwch â'r Cofrestrydd Colled a'r Cofrestrydd Ennill ar unwaith, ond rhowch flaenoriaeth i Anghydfod Trosglwyddo/Tîm Diogelwch y Cofrestrydd Coll**. O dan Polisi Datrys Anghydfodau Trosglwyddo (TDRP) ICANN, y Cofrestrydd Colled yw'r endid sydd â'ch cofnodion bilio hanesyddol a'ch logiau mewngofnodi yn profi bod y trosglwyddiad yn anawdurdodedig. Gall y Cofrestrydd Colled gysylltu'n ffurfiol â swyddog cydymffurfio'r Cofrestrydd Ennill i weithredu cynllun cydweithredol Dadwneud Trosglwyddiad y Cofrestrydd, neu ffeilio achos ffurfiol o TDRP.
   • Anfonwch eich pecyn prawf perchnogaeth ac adroddiad yr heddlu ar yr un pryd i ** Ddesg Cam-drin y Cofrestrydd Ennill** yn mynnu eu bod yn gosod un ar unwaith. clientTransferProhibited a clientUpdateProhibited cloi ar y parth fel na all yr ymosodwr neidio'r parth trwy gadwyn o dri chofrestrydd alltraeth arall ("cofrestrydd hopian").
3. Ffeiliwch Gynnig Argyfwng gydag ICANN (ar gyfer gTLDs fel .com, .net, .org, .io os gTLD) neu'r Gofrestrfa ccTLD:
   • Os bydd cofrestrydd yn gwrthod ymchwilio i drosglwyddiad anawdurdodedig neu’n methu ag ymateb yn ystod herwgipio gweithredol, cyflwynwch Cwyn Trosglwyddiad Anawdurdodedig / Herwgipio Parth frys trwy **Borth Cydymffurfiaeth Gontractiol ICANN (icann.org/compliance/complaint).
   • Os yw'ch parth yn defnyddio Parth Lefel Uchaf Cod Gwlad (ccTLD), megis .uk, .ca, .au, .de, .fr, .nl, .ch, neu .jp, mae gennych opsiwn cyflymach fyth: mae cofrestrfeydd ccTLD yn cael eu llywodraethu gan awdurdodau goruchwylio cenedlaethol yn hytrach nag ICANN a bron bob amser yn cynnal Timau Diogelwch Argyfwng y Gofrestrfa (er enghraifft, Nominet yn y DU yn uniongyrchol). 0330 236 9470, CIRA yng Nghanada, DENIC yn yr Almaen, AFNIC yn Ffrainc) a all rewi parth a herwgipiwyd yn uniongyrchol ar lefel y gofrestrfa genedlaethol o fewn oriau ar ôl dilysu hunaniaeth gorfforaethol.

Cam 3: Achub parth sydd wedi dod i ben (clientHold, RedemptionPeriod, a PendingDelete)¶

Nid yw pob toriad byd-eang sydyn yn ymosodiad seibr. Bob dydd, mae cwmnïau mawr, cwmnïau newydd SaaS, a chontractwyr y llywodraeth yn mynd yn hollol dywyll oherwydd bod y cerdyn credyd ar ffeil yn eu cofrestrydd parth wedi dod i ben, ac anfonwyd yr e-byst atgoffa adnewyddu i former-founder@company.com a adawodd y cwmni dair blynedd yn ôl.

Deall Llinell Amser Cylch Bywyd Parth sydd wedi dod i Ben ICANN¶

Ar gyfer Parthau Lefel Uchaf generig (.com, .net, .org, .biz, .info), mae Polisi Adfer Cofrestru Wedi dod i Ben ICANN (ERRP) yn gorfodi cylch bywyd aml-gam llym ar ôl i'r dyddiad dod i ben fynd heibio:

1. Cam 1: Cyfnod Grace Adnewyddu'n Awtomatig (Dyddiau 1 i ~ 30/45 ar ôl Dod i Ben):
   • Yn syth ar ôl dod i ben (yn aml o fewn 24 i 72 awr), mae'r cofrestrydd yn newid parth y NS yn cofnodi Tudalen Sblash Adnewyddu Wedi Parcio / Wedi dod i Ben neu'n gosod y parth ar clientHold.
   • Effaith: Mae eich gwefan ac e-bost corfforaethol yn rhoi'r gorau i weithio ar unwaith (DNS_PROBE_FINISHED_NXDOMAIN neu hysbysebion parcio).
   • Adferiad: Mewngofnodwch i gyfrif y cofrestrydd a thalu'r ffi adnewyddu 1 flwyddyn safonol ($10 i $30 USD). Mae'r cofrestrydd yn adfer eich gwreiddiol ar unwaith NS cofnodion.
2. Cam 2: Cyfnod Gwaredigaeth Gras (redemptionPeriod, 30 Diwrnod Hyd):
   • Os nad oes neb yn adnewyddu'r parth yn ystod Cam 1 (fel arfer ar ôl diwrnod 30 i 42 yn dibynnu ar Delerau Gwasanaeth y cofrestrydd), mae'r cofrestrydd yn dileu'r parth yn y Gofrestrfa, ac mae'r Gofrestrfa'n ei osod yn y 30 diwrnod gorfodol redemptionPeriod (oni bai bod y cofrestrydd wedi arwerthu’r parth sydd wedi dod i ben trwy lwyfan ocsiwn parth mewnol sydd wedi dod i ben fel GoDaddy Auctions neu NameJet, gwiriwch union derfyn arwerthiant diwrnod-30 eich cofrestrydd ar unwaith).
   • Adferiad: Gallwch chi achub y parth o hyd gyda sicrwydd 100 y cant yn ystod redemptionPeriod, trwy y Cofrestrydd Colled gwreiddiol yn unig. Rhaid i chi gysylltu â'u desg filio/cymorth a thalu'r Ffi Adfer Adbrynu Cofrestrfa ($80 i $250 USD fel arfer) ynghyd ag adnewyddiad 1 flwyddyn.
3. Cam 3: Dileu yn yr Arfaeth (pendingDelete, 5 Diwrnod Calendr Terfynol):
   • Unwaith y 30 diwrnod redemptionPeriod yn dod i ben, mae'r parth yn mynd i mewn pendingDelete am union 5 diwrnod (120 awr).
   • Effaith: Yn ystod pendingDelete, mae'r Gofrestrfa yn gwrthod pob EPP safonol restore gorchmynion gan y cofrestrydd. Ar ddiwedd diwrnod 5 (ar gyfer .com/.net Mae Verisign yn disgyn, rhwng 18:00 a 19:15 UTC), mae'r parth yn cael ei ryddhau i'r cyhoedd a'i gipio o fewn 10 milieiliad gan rwydweithiau dal-dal awtomataidd.
   • ** Camau Argyfwng os Dal i Mewn pendingDelete neu Arwerthiant sydd wedi dod i ben i'r Cofrestrydd**:
     • Os gwerthwyd y parth trwy arwerthiant a ddaeth i ben diwrnod-30 y cofrestrydd cyn mynd i mewn i'r Gofrestrfa redemptionPeriod, gwiriwch a yw'ch cofrestrydd yn cynnig ffenestr adbrynu ôl-ocsiwn fer neu cysylltwch â'r cynigydd/brocer buddugol ar unwaith.
     • Os yw'r parth yn wirioneddol yn y Gofrestrfa 5 diwrnod pendingDelete cam, ar yr un pryd gosod ôl-archebion haen uchel ar draws pob un o'r tri phrif rwydwaith dal-dal (DropCatch.com, SnapNames.com, a NameJet.com) felly os bydd y parth yn disgyn i'r pwll cyhoeddus ar Ddiwrnod 5, bydd eich archeb gefn yn ei ddal neu'n eich cynnwys yn yr arwerthiant cynigydd caeedig i brynu'ch parth yn ôl.

Pam Mae Fy Ngwefan yn Dal i Fethu am Oriau Ar ôl i mi Adnewyddu Parth sydd wedi dod i Ben? (Trwsio Caching DNS Negyddol)¶

Pan fydd eich parth yn dod i ben, bydd y cofrestrydd yn disodli eich parth NS cofnodion gyda gweinyddwyr enwau parcio dros dro sydd yn aml yn cario TTL (Amser-i-Fyw)** 24-awr i 48 awr** (86400 neu 172800 eiliadau). Hyd yn oed ar ôl i chi dalu'r bil adnewyddu a'ch cofrestrydd yn adfer eich go iawn NS cofnodion yn y parth gwraidd o fewn 5 munud, datryswyr DNS ailadroddus cyhoeddus ledled y byd (Google 8.8.8.8, Cloudflare 1.1.1.1, Cwad9 9.9.9.9, a datryswyr ISP) yn dal i wasanaethu'r dudalen barcio sydd wedi dod i ben wedi'i storio nes bod TTL 48-awr yn dod i ben.

Sut i Orfodi Fflysio Cache DNS Byd-eang Sydyn mewn 60 Eiliad: Peidiwch ag aros 48 awr i caches ailadroddus ddod i ben yn naturiol. Fflysio'ch parth â llaw o'r tri darparwr DNS cyhoeddus byd-eang mwyaf ar hyn o bryd gan ddefnyddio eu pyrth glanhau storfa gwe am ddim: 1. Gwlychwch Google Public DNS (8.8.8.8 / 8.8.4.4): Ymwelddevelopers.google.com/speed/public-dns/cache, math yourdomain.com, dewiswch y math o gofnod NS (ac yna ailadrodd am A,AAAA,MX, a DS), a chliciwch Flush Cache. Mae hyn yn clirio'ch parth ar draws pob canolfan ddata Google DNS ledled y byd mewn llai na 10 eiliad. 2. Flush Cloudflare Public DNS (1.1.1.1 / 1.0.0.1): Ymweldone.one.one.one/purge-cache/, mynd i mewn yourdomain.com, dewiswch NS,A,AAAA, a MX, a chliciwch Purge Cache. 3. Flush OpenDNS / Cisco Umbrella (208.67.222.222): Ymweldcachecheck.opendns.com, mynd i mewn yourdomain.com, gwiriwch y canlyniadau ar draws nodau byd-eang, a chliciwch Adnewyddu'r Cache ar waelod y tabl.

Cam 4: Trwsio DNSSEC sydd wedi torri (SERVFAIL) ar ôl ymfudiad neu herwgipio¶

Mae Estyniadau Diogelwch System Enw Parth (DNSSEC) yn llofnodi'ch cofnodion DNS yn gryptograffig (RRSIG cofnodion wedi'u llofnodi gan Allwedd Arwyddo Parth ZSK ac Allwedd Arwyddo KSK) ac yn cyhoeddi Arwyddwr Dirprwyo cyfatebol (DS) hash yn y parth TLD rhiant yn eich cofrestrydd.

Tra bod DNSSEC yn atal gwenwyno celc, mae cyfluniad DNSSEC toredig yn achosi toriad byd-eang, sydyn (SERVFAIL) ar bob datryswr dilysu (gan gynnwys 8.8.8.8, 1.1.1.1, Comcast, a chludwyr symudol mawr). Mae hyn yn digwydd amlaf yn ystod ymfudiad brys: gweinyddwr yn symud yourdomain.comgweinyddwyr enwau o Cloudflare i AWS Route 53 (neu i'r gwrthwyneb) heb ddileu'r hen ddarparwr yn gyntaf DS cofnod yn y cofrestrydd parth.

Gwneud diagnosis a thrwsio DNSSEC SERVFAIL Cloi Allan mewn 5 Munud¶

1. Cadarnhau DNSSEC Ai'r Culprit: Rhedeg dau dig gorchmynion cefn wrth gefn: un ymholiad arferol, ac un ymholiad gyda'r +cd (Gwirio Anabl) baner, sy'n dweud wrth y datryswr ailadroddus i anwybyddu dilysiad cryptograffig DNSSEC:

   dig yourdomain.com @8.8.8.8
   dig yourdomain.com @8.8.8.8 +cd
   

   • Os bydd y gorchymyn cyntaf yn methu gyda status: SERVFAIL a sero yn ateb, tra bod yr ail orchymyn (+cd) yn llwyddo ar unwaith gyda status: NOERROR ac yn dychwelyd eich A cofnod cyfeiriad IP, ** Mae 100 y cant o'ch cyfnod segur yn gadwyn ymddiriedaeth DNSSEC sydd wedi torri**.
2. Archwiliwch yr Union Doriad gyda DNSViz.net neu Verisign DNSSEC Debugger:
   • Agor dnsviz.net neu dnssec-debugger.verisignlabs.com a myned i mewn yourdomain.com.
   • Bydd yn llunio diagram gweledol yn dangos a yw'r DS cofnod a gyhoeddwyd yn eich cofrestrydd yn methu â chyd-fynd â'r DNSKEY a wasanaethir gan eich gwesteiwr DNS presennol, neu a yw eich llofnod parth (RRSIG) wedi dod i ben.
3. Adferiad Brys:
   • Os ydych newydd newid darparwyr DNS: Mewngofnodwch i'ch Cofrestrydd Parth, llywiwch i'r adran Cofnodion DNSSEC / DS, a dilëwch yr hen hen DS record (neu rhowch y newydd yn ei le DS cofnod a gynhyrchir gan eich gwesteiwr DNS newydd).
   • ** Golchwch y DS cofnod cache**: Ymwelwch ar unwaith â Google Public DNS Cache Flush (developers.google.com/speed/public-dns/cache) a Cloudflare Purge Cache (one.one.one.one/purge-cache/) a glanhau y DS a DNSKEY mathau o gofnodion ar gyfer yourdomain.com felly mae datryswyr dilysu yn rhoi'r gorau i wirio'r dileu DS hash ar unwaith.

Cam 5: Glanhau ôl-adferiad, dirymu tystysgrif TLS, a chaledu¶

Dim ond hanner y frwydr yw cael eich cyfrif cofrestrydd parth a chofnodion DNS yn ôl o dan eich rheolaeth. Yn ystod yr oriau neu'r dyddiau y bu'r ymosodwr yn rheoli DNS eich parth, roedd ganddo awdurdod llwyr i brofi "Dilysiad Rheoli Parth" (DCV) i bob Awdurdod Tystysgrif (CA) ar y blaned.

1. Logiau Tryloywder Tystysgrif Archwilio (crt.sh) a Diddymu Tystysgrifau TLS Twyllodrus¶

Pan fydd ymosodwr yn pwyntio eich A neu NS cofnodion at eu gweinydd, maent yn rhedeg ar unwaith certbot (Dewch i ni Amgryptio, ZeroSSL, Google Trust Services, neu Sectigo) i gynhyrchu tystysgrifau TLS dilys y mae porwr yn ymddiried ynddynt ar gyfer yourdomain.com, *.yourdomain.com, vpn.yourdomain.com, a mail.yourdomain.com. Hyd yn oed ar ôl i chi adfer eich cofnodion DNS, mae'r ymosodwr yn dal i ddal yr Allwedd Breifat ** ddilys (.key)** a llofnodwyd Tystysgrif Gyhoeddus (.crt) ar gyfer eich parth, y gallant ei ddefnyddio i gynnal ymosodiadau Wi-Fi porth caeth, herwgipio BGP, neu ffugio rhwydwaith mewnol am y 90 diwrnod nesaf.

1. Cofnod Tryloywder Tystysgrif Ymholiad:
   • Ewch i crt.sh/?q=%25.yourdomain.com neu ** Chwiliad Tystysgrif Censys (search.censys.io/certificates)**.
   • Trefnu yn ôl Logged At / Not Before dyddiad ac archwiliwch bob tystysgrif unigol a roddwyd yn ystod y ffenestr herwgipio (ac yn y 24 awr ar ôl adennill, oherwydd awdurdodiadau DCV wedi'u storio).
2. Gorfodi Diddymu Tystysgrif Ar Unwaith:
   • Nodwch yr Awdurdod Tystysgrif ** a ddyroddwyd (Issuer Name)** ar bob tystysgrif anawdurdodedig.
   • Mae'n ofynnol i bob Awdurdod Cymwys y gellir ymddiried ynddo'n gyhoeddus o dan Gofynion Sylfaenol Fforwm Pori/Fforwm Porwr (Adran 4.9.1.1) ddirymu tystysgrif dwyllodrus neu anawdurdodedig o fewn 24 awr o gadarnhau nad oedd yr ymgeisydd wedi'i awdurdodi gan wir berchennog y parth.
   • Os ydych chi eisoes wedi adennill rheolaeth DNS dros y parth, gallwch chi ddiddymu tystysgrifau Let's Encrypt neu ACME heb awdurdod eich hun mewn 60 eiliad heb fod angen allwedd breifat yr ymosodwr hyd yn oed: gosodwch yn syml certbot ar weinydd rydych chi'n ei reoli, pasiwch her DNS-01 neu HTTP-01 newydd ar gyfer yr un enw parth yn union gan ddefnyddio allwedd cyfrif ACME newydd sbon, a rhedeg:

     certbot revoke --cert-path downloaded_rogue_cert_from_crt_sh.pem --reason keycompromise
     

   • Fel arall, cyflwynwch y Rhifau Cyfresol Tystysgrif yn uniongyrchol i borth dirymu brys y CA (er enghraifft, tudalen cyfarwyddiadau dirymu Let's Encrypt, DigiCert's /revoke porthol, neu ffurflen adrodd SSL ar Gam-drin Sectigo).

2. Cloi Eich Parth i Lawr yn Barhaol Felly Ni Allwch Byth Gael Ei Herwgipio Eto¶

Unwaith y bydd gweithrediadau wedi'u hadfer, rhowch y pum rheolaeth galedu parth menter hyn ar waith:

1. ** Galluogi Clo y Gofrestrfa (serverUpdateProhibited, serverDeleteProhibited, serverTransferProhibited)**:
   • Ar gyfer parthau cynhyrchu sy'n hanfodol i genhadaeth, uwchraddiwch i gofrestrydd sy'n cynnig gwir Registry Lock (a gefnogir gan Verisign ar .com/.net, PIR ymlaen .org, ac fe'i cynigir trwy gofrestryddion menter fel MarkMonitor, Gwasanaethau Brand Digidol CSC, Cloudflare Enterprise, haenau Clo Cofrestrfa Porkbun / Gandi / Namecheap). Gyda Registry Lock yn weithredol, hyd yn oed os yw haciwr yn dwyn eich mewngofnodi cofrestrydd ac MFA, mae'r Gofrestrfa TLD yn gwrthod popeth NS neu newidiadau trosglwyddo oni bai bod swyddog diogelwch dynol yn cwblhau seremoni cryptograffig/ffôn y tu allan i'r band.
2. Cyhoeddi CAA (Awdurdodiad Awdurdod Ardystio) Cofnodion DNS:
   • Ychwanegu a CAA cofnod (RFC 8659) i'ch parth DNS yn nodi'r union Dystysgrif Awdurdodau y caniateir iddynt gyhoeddi tystysgrifau TLS ar gyfer eich parth (er enghraifft, 0 issue "letsencrypt.org" neu 0 issue "digicert.com", plws 0 iodef "mailto:security@yourdomain.com"). Er y gall ymosodwr sy'n rheoli eich parth DNS cyfan ddileu a CAA cofnod, a CAA cofnod yn atal herwgipwyr BGP neu dargedau is-barth CNAME rhag defnyddio CAs anawdurdodedig.
3. ** Gwahanwch eich Cofrestrydd Parth oddi wrth Eich Darparwr Cynnal DNS Dyddiol**:
   • Cadwch eich cofrestriad parth dan glo y tu mewn i gyfrif cofrestrydd claddgell diogelwch uchel y gall dim ond 2 swyddog corfforaethol ei gyrchu gan ddefnyddio allweddi diogelwch caledwedd FIDO2 (YubiKey), a dirprwyo rheolaeth cofnodion DNS dyddiol (A, CNAME, TXT) i wasanaeth DNS a reolir ar wahân gyda Rheolaeth Mynediad Seiliedig ar Rôl gronynnog (RBAC) a thocynnau API â chwmpas.
4. Archwilio a Dileu Is-Ardal Dringo CNAME a NS Cofnodion:
   • Rhedeg sgan awtomataidd misol o'ch ffeil parth DNS gyfan (subzy, nuclei -t takeovers/, neu OWASP Amass) i nodi unrhyw rai CNAME, ALIAS, neu is-barth NS cofnod sy'n pwyntio at adnodd cwmwl allanol heb ei gofrestru neu barth sydd wedi dod i ben, a dileu'r cofnod DNS * cyn * datgomisiynu'r gweinydd cwmwl.
5. Sefydlwch RDAP Allanol Awtomataidd, DNS, a Monitro Log CT:
   • Ffurfweddu monitor allanol (fel CertSpotter, Cloudflare Monitro Tryloywder Tystysgrif, neu wiriad sgript cron syml bob awr dig NS a whois) sy'n rhybuddio sianel Slack/PagerDuty bwrpasol a chyfeiriad SMS/e-bost oddi ar y parth yr union funud y mae tystysgrif TLS newydd wedi mewngofnodi Tystysgrif Tryloywder neu NS/MX/DS cofnodi newidiadau.

Cwestiynau cyffredin¶

Ffynonellau wedi'u gwirio¶

• Asiantaeth Seiberddiogelwch a Seilwaith (CISA, Unol Daleithiau): Cyfarwyddeb Argyfwng 19-01: Lliniaru Ymyrryd â Seilwaith DNS (mandadau CISA ar Glo’r Gofrestrfa, MFA ar gyfer DNS/Cofrestryddion, archwilio log Tryloywder Tystysgrif, a dilysiad DNSSEC) (cisa.gov/news-events/directives/emergency-directive-19-01).
• Corfforaeth Rhyngrwyd ar gyfer Enwau a Rhifau Aseiniedig (ICANN, Rhyngwladol): Polisi Trosglwyddo (Polisi Trosglwyddo Rhyng-gofrestrydd / IRTP), Polisi Datrys Anghydfodau Trosglwyddo (TDRP), Polisi Adfer Cofrestriad Wedi dod i Ben (ERRP), a Cyfeirnod Codau Statws EPP (icann.org/resources/pages/epp-status-codes-2014-06-16-en).
• Sefydliad Cenedlaethol Safonau a Thechnoleg (NIST, Unol Daleithiau): Cyhoeddiad Arbennig 800-81-2, Canllaw Defnyddio System Enwau Parth Diogel (DNS) (csrc.nist.gov).
• Canolfan Seiberddiogelwch Genedlaethol (NCSC, y Deyrnas Unedig): Amddiffyn Swmp Data Personol a Diogelwch Parth: Clo’r Gofrestrfa, Cofnodion CAA, ac Atal Meddiannu Is-barth (ncsc.gov.uk).
• CA/Fforwm Porwr (Rhyngwladol): Gofynion Sylfaenol ar gyfer Cyhoeddi a Rheoli Tystysgrifau Gweinyddwr TLS Ymddiried yn Gyhoeddus (Adran 4.9.1.1: Dirymiad Gorfodol 24-Awr ar gyfer Cyfaddawd Parth) (cabforum.org).
• Tasglu Peirianneg Rhyngrwyd (IETF, Rhyngwladol): RFC 4033/4034/4035 (DNSSEC), RFC 8659 (Awdurdodiad Awdurdod Ardystio DNS / Cofnod Adnoddau CAA), a RFC 9083 (Protocol Mynediad Data Cofrestru / RDAP) (datatracker.ietf.org).

Canllawiau cysylltiedig¶

• Argyfwng gwe-letya, mudo, ac adfer copi wrth gefn
• Gwe-rwydo a chyfrifon dan fygythiad
• MFA gwe-rwydo a ffordd osgoi gwrthwynebydd-yn-y-canol
• Ymateb i dorri data a gollyngiadau cyfrinair
• ransomware busnes a thorri gweinydd
• Cyfnewid SIM