حساب ابری تولید (AWS/GCP/Azure) یا دامنه تعلیق شده: افزایش فوری و شکست¶

بیدار شدن با هزاران هشدار PagerDuty و تماس مشتری به دلیل کل وب سایت تولیدی شرکت، برنامه SaaS، API و شرکت شما @yourcompany.com ایمیل ها به طور همزمان از اینترنت ناپدید شده اند (نه به دلیل یک اشکال کد، بلکه به این دلیل که ثبت کننده دامنه ** شما یک clientHold تعلیق در دامنه اصلی** یا AWS، Google Cloud (GCP)، یا Microsoft Azure مستأجر ابر تولید شما را به حالت تعلیق درآورد) یک وضعیت اضطراری عملیاتی وجودی است. هر روز، کسب‌وکارهای سودآور دچار خاموشی کامل می‌شوند، زیرا کارت اعتباری یک کارمند سابق منقضی شده است، یک ربات خودکار ضد فیشینگ به اشتباه یک PDF آپلود شده توسط کاربر را در سطل S3 پرچم‌گذاری می‌کند، یک ایمیل ثبت‌کننده ICANN WHOIS تأیید نشده پس از 15 روز بازگردانده می‌شود، یا یک کلید IAM فاش شده سه‌گانه درز کرده است. مدار شکن تقلب ارائه دهنده ابر.

اگر دامنه یا زیرساخت ابری تعلیق شده شما از تله متری مراقبت های بهداشتی حیاتی، ارسال اضطراری یا سیستم های ایمنی خدمات عمومی پشتیبانی می کند، فوراً خرابی های محلی محلی را فعال کنید و در صورت تحت تأثیر قرار گرفتن امنیت عمومی، خدمات اضطراری را مطلع کنید (با 911 در ایالات متحده و کانادا، 112 در سراسر اتحادیه اروپا، 999 در سراسر انگلستان را ببینید. شماره های اضطراری). برای بحران های فنی و عملیاتی موازی تجاری، نگاه کنید به طرح تداوم کسب و کار و بازیابی بلایا، باج افزار کسب و کار و نقض سرور، و قطعی نقطه فروش (POS) و قطع شدن اینترنت.

همین الان این کار را بکن¶

1. ** 10 ثانیه اجرا کنید whois و dig +trace جستجو از یک ترمینال برای تعیین اینکه آیا نام دامنه شما (clientHold) یا حساب میزبانی ابری شما (AWS/GCP/Azure) چیزی است که در واقع از کار افتاده است.** وقتی ثبت کننده دامنه سرورهای نام شما را ربوده است، هرگز 45 دقیقه را برای اشکال زدایی خوشه های Kubernetes یا متعادل کننده بار ابری تلف نکنید. اجرا کنید whois yourdomain.com | grep -i "status": اگه دیدی clientHold، serverHold، redemptionPeriod، یا سرورهای نام به sedoparking.com / verification-hold.suspended-domain.com، سرورهای ابری شما هنوز به خوبی کار می کنند و قطعی آن 100 درصد در سطح ثبت کننده دامنه است.
2. ** ارتباط حادثه اضطراری خود را خاموش کنید @yourcompany.com بلافاصله ایمیل بزنید.** هنگامی که دامنه اصلی شما به حالت تعلیق درآمده یا در آن قرار می گیرد clientHold، **همه ایمیل های MX ورودی به @yourcompany.com پرش **، از جمله ایمیل های بازنشانی رمز عبور، کدهای تأیید 2FA، و بلیط های پاسخ از ثبت کننده دامنه شما و AWS Trust & Safety. فوراً بررسی کنید که آیا ثبت کننده یا حساب ریشه ابری شما به یک گره خورده است @yourcompany.com آدرس ایمیل؛ اگر چنین است، یک خارج از باند ارائه کنید @gmail.com یا آدرس دامنه ثانویه در هر بلیط پشتیبانی و تماس تلفنی.
3. اگر دامنه شما روشن است clientHold به دلیل یک ایمیل تایید نشده ICANN WHOIS (قانون 15 روزه)، روی پیوند تأیید کلیک کنید یا ایمیل ثبت‌کننده را در پورتال ثبت‌کننده تغییر دهید. بر اساس توافقنامه تأیید اعتبار ثبت‌کننده ICANN 2013 (RAA) مشخصات دقت Whois، اگر ثبت‌کننده در عرض 1 روز، روی یک ایمیل تماس تأییدکننده ثبت نام در عرض 5 روز خرید انجام نشد، کلیک کنید. یا به روز رسانی تماس بگیرید، ثبت کننده از نظر قانونی مجبور است دامنه را در آن قرار دهد clientHold (پارک کردن DNS). ارسال مجدد و کلیک کردن روی آن پیوند ایمیل حذف می شود clientHold ظرف 15 تا 60 دقیقه.
4. اگر دامنه شما توسط ثبت کننده "سوءاستفاده / اعتماد و ایمنی" به دلیل ادعای فیشینگ، بدافزار یا سوء استفاده از علامت تجاری به حالت تعلیق درآمده است، فقط به صف بلیط عمومی سوء استفاده پاسخ ندهید. صف های ایمیل استاندارد در GoDaddy، Namecheap، Tucows/Enom، Cloudflare 22 ساعت طول می کشد، و شبکه 4 ساعت طول می کشد. فوراً: (الف) URL / آپلود کاربر متخلف خاص ذکر شده در شکایت را حذف یا جدا کنید، (ب) ** اثبات درمان سوء استفاده + تشدید مثبت کاذب** را از طریق میز سوء استفاده تلفنی/چت زنده ثبت کننده ارسال کنید، و (ج) یک دامنه آینه ثانویه فوری را ایجاد کنید (yourcompany.co یا yourcompany-app.com) بنابراین مشتریان و مشتریان API می توانند در حین انتشار DNS به کار خود ادامه دهند.
5. **اگر AWS، GCP یا Azure حساب ابری تولید شما را به دلیل عدم موفقیت در صورت‌حساب به حالت تعلیق درآورده‌اند، مانده سررسید گذشته را با یک کارت بانکی ثانویه یا سیم/ACH بپردازید و یک بلیط فعال‌سازی مجدد صورت‌حساب سطح ریشه باز کنید. درصد از حجم های EBS، پایگاه داده های RDS و سطل های S3 شما در حالت یخ زده برای **30 تا 90 روز ** قبل از حذف دائمی دست نخورده باقی می مانند. پرداخت مانده معوقه در کنسول صورت‌حساب ریشه باعث فعال‌سازی مجدد خودکار در طی 15 دقیقه تا 4 ساعت می‌شود.
6. **اگر AWS، GCP یا Azure حساب شما را به دلیل نقض «خط‌مشی استفاده قابل قبول (AUP) / اعتماد و ایمنی / کلید IAM در خطر» به حالت تعلیق درآوردند، بلافاصله همه کلیدهای IAM را بچرخانید و به شناسه دقیق Case در مرکز پشتیبانی ریشه پاسخ دهید. کلید دسترسی به بیرون درز کرده، هر نمونه سرکش EC2/Compute Engine را برای استخراج رمزنگاری خاتمه دهید، MFA را در کاربر روت فعال کنید، و یک گزارش ریشه ای و اصلاحی را به پرونده رسمی پشتیبانی Trust & Safety پیوست کنید.

درخت تصمیم: تشخیص و حل یک دامنه تولید یا تعلیق ابر¶

flowchart TD
    Start["قطعی کل تولید: وب سایت، API، و ایمیل شرکتی پایین است"] --> Diag["تشخیص ترمینال 10 ثانیه ای را اجرا کنید: whois yourdomain.com و dig +trace yourdomain.com"]

    Diag -->|"WHOIS clientHold، serverHold، redemptionPeriod یا پارک شده NS را نشان می دهد"| DomainCrisis{"علت تعلیق ثبت دامنه چیست؟"}

    DomainCrisis -->|"1. ICANN 15-Day WHOIS ایمیل تأیید نشد"| ICANNFix["ورود به Registrar -> ارسال مجدد ایمیل تایید RAA (یا به‌روزرسانی ثبت‌کننده به Gmail فعال) -> روی لینک کلیک کنید -> Live در 15 تا 60 دقیقه"]
    DomainCrisis -->|"2. دامنه منقضی شده / تمدید خودکار کارت اعتباری ناموفق"| RenewFix["پرداخت هزینه تمدید (به علاوه هزینه بازخرید 80 تا 250 دلار در صورت انقضای بیش از 30 روز) -> بازیابی سرورهای نام سفارشی اصلی -> Flush Public DNS"]
    DomainCrisis -->|"3. سوء استفاده از ثبت / فیشینگ / تعلیق بدافزار"| AbuseFix["1. حذف URL/فایل پرچم‌گذاری شده در سرور 2. فایل اثبات غلط/مثبت اصلاح شده با اعتماد و ایمنی ثبت‌کننده 3. دامنه Failover ثانویه را فعال کنید"]

    Diag -->|"DNS دامنه به خوبی حل می شود، اما IP های Cloud/Console حساب را به حالت تعلیق برمی گرداند"| CloudCrisis{"چرا AWS / GCP / Azure Cloud Tenant را به حالت تعلیق درآورد؟"}

    CloudCrisis -->|"1. صورت‌حساب ناموفق (کارت منقضی شده / رد ACH بانک / ضربه محدود)"| CloudBill["1. به عنوان کاربر اصلی / مدیر صورت‌حساب وارد شوید. 2. کارت اعتباری یا کارت پشتیبان جدید اضافه کنید و روی «تلاش مجدد پرداخت» کلیک کنید. 3. پرونده پشتیبانی فعال‌سازی مجدد صورت‌حساب را باز کنید"]
    CloudCrisis -->|"2. کلید IAM به خطر افتاده / افزایش خرج کردن Crypto-Mining Rogue"| CloudSec["1. چرخاندن/حذف کلیدهای دسترسی فاش شده IAM 2. پایان دادن به نمونه‌های سرکش و فعال کردن Root MFA 3. پاسخ به Trust & Safety Case + درخواست معافیت از هزینه"]
    CloudCrisis -->|"3. فیشینگ شخص ثالث / DMCA / پرچم سوء استفاده AUP در S3 / VM"| CloudAUP["1. شیء پرچمدار S3 / IP VM را ایزوله یا حذف کنید. 2. پاسخ به AWS/GCP Trust & Safety Case ID با نرده‌های محافظ WAF/Upload"]

فاز 1: تشخیص پزشکی قانونی 3 دقیقه ای (آیا ثبت کننده دامنه، DNS یا ارائه دهنده ابر است؟)¶

وقتی برنامه تولید شما تاریک می شود و کارمندان فریاد می زنند که "همه چیز خراب است، حتی ایمیل ما"، حدس نزنید. این سه دستور را از هر ترمینال لپ‌تاپ (macOS، Linux، یا Windows WSL/PowerShell) اجرا کنید تا دقیقاً لایه‌ای را که شما را معلق کرده است مشخص کنید.

1. فرمان 1: کدهای وضعیت پروتکل تدارک توسعه پذیر ICANN (EPP) را بررسی کنید¶

اجرا کنید:

whois yourdomain.com | grep -E -i "Status|Name Server|Expiry"

فاز 2: رفع تعلیق ثبت دامنه (clientHold / سوء استفاده / قفل ICANN)¶

اگر شما whois چک نشان می دهد clientHold یا سرورهای نام پارک شده، مسیر بازیابی دقیق زیر را دنبال کنید.

آهنگ A: رفع تعلیق تأیید ایمیل ICANN WHOIS (رفع 15 دقیقه ای)¶

تحت برنامه ICANN 2013 RAA Whois Accuracy، هر زمان که دامنه جدیدی را ثبت می کنید، دامنه ای را انتقال می دهید یا نام، نام خانوادگی یا آدرس ایمیل ثبت کننده را تغییر می دهید، ثبت کننده یک ایمیل اجباری با عنوان "تأیید فوری برای yourdomain.com لازم است." ارسال می کند. 1. وارد کنترل پنل ثبت دامنه خود شوید. یک بنر قرمز روشن در بالای صفحه نشان خواهد داد: "این دامنه در انتظار تایید تماس ICANN Whois به حالت تعلیق درآمده است." 2. ** دام Catch-22:** اگر ایمیل ثبت‌کننده موجود در فایل باشد admin@yourdomain.com، **شما نمی توانید ایمیل تأیید را دریافت کنید زیرا yourdomain.com در حال حاضر تعلیق است. ** 3. راه حل: در تنظیمات دامنه تماس / WHOIS ثبت کننده، آدرس ایمیل ثبت نام کننده را به یک آدرس خارجی فعال (مانند یک آدرس ایمیل) تغییر دهید @gmail.com آدرسی که کنترل می‌کنید)، تغییر را ذخیره کنید، روی "ارسال مجدد ایمیل تایید" صندوق ورودی Gmail را باز کنید و روی پیوند تأیید کلیک کنید. 4. API خودکار ثبت کننده بلافاصله یک EPP ارسال می کند update دستور حذف clientHold از ناحیه ریشه Verisign/Registry در مدت 5 تا 20 دقیقه.

مسیر B: لغو تعلیق "سوءاستفاده / فیشینگ / بدافزار / AUP" ثبت کننده¶

امروزه، ثبت‌کنندگان اصلی دامنه (Namecheap، GoDaddy، Tucows/Enom/OpenSRS، Porkbun، Cloudflare Registrar، Squarespace Domains) مشترک فیدهای خودکار اطلاعات تهدید (Netcraft، PhishTank، Spamhaus، Google Safe Browsing، AbuseIPDB) می‌شوند. اگر یک هکر افزونه وردپرس را در یک زیر دامنه بازاریابی فراموش شده به خطر بیاندازد (promo.yourdomain.com(cdn.yourdomain.com/uploads/invoice.pdf)، یک ربات خودکار سطح 1 اعلامیه حذف فیشینگ را به ثبت کننده شما ارسال می کند و یک پیمانکار انطباق خارج از کشور کل دامنه ریشه شما را قرار می دهد (yourdomain.com) روشن است clientHold.

تشدید گام به گام برای به دست آوردن clientHold به جای چند روز در چند ساعت برداشته می شود¶

1. شناسه دقیق بلیت سوءاستفاده و نشانی اینترنتی پرچم‌دار را بیابید:
2. صندوق ورودی ایمیل مرتبط با حساب ثبت کننده خود (و مخاطب سوء استفاده WHOIS) را برای دریافت ایمیل از طرف بررسی کنید abuse@، legal@، یا compliance@[registrar].com.
3. به دنبال نشانی اینترنتی یا آدرس IP دقیق ذکر شده در گزارش سوء استفاده باشید.
4. منبع پرچمدار را فوراً اصلاح یا جدا کنید:
5. حتی اگر شکایت مثبت کاذب باشد (مثلاً، صفحه ورود رسمی شرکت شما به نام Single Sign-On [SSO] به اشتباه توسط یک اسکنر هوش مصنوعی به عنوان "صفحه فیشینگ مایکروسافت 365" علامت گذاری شده است)، به طور موقت غیرفعال کنید یا یک لیست مجاز IP را در جلوی مسیر مشخص پرچم گذاری شده قرار دهید در صورت امکان، مسیری که کارمند شما علامت گذاری شده است را غیرفعال کنید یا قرار دهید. پورتال
6. اگر یک فایل آپلود شده توسط کاربر یا یک زیر دامنه در معرض خطر واقعاً مخرب بود، فایل/محفظه را فوراً حذف کنید، حساب کاربر سوء استفاده کننده را به حالت تعلیق درآورید و مسیر را در لبه Cloudflare/WAF خود مسدود کنید.
7. پاسخ "درمان سوء استفاده اجرایی و تشدید زیرساخت های حیاتی" را ارسال کنید:
8. مستقیماً به بلیت سوءاستفاده ثبت‌کننده پاسخ دهید (با حفظ دقیق [Ticket #...] برچسب موضوع تا تجزیه کننده آنها آن را مسیریابی کند) و با خط پشتیبانی تلفنی 24/7 ثبت نام تماس بگیرید تا از سرپرست بخواهید که بلیط سوء استفاده را به عنوان "Production SaaS / Positive False: Remediation Complete."
9. این 4 نکته اثبات اجباری را در پاسخ کتبی خود بگنجانید:
   1. تأیید حذف فوری: "URL گزارش شده ([exact URL]) یک بارگذاری غیرمجاز شخص ثالث / دارایی بازاریابی به خطر افتاده بود و برای همیشه حذف شد [Timestamp UTC]. اکنون HTTP را برمی گرداند 404 Not Found / 410 Gone"
   2. پیاده‌سازی سیستم پیشگیری: *"قوانین فایروال برنامه کاربردی وب (WAF) را مستقر کرده‌ایم، آپلود فایل‌های عمومی تایید نشده غیرفعال کرده‌ایم، و همه اعتبارنامه‌های سرور را برای جلوگیری از تکرار چرخانده‌ایم.
   3. اطلاعیه تاثیر نامتناسب تجاری: "قرار دادن دامنه اپکس ریشه yourdomain.com در clientHold زیرساخت تولید و ایمیل شرکتی را حذف کرده است [Number] مشتریان/کارمندان کسب و کار قانونی."
   4. ** درخواست حذف فوری clientHold:** "لطفا EPP را حذف کنید clientHold وضعیت روشن است yourdomain.com بلافاصله ما متعهد می‌شویم که در عرض 2 ساعت به هرگونه گزارش سوء استفاده در آینده بدون نیاز به نگه داشتن دامنه اصلی پاسخ دهیم."
10. ** پس از برداشتن، TTL "Negative Caching (NXDOMAIN)" را در حل‌کننده‌های DNS عمومی پاک کنید:**
11. لحظه ای که ثبت کننده آن را حذف می کند clientHold، دامنه شما دوباره در .com سرورهای ریشه، اما Google Public DNS (8.8.8.8، Cloudflare DNS (1.1.1.1، و OpenDNS ممکن است به کش کردن مردگان ادامه دهد NXDOMAIN یا پارک شده به مدت 15 تا 60 دقیقه.
12. فوراً از ابزارهای رایگان کش وب در Google Public DNS Flush Cache (developers.google.com/speed/public-dns/cache) و Cloudflare 1.1.1.1 Purge Cache (one.one.one.one/purge-cache/) تایپ کنید yourdomain.com (و A، AAAA، NS، MXو روی Flush Cache کلیک کنید تا کاربران جهانی ظرف 60 ثانیه دوباره به هم متصل شوند.

فاز 3: رفع تعلیق حساب تولید ابری (AWS، Google Cloud، Microsoft Azure)¶

هنگامی که خدمات وب آمازون (AWS)، پلتفرم Google Cloud (GCP) یا Microsoft Azure یک حساب یا پروژه ابری را به حالت تعلیق در می‌آورند، روند بازیابی کاملاً به این بستگی دارد که آیا تعلیق توسط صورت‌حساب / عدم پرداخت در مقابل اعتماد و ایمنی / اعتبارنامه‌های به خطر افتاده ایجاد شده است یا خیر.

مقایسه چرخه عمر تعلیق ارائه دهنده ابر و پنجره های فعال سازی مجدد¶

پروتکل مفصل 1: بازیابی از تعلیق صورت‌حساب ابری (زمانی که کارت کاهش می‌یابد یا سیم گیر می‌کند)¶

چرا شرکت هایی که بودجه خوبی دارند با تعلیق صورت حساب مواجه می شوند؟ 1. کارت اعتباری موجود در پرونده به ** سقف هزینه شرکتی ماهانه ** (به عنوان مثال، سقف 25000 دلار) به دلیل افزایش مقیاس خودکار در پایان ماه یا تمدید سالانه نمونه رزرو شده، رسید. 2. کارت متعلق به بنیانگذار یا معاون مهندسی است که کارت او توسط منابع انسانی/مالی لغو شده است. یا 3. سیستم کلاهبرداری خودکار بانک، هزینه AWS/GCP زیادی را به‌عنوان «فعالیت مشکوک کارت غیرفعال» مسدود کرد.

چک لیست فعال سازی مجدد صورتحساب گام به گام 30 دقیقه ای¶

1. به طور انحصاری به‌عنوان مالک حساب اصلی یا مدیر صورت‌حساب وارد شوید: نقش‌های استاندارد توسعه‌دهنده/مدیر IAM اغلب نمی‌توانند به صفحه قفل شده فعال‌سازی مجدد صورت‌حساب دسترسی داشته باشند، وقتی حسابی به حالت تعلیق در می‌آید. از ایمیل کاربر ریشه AWS (یا مدیر حساب صورت‌حساب GCP / مدیر حساب Azure) استفاده کنید.
2. قبل از تماس با بانک، فقط روی "امتحان مجدد" روی همان کارت رد شده کلیک نکنید: اگر موتور کلاهبرداری بانک شما هزینه 14000 دلاری AWS را مسدود کرده است، سه بار کلیک کردن روی "امتحان مجدد" در کنسول AWS سه بار دیگر را رد کرده و روش پرداخت را قفل می کند. یا:
3. کارت اعتباری شرکتی یا کارت نقدی کاملاً متفاوت را وارد کنید (در صورتی که کنسول ارائه دهنده امکان پرداخت جزئی را بدهد، پرداخت را به دو کارت تقسیم کنید). یا
4. با شماره تلفن پشت کارت شرکت ابتدا تماس بگیرید، میز کلاهبرداری تجاری بانک را از بلوک تاجر پاک کنید. Amazon Web Services / Google Cloud / Microsoft Azure و محدودیت تک تراکنش را به مدت 24 ساعت افزایش دهید و فقط پس از آن روی امتحان مجدد پرداخت در کنسول ابری کلیک کنید.
5. اگر شرکت شما از طریق سیم فاکتور / ACH (حساب‌های سازمانی Net-30) پرداخت می‌کند و یک فاکتور بیش از 60 روز از سررسید گذشته است:
6. یک Fedwire یک روزه (نه ACH 3 روزه) برای موجودی کامل سررسید شده ارسال کنید، بانک رسمی ** رسید تأیید سیم حاوی شماره مرجع فدرال IMAD/OMAD** را دانلود کنید، و آن PDF را مستقیماً به ** پرونده پشتیبانی صورتحساب و حساب** ضمیمه کنید. در حالی که وزارت خزانه داری سیم را تطبیق می دهد.
7. وضعیت نمونه پس از فعال سازی مجدد (تله "VM متوقف شده و IP پویا"):
8. وقتی AWS، GCP یا Azure یک حساب تعلیق شده را دوباره فعال می‌کند، بعضی از ماشین‌های مجازی متوقف شده (مخصوصاً ماشین‌های مجازی Azure Deallocated و نمونه‌های موتور محاسباتی GCP) به‌طور خودکار پشتیبان‌گیری نمی‌شوند، و هر دستگاهی که از **آی‌پی الاستیک / آدرس IP استاتیک رزرو شده استفاده نمی‌کند، یک آدرس IP عمومی را ارائه می‌کند.
9. فوراً هر منطقه را در ماشین های مجازی EC2 / Compute Engine / Azure بررسی کنید، هر نمونه متوقف شده را شروع کنید، بررسی کنید که Elastic Load Balancer و پایگاه داده RDS شما وجود دارد. Availableو DNS خود را بررسی کنید A رکوردها همچنان با IP های عمومی فعال شما مطابقت دارند.

پروتکل مفصل 2: بازیابی از امنیت ابری / کلید در معرض خطر / تعلیق اعتماد و ایمنی¶

اگر یک توسعه دهنده به طور تصادفی مرتکب یک .env فایل حاوی یک AWS_ACCESS_KEY_ID و AWS_SECRET_ACCESS_KEY (یا کلید JSON حساب سرویس GCP) در یک مخزن عمومی GitHub، ربات‌های هکر خودکار آن کلید را ظرف 1.5 ثانیه می‌خراشند و 200 نمونه GPU غول پیکر را می‌چرخانند (p4d.24xlarge) در مناطقی مانند ap-east-1 یا sa-east-1 برای استخراج ارز دیجیتال یا راه اندازی حملات DDoS. ظرف چند ساعت، AWS/GCP Trust & Safety این ناهنجاری را تشخیص می‌دهد و یک قرنطینه امنیتی محافظ / تعلیق حساب را در حساب شما قرار می‌دهد.

نحوه دریافت AWS / GCP / Azure Trust & Safety برای رفع قرنطینه امنیتی در کمتر از 4 ساعت¶

تیم های امنیتی Cloud از یک چک لیست دقیق پیروی می کنند: آنها از فعال سازی مجدد حساب شما امتناع می کنند تا زمانی که ثابت کنید فعال سازی مجدد آن بلافاصله حمله را از سر نمی گیرد. 1. هر منطقه (از جمله مناطق غیرفعال/انتخاب شده) را حسابرسی کنید و بردار سازش را حذف کنید: - وارد کنسول IAM شوید: **کلید دسترسی IAM به خطر افتاده را غیرفعال و حذف کنید (و هر کاربر ناآشنا در پشتی IAM، نقش ها یا ارائه دهندگان هویتی که مهاجم برای حفظ پایداری ایجاد کرده است). - سخت افزار یا Virtual MFA را در Root User و همه کاربران IAM فعال کنید. - AWS Resource Explorer / Tag Editor / EC2 Global View را باز کنید (بررسی تمام 30+ منطقه جهانی، نه فقط us-east-1) و خاتمه تمام نمونه های غیرمجاز EC2، گروه های مقیاس خودکار، خوشه های EKS و توابع Lambda که توسط مهاجم ایجاد شده اند. 2. ارائه گزارش 4 قسمتی اصلاح امنیت در مورد پشتیبانی رسمی: - مرکز پشتیبانی را در کنسول ابری خود باز کنید و به حساب امنیتی / مورد اعتماد و ایمنی باز پاسخ دهید: - 1. علت اصلی: "کاربر IAM [Name] کلید AKIA... به طور ناخواسته در یک مخزن کد در معرض دید قرار گرفت [Time]" - 2. ابطال اعتبار: "کلید دسترسی AKIA... و کاربر سرکش IAM [Name] برای همیشه حذف شده اند و Root/IAM MFA اجرا می شود." - 3. پاکسازی منابع در همه مناطق: "همه موارد غیرمجاز EC2 در مناطق [List Regions] فسخ شده اند.» - 4. درخواست برای رفع انسداد تولید فوری + تنظیم صورت‌حساب کلیدی به خطر افتاده: "میزان کاری تولید قانونی ما در [Your Region] خدمت می کند [Number] مشتریان است و در حال حاضر آفلاین است. لطفاً فوراً تعلیق حساب را بردارید و ما درخواست تعدیل/اعتبار صورت‌حساب را داریم $[Amount] در هزینه های محاسباتی تقلبی که در طول نفوذ غیرمجاز ایجاد شده است." - (نکته: AWS و GCP به‌محض تکمیل چک لیست رسمی اصلاح حساب‌های آسیب‌دیده آنها، به طور معمول یک بار 100% معافیت اعتباری برای ده‌ها هزار دلار هزینه‌های متقلبانه استخراج رمزنگاری اعطا می‌کنند.)

فاز 4: فعال کردن خرابی دامنه ثانویه "Break-Glass" اضطراری در 30 دقیقه¶

اگر دامنه اصلی شما (yourcompany.com) تحت یک رجیستری قفل شده است serverHold یا یک اختلاف حقوقی پیچیده ثبت نام که حل آن 48 تا 72 ساعت طول می کشد، سه روز آفلاین ننشینید. هر کسب و کار فناوری و تجارت الکترونیکی می تواند دسترسی مشتری و ایمیل کارمندان را در عرض 30 تا 45 دقیقه با استفاده از دامنه آینه ثانویه اضطراری بازیابی کند (yourcompany.co، yourcompany.io، یا getyourcompany.com).

چک لیست 30 دقیقه ای قطع دامنه ثانویه اضطراری¶

1. دامنه ثانویه خود را در یک ثبت کننده جداگانه ثبت کنید (یا فعال کنید): هرگز دامنه پشتیبان خود را دقیقاً در همان ثبت کننده ای که دامنه اصلی شما را به حالت تعلیق درآورده است، ثبت نکنید. ثبت نام کنید yourcompany-app.com یا yourcompany.co در یک ثبت‌کننده مستقل (مانند Cloudflare Registrar، Porkbun یا AWS Route 53) با استفاده از کارت شرکتی جداگانه و ایمیل تأیید شده.
2. فایل Zone خود را به Cloudflare یا Route 53 وارد کنید: DNS خود را صادر کنید (یا کپی کنید) A، AAAA، CNAME، و TXT از پنل DNS اولیه شما در فایل منطقه دامنه جدید ثبت می کند app.yourcompany.co و api.yourcompany.co دقیقاً به همان بار متعادل کننده های تولید خود اشاره کنید.
3. ** به روز رسانی Load Balancer / Ingress TLS Certificate (SAN Addition):** افزودن *.yourcompany.co و yourcompany.co به عنوان Subject Alternative Names (SANs) در AWS ACM / Let's Encrypt / Cloudflare edge گواهی SSL شما، و نام میزبان جدید را به قوانین مسیریابی هدر میزبان Nginx/Envoy/ALB و لیست های مجاز CORS اضافه کنید.
4. دامنه ثانویه را به عنوان نام مستعار دامنه تأیید شده در Google Workspace یا Microsoft 365 اضافه کنید:
5. داخل Google Workspace Admin Console (admin.google.com -> حساب -> دامنه ها -> مدیریت دامنه ها -> افزودن نام مستعار دامنه) یا مرکز مدیریت مایکروسافت 365 (Settings -> Domains -> Add Domain)، اضافه کنید yourcompany.co و تایید را پیست کنید TXT و MX در DNS دامنه جدید شما ثبت می کند.
6. در عرض 15 دقیقه، هر کارمند به طور خودکار ایمیل دریافت می کند firstname@yourcompany.co داخل صندوق ورودی موجود خود با انتقال صندوق پستی صفر.

فاز 5: سخت‌تر کردن دامنه و حساب‌های ابری خود تا دیگر این اتفاق نیفتد¶

هنگامی که تولید دوباره آنلاین شد، این پنج حفاظت ساختاری را ظرف 48 ساعت اجرا کنید:

1. ** اجرای قفل رجیستری (serverDeleteProhibited / serverUpdateProhibited / serverTransferProhibited):** برای دامنه های تولیدی حیاتی، دامنه خود را به Registry Lock (ارائه شده توسط Cloudflare، MarkMonitor، CSC Corporate Domains و ثبت کنندگان اصلی) ارتقا دهید، که قبل از تغییر وضعیت سرورهای نام یا دامنه نیاز به تأیید رمزنگاری چند نفره خارج از باند دارد.
2. هرگز محتوای تولید شده توسط کاربر (UGC) یا پیوندهای بازاریابی را در دامنه تولیدی Apex خود میزبانی نکنید: همیشه آپلودهای کاربر، فایل های PDF مشتری و پیوندهای ردیابی ایمیل خروجی را از یک دامنه جعبه ایمنی کاملاً مجزا ارائه دهید (به عنوان مثال، yourcompany-usercontent.com به جای yourcompany.com). به این ترتیب، اگر کاربر یک فایل مخرب بارگذاری کند که باعث ایجاد یک ربات سوء استفاده خودکار ثبت‌کننده می‌شود، فقط دامنه محتوای یکبار مصرف پرچم‌گذاری می‌شود، نه برنامه تولید اصلی یا ایمیل شرکتی.
3. روش‌های پرداخت دوگانه + پشتیبان‌گیری ACH + هشدارهای ناهنجاری صورت‌حساب ابری را پیکربندی کنید: حداقل دو کارت اعتباری مستقل از دو بانک مختلف به اضافه یک حساب بانکی با بدهی مستقیم ACH** در AWS، GCP، Azure و ثبت دامنه خود اضافه کنید و **AWS Cost GCP/Anomaly Deftection را فعال کنید. PagerDuty/Slack اگر هزینه روزانه بیش از 25 درصد افزایش یابد.
4. ** راه اندازی یک Registrar مبتنی بر نقش و ایمیل Cloud Root در یک دامنه ثانویه مستقل: ** هرگز تنظیم نکنید admin@yourcompany.com به عنوان ایمیل بازیابی برای yourcompany.com. از یک صندوق پستی اختصاصی و محافظت شده با سخت افزار YubiKey در یک دامنه اداری مستقل یا مستاجر هویت سازمانی استفاده کنید تا همیشه بتوانید ایمیل های تأیید و پشتیبانی را حتی زمانی که دامنه اصلی شما خراب است، دریافت کنید.

شماره های اضطراری منطقه ای و پروتکل های آژانس¶

سوالات متداول¶

اگر AWS، Google Cloud یا Azure حساب ما را به دلیل عدم پرداخت یا سوء استفاده به حالت تعلیق درآورند، آیا پایگاه داده های تولید و سطل های S3 ما فورا حذف می شوند؟¶

نه. نه AWS، GCP و نه Microsoft Azure اطلاعات شما را در روز اول تعلیق حذف نمی‌کنند. وقتی حسابی به حالت تعلیق در می‌آید، ماشین‌های مجازی شما متوقف می‌شوند و دسترسی عمومی به سطل‌های ذخیره‌سازی و متعادل‌کننده‌های بار مسدود می‌شود، **اما 100 درصد حجم‌های EBS، پایگاه‌های داده RDS، اشیاء S3 و عکس‌های فوری حداقل 30 روز در سردخانه حفظ می‌شوند** (و در AWS، حساب‌ها در طول یک پنجره 0-9 روزه تا 6 روز دیگر قابل بازیابی باقی می‌مانند). پس از پرداخت مبلغ معوقه یا حل و فصل بلیط Trust & Safety، محیط تولید دقیق شما بدون نیاز به بازسازی از پشتیبان‌گیری بازیابی می‌شود.

چرا دامنه ما به طور ناگهانی با a حل نشد clientHold وضعیت زمانی که تمدید دامنه ما برای 8 ماه دیگر موعد ندارد؟¶

وقتی دامنه ای که پرداخت شده و با تاریخ انقضای آن فاصله دارد ناگهان وارد می شود **`clientHold`**، تنها دو دلیل وجود دارد: (1) **شکست تأیید تماس 15 روزه WHOIS ICANN** (شخصی نام یا آدرس ایمیل ثبت‌کننده را به‌روزرسانی کرد، یا دامنه را انتقال داد و روی پیوند تأیید اجباری ارسال‌شده به ثبت‌کننده در عرض 15 روز کلیک نکرد)، یا (2) ** سوءاستفاده از ثبت‌کننده / یک تهدید اینترنتی خودکار / فیشینگ / بدافزار گزارش شده است. دامنه شما به تیم انطباق ثبت کننده شما). فوراً به پورتال ثبت‌کننده خود وارد شوید: توقف تأیید ICANN در عرض 15 دقیقه پس از کلیک کردن روی پیوند ارسال مجدد پاک می‌شود، در حالی که توقف سوءاستفاده مستلزم پاسخ به برگه انطباق ثبت‌کننده است.

چرا ماست @ourcompany.com هنگامی که فقط وب سایت ما برای یک پیوند فیشینگ مثبت کاذب گزارش شده است، ایمیل نیز پرتاب می شود؟¶

هنگامی که یک ثبت کننده دامنه یک EPP قرار می دهد **`clientHold`** در دامنه ریشه شما (`ourcompany.com`)، رجیستری **تمام حوزه نمایندگی (همه `NS` رکوردها)** از جهانی `.com` سرورهای ریشه زیرا سرورهای پست الکترونیکی دنیا دیگر نمی توانند دامنه شما را جستجو کنند `NS` یا `MX` سوابق، هر ایمیل دریافتی به `@ourcompany.com` با خطای جستجوی DNS شکست می خورد، حتی اگر ایمیل شما به طور جداگانه در Google Workspace یا Microsoft 365 میزبانی شده باشد. `@gmail.com` یا آدرس دامنه ثانویه در طول یک `clientHold` قطع شدن

اگر فقط ردیف پشتیبانی رایگان "Basic" را داشته باشیم، چگونه می توانیم در AWS، GCP یا ثبت کننده دامنه به یک انسان دسترسی پیدا کنیم؟¶

حتی در سطح پشتیبانی پایه 0 دلاری، **AWS، GCP و Azure به کاربران روت حساب‌های تعلیق شده اجازه می‌دهند تا موارد پشتیبانی با اولویت بالا «حساب و صورت‌حساب» را به صورت رایگان باز کنند**، و در مرکز پشتیبانی AWS می‌توانید **«تلفن»** را به عنوان روش تماس خود انتخاب کنید تا یک متخصص حساب و صورت‌حساب AWS مستقیماً در عرض چند دقیقه با تلفن شما تماس بگیرد. اگر در حال رفع قطعی فوری تولید هستید، می‌توانید حساب AWS خود را همانجا در داخل کنسول به سطح **پشتیبانی تجاری (حداقل 100 دلار در ماه)** یا **سطح **Enterprise On-Ramp** ارتقا دهید تا قفل فوری 15 دقیقه و 24/7 چت مهندس فنی زنده و افزایش تلفن را باز کنید.

اگر یک کارمند سرکش یا توسعه دهنده سابق، ورود به سیستم ثبت دامنه یا حساب AWS Root را در اختیار داشته باشد و از تحویل آن امتناع کند، چه؟¶

اگر یک کارمند سابق، آژانس مستقل، یا یکی از بنیانگذاران سرکش، حساب ثبت‌کننده یا اعتبارات ریشه ابری را کنترل می‌کند و شرکت را قفل می‌کند، آن را به عنوان یک حاکمیت شرکتی فوری و بحران قفل داخلی در نظر بگیرید. هر ثبت‌کننده دامنه و ارائه‌دهنده ابری دارای **روند بازیابی حساب شرکتی/فرایند اختلاف ثبت‌کننده** است که در آن نهاد تجاری قانونی می‌تواند ** اساسنامه، نامه EIN IRS، ثبت علامت تجاری شرکتی، و صورت‌حساب بانک/کارت اعتباری تاریخی** را ارائه کند که ثابت می‌کند شرکت برای کنترل یک دامنه یا یک اداره ابری با مالکیت مدیریتی ده‌گانه، شرکتی را برای اداره مالکیت دامنه یا ده شرکتی پرداخت کرده است. راهنمای ما را ببینید [اختلاف شراکت، تخلیه بانک یکی از بنیانگذاران سرکش، و قفل شرکت](partnership-dispute-rogue-cofounder-bank-drain-and-corporate-lockout.md).

پس از حذف ثبت کننده، چه مدت طول می کشد تا DNS در سطح جهانی بازگردد clientHold?¶

هنگامی که ثبت کننده دستور EPP را برای حذف ارسال می کند `clientHold`، رجیستری سطح بالا (مانند Verisign for `.com`) سرورهای root zone را در مدت **3 تا 15 دقیقه** به روز می کند. اکثر کاربران اینترنت می توانند در عرض 15 تا 30 دقیقه دوباره به سایت شما دسترسی پیدا کنند، و شما می توانید با پاک کردن دستی ورودی کش منفی دامنه خود در فرم های وب عمومی برای **Google Public DNS، آن را تا **زیر 2 دقیقه** برای اکثر ترافیک جهانی سرعت بخشید.`8.8.8.8`)** و **Cloudflare DNS (`1.1.1.1`)**.

راهنماهای مرتبط¶

• طرح تداوم کسب و کار و بازیابی بلایا
• باج افزار کسب و کار و نقض سرور
• اختلاف شراکت، تخلیه بانک یکی از بنیانگذاران سرکش، و قفل شرکت
• قطعی نقطه فروش (POS)، قطع اینترنت و پردازش کارت اعتباری آفلاین

منابع و راهنمای رسمی¶

• شرکت اینترنتی برای نام‌ها و شماره‌های اختصاص‌یافته (ICANN): قرارداد تأیید اعتبار ثبت‌کننده (RAA) 2013 مشخصات برنامه دقت Whois (مجوز تأیید صحت 15 روزه)، کدهای وضعیت پروتکل تأمین قابل توسعه (EPP)clientHold، serverHold، redemptionPeriodو خط مشی بازیابی ثبت نام منقضی شده (ERRP).
• اسناد رسمی خدمات وب آمازون (AWS): تعلیق حساب، بازگرداندن و چرخه عمر نگهداری داده ها پس از بسته شدن (تعلیق 30 روزه / پنجره 60 روزه پس از بسته شدن) و پروتکل اصلاح اعتبار IAM در معرض خطر AWS.
• Google Cloud Platform (GCP) و اسناد رسمی Microsoft Azure: بازیابی تخلفات صورت‌حساب ابری، گردش‌های کاری تجدیدنظر اعتماد و ایمنی پروژه، و رویه‌های فعال‌سازی مجدد اشتراک Azure اختصاص داده شده.
• آژانس امنیت سایبری و امنیت زیرساخت (CISA، ایالات متحده) و مرکز امنیت سایبری ملی (NCSC، بریتانیا): معماری مرجع فنی امنیت ابری، اجرای MFA حساب ریشه، و بهترین شیوه های قفل ثبت دامنه.
• مؤسسه ملی استانداردها و فناوری (NIST، ایالات متحده): NIST SP 800-61 Rev. 2 (راهنمای مدیریت حوادث امنیت رایانه ای) و NIST SP 800-53 (استانداردهای یکپارچگی DNS و کنترل دسترسی ابری).