Pag-hijack sang ngalan sang domain, pagkahilo sa DNS, kag pag-lockout sang registrar¶

Ang pagkadula sang kontrol sa panguna nga domain name sang imo organisasyon ukon Authoritative DNS zone isa sa pinakamakahalalit nga digital nga mga emerhensya nga mahimo maantos sang isa ka negosyo, ospital, ahensya sang munisipyo, ukon online nga publikasyon. Bangod ang imo ngalan sang domain amo ang gamot sang pagsalig para sa tagsa ka sistema sa internet, ang isa ka manug-atake nga naga-hijack sang imo domain registrar account ukon nagahilo sang imo mga rekord sang DNS wala lamang nagaguba sang imo website. Sa sulod sang pila ka minuto sang pagbag-o sang imo NS (Nameserver), A/AAAA (Web IP), ukon MX (Mail Exchange) nga mga rekord, ang manug-atake mahimo nga hipos nga mag-intercept sang tagsa ka nagasulod nga email sang korporasyon kag kustomer, magpasa sang automated nga Let's Encrypt Domain Validation (DV) nagausisa sa pag-mint sang balido nga mga sertipiko sang pag-encrypt sang TLS/SSL sa imo ngalan, pagkuha sang mga password sang empleyado nga Single Sign-On (SSO), kag pag-trigger sang mga email sang pag-reset sang password para sa imo imprastraktura sa panganod, mga portal sa bangko, kag mga account sa pinansyal. Bisan ang isa ka indi malisyoso nga kapaslawan, pareho sang isa ka expired nga domain nga nahulog sa AutoRenewGracePeriod ukon RedemptionPeriod (clientHold), nagadala sang trapiko sa web, API mobile backends, kag email sang kompanya sa gilayon nga pag-untat sa bug-os nga kalibutan.

Kon ang isa ka domain hijacking ukon DNS outage nagakompromiso sang routing sang pasyente sa ospital, mga komunikasyon sa pagpadala sang emerhensya, telemetry sang public utility, ukon isa ka aktibo nga sistema sang kaluwasan sa kabuhi, tawga ang imo lokal nga numero sang emerhensya (911 sa Estados Unidos kag Canada, 112 sa bug-os nga European Union, 999 sa United Kingdom) ukon tan-awa ang amon direktoryo sang internasyonal mga numero sang emerhensya kag ipahibalo sa imo pungsodnon nga grupo sa pagsabat sa insidente sa cyber (subong sang CISA sa Estados Unidos sa 1-844-SAY-CISA ukon NCSC sa United Kingdom) gilayon. Para sa tanan nga komersyal, nonprofit, kag personal nga mga krisis sa domain, ipatuman ang mga tikang sa pag-triage sa idalom sa eksakto nga pagkasunod-sunod.

Himua ini subong¶

1. Hibalua sa sulod sang 30 segundos kon ang imo domain nag-expire, ang imo mga rekord sang DNS ginbag-o, ukon ang domain ginsaylo sa isa ka dumuluong nga registrar: Magpadalagan sang live RDAP ukon WHOIS pamangkot kag isa ka awtoridad nga pamangkot sang DNS gikan sa isa ka terminal (rdap yourdomain.com ukon whois yourdomain.com, kag dig +trace yourdomain.com). Tan-awa ang Ngalan sang Registrar, ang Mga Kodigo sang Kahimtangan sang EPP (subong sang clientHold para sa pagsingil/pagpamatuod vs. ok nga may indi pamilyar nga mga nameserver), kag ang Authoritative Nameservers (NS).
2. I-freeze ang tanan nga outbound password resets kag i-lock down ang imo Identity Provider (Okta, Microsoft Entra ID, Google Workspace) gilayon: Kon ang isa ka attacker nagakontrol sang imo domain MX mga rekord ukon NS mga server, ginabaton nila ang tagsa ka email nga ginpadala sa *@yourdomain.com. Gilayon nga suguon ang imo mga administrador sang IT nga i-disable ang "Nalipatan ang Password paagi sa Email" nga mga reset sang self-service sa tanan nga mga gamit sang korporasyon, i-revoke ang aktibo nga mga sesyon para sa mga user nga ang ila mga email address mahimo gamiton sa pag-reset sang mga external vendor account, kag ibalhin ang mga administrative login sa hardware FIDO2 security keys ukon internal .onmicrosoft.com fallback domains.
3. Ipreserbar ang bug-os nga forensic snapshots sang RDAP/WHOIS, DNS zones, kag Certificate Transparency (CT) mga log antes magbag-o ang bisan ano: I-save ang output sang dig ANY yourdomain.com @8.8.8.8, whois yourdomain.com, kag tan-awa ang crt.sh/?q=%25.yourdomain.com gilayon. Nagapangita crt.sh nagapakita sang tagsa ka wala ginatugutan nga sertipiko sang SSL/TLS nga ginhimo lang sang manug-atake para sa imo mga subdomain (mail., vpn., login., api.) agud mahibaluan mo sing eksakto kon ano nga mga serbisyo sa sulod ang ila aktibo nga ginapakunokuno paagi sa mga proxy sang Adversary-in-the-Middle (AitM).
4. Magkontak sa dedikado nga Emergency Abuse / Security Operations Team sang Losing Registrar (indi Tier-1 chat support) agud mag-trigger sang ICANN Unauthorized Transfer Dispute (IRTP) ukon pagbaliskad sang Registry Lock: Kon ang imo domain ginduso sa iban nga account sa amo man nga registrar ukon ginsaylo paagi sa isa ka ginkawat Auth-Info (EPP) code sa isa ka foreign registrar, kontaka ang Domain Abuse / High-Risk Security Escalation Desk sang imo orihinal nga registrar kag magpangayo sang gilayon nga Registrar Undo / Emergency Transfer Dispute sa idalom sang ICANN Transfer Policy (Section I.A kag Transfer Dispute Resolution Policy), nga nagasambit sang wala ginatugutan nga pagkompromiso sa kredensyal.
5. Magsaka sing direkta sa Top-Level Domain (TLD) Registry Operator kon ang registrar indi nagasabat: Dumduma ang hierarchy: Mga Registrar (pareho sang GoDaddy, Namecheap, Cloudflare, MarkMonitor, Network Solutions, Gandi, Porkbun) mga retail reseller lamang; ang Registry Operator (subong sang Verisign para sa .com/.net, Public Interest Registry (PIR) para sa .org, Nominet para sa .uk, CIRA para sa .ca, DENIC para sa .de, ukon auDA para sa .au) nagapadalagan sang master root zone database. Kodigo sang pungsod (ccTLD) nga mga rehistro kag pila ka mga rehistro sang gTLD mahimo magbutang sang emerhensya serverHold ukon serverUpdateProhibited kandado direkta sa lebel sang gamot sa tion sang napamatud-an nga mga insidente sang cybercrime.
6. Paandami ang mga kustomer, mga manugbaligya, kag mga kaupod sa bangko paagi sa mga out-of-band nga mga alagyan nga @yourdomain.com ang email nakompromiso: Kon gin-hijack sang nag-atake ang imo MX mga rekord, sila gilayon nga magasabat sa mga open accounting thread nga may peke nga mga instruksyon sa pagbalhin sang wire. Pahibalua ang mga kliyente paagi sa telepono, SMS, LinkedIn, status page sa isa ka separado nga backup domain, ukon opisyal nga mga account sa social media nga indi magsalig sa bisan ano nga email ukon login portal sa apektado nga domain tubtob nga makumpirmar ang pagpanumbalik.

Desisyon nga puno: pagdayagnos kag pag-unod sang domain ukon DNS outage¶

Sunda ining madasig nga diagnostic flowchart agud mahibaluan ang eksakto nga layer sang Domain Name System nga napaslawan ukon gin-hijack:

flowchart TD
    A["Website Down, TLS Certificate Warning, ukon Corporate Email Gin-untat"] --> B["Padalagana ang RDAP/WHOIS & dig +trace gikan sa External Network"]
    B --> C{"Ano ang ginapakita sang RDAP Status & Registrar Fields?"}
    C -->|"Status: clientHold, autoRenewPeriod, ukon redemptionPeriod"| D["Aksidente nga Pag-expire ukon ICANN Whois Verification Suspension"]
    D --> E["Mag-log in Gilayon sa Registrar: Magbayad sang Renewal / Redemption Fee ukon Mag-klik sang RAA Verification Link; Magpangayo sang Emergency TTL Flush"]
    C -->|"Ang Ngalan sang Rehistrador ukon Account sang Rehistrador Ginbag-o nga Wala sing Awtorisasyon"| F["Bug-os nga Pag-hijack sang Account sang Registrar ukon Wala Gintugutan nga Pagbalhin sang EPP"]
    F --> G["I-lock ang Identity Provider (Entra/Google), I-file ang Emergency Registrar Abuse Ticket + ICANN Transfer Dispute, Tan-awa ang crt.sh para sa Rogue Certs"]
    C -->|"Registrar & NS Wala nagbag-o, apang ang A / CNAME / MX Records Nagatudlo sa Wala Mahibaluan nga mga IP"| H["Gindumalahan nga Pagkompromiso sang DNS Provider (Cloudflare / Route53 / NS1 API Key ukon Paglapas sa Account)"]
    H --> I["I-revoke ang mga Compromised DNS API Tokens, I-restore ang Known-Good Zone File, I-revoke ang Rogue TLS Certs, I-rotate ang mga Exposed Credentials"]
    C -->|"Ang mga Rekord sang Registrar, NS, kag Zone Normal ang hitsura, apang ang Site Napaslawan sa SERVFAIL"| J["Nabali nga DNSSEC Chain of Trust (DS Record Mismatch ukon Expired RRSIG)"]
    J --> K["Padalagana ang DNSViz.net Check: Kuhaa ang Stale DS Record sa Registrar ukon Re-Sign Zone sa DNS Host"]

Phase 1: Technical forensics para mahibaluan ang eksakto nga vector sang pag-atake¶

Kon ang isa ka domain hinali nga mag-untat sa paglubad ukon magsugod sa pag-alagad sang isa ka phishing page ukon cryptocurrency scam, ang tagsa ka minuto nga ginahinguyang sa pagtag-an nagauyang sang hamili nga tion sa pagbawi. May apat ka bug-os nga magkatuhay nga mga senaryo nga daw pareho sa isa ka end user sa isa ka web browser, kag ang tagsa nagakinahanglan sang isa ka bug-os nga magkatuhay nga pag-ayo.

Paano Magbasa RDAP, WHOIS, kag dig Mga Output Pareho sang Isa ka Responder sang Insidente¶

Magbukas sang command terminal sa Linux, macOS, ukon Windows (gamit ang WSL ukon nslookup) kag padalaganon ang masunod nga tatlo ka diagnostic checks gamit ang neutral public recursive resolver (8.8.8.8 ukon 1.1.1.1):

1. Tan-awa ang Registry-Level Delegation (dig +trace kag RDAP):

   dig +trace yourdomain.com NS @1.1.1.1
   

   • Tan-awa ang tikang pagkatapos gid sang TLD root servers (halimbawa, a.gtld-servers.net. para sa .com). Nga NS (Nameserver) ang mga hostname ginabalik sang TLD Registry mismo?
   • Kon ang TLD Registry nagabalik sang imo normal nga mga nameserver (ns1.yourdnsprovider.com) nga may kahimtangan NOERROR, ang pag-hijack nagakatabo sa sulod sang imo DNS hosting provider (ukon ini isa ka pagkaguba sang DNSSEC).
   • Kon ang TLD Registry nagabalik sang bug-os nga indi pamilyar nga mga nameserver (ukon kon whois yourdomain.com nagapakita sang bag-o Registrar: ngalan kag isa ka Updated Date: sa sulod sang nagligad nga pila ka oras ukon mga adlaw), ang pag-hijack natabo sa lebel sang Domain Registrar.
2. I-decode ang ICANN EPP Domain Status Codes: Tan-awa ang Domain Status: mga linya sa imo WHOIS ukon RDAP output. Ining mga standardized Extensible Provisioning Protocol (EPP) codes nagasugid sa imo kon ngaa ang isa ka domain nagakapaslawan ukon naka-lock:

Phase 2: Pagbawi gikan sa isa ka malisyoso nga domain hijack ukon wala ginatugutan nga pagbalhin sang registrar¶

Gina-hijack sang mga manug-atake ang mataas sing balor nga mga domain sang korporasyon, Web3/DeFi, pinansyal, kag media gamit ang tatlo ka panguna nga mga teknik: 1. Registrar Account Takeover (Credential Stuffing, Infostealer Malware, ukon SIM Swap): Ang attacker naga-log in sa imo GoDaddy, Namecheap, Google Domains/Squarespace, ukon Network Solutions dashboard, ginapatay clientTransferProhibited, nagabag-o sang NS mga rekord sa pagtudlo sa isa ka Cloudflare account nga ginakontrol sang manug-atake, ukon nagahimo sang Auth-Info (EPP) code para mabalhin ang domain. 2. Social Engineering of Registrar Support: Ang nag-atake nagasumiter sang palsipikado nga mga dokumento sang pag-inkorporar, peke nga mga ID sang gobyerno, ukon gin-spoof nga letterhead sa account recovery desk sang isa ka registrar nga nagasiling nga ang orihinal nga IT admin napatay ukon naghalin sa kompanya. 3. Subdomain Takeover (Dangling CNAME / Dangling NS): Ang imo panguna nga domain wala matandog, apang ang isa ka daan nga subdomain (promo.yourdomain.com ukon status.yourdomain.com) may ara gihapon CNAME rekord nga nagatudlo sa isa ka decommissioned AWS S3 bucket, Azure App Service, GitHub Pages repo, Heroku app, ukon Zendesk instance nga imo gin-delete sang nagligad nga mga binulan. Ang manug-atake nagarehistro sang ginbiyaan nga ngalan sang kapanguhaan sa panganod sa AWS/Azure/GitHub kag gilayon nga nagaserbe sang malain nga kaundan gikan sa imo opisyal nga subdomain.

Tikang 1: Pahalinon ang Nagasalakay gikan sa Imo Cloud Identity Provider kag Email System¶

Antes mo pa gani matapos ang pagsulat sang pormas sa pagbawi sang rehistrador, ibutang nga ang manug-atake aktibo nga nagabasa sang tagsa ka email nga ginpadala sa imo domain kag nagatinguha nga mag-pivot sa imo internal cloud infrastructure:

1. Ibaylo ang Microsoft 365 / Google Workspace sa Fallback Domains kag Hardware MFA:
   • Sa Microsoft Entra ID (nga anay Azure AD), ang tagsa ka tenant may permanente, indi ma-hijack nga fallback domain (yourcompany.onmicrosoft.com). Ang mga administrador mahimo mag-log in paagi sa admin@yourcompany.onmicrosoft.com bisan pa yourdomain.com Ang DNS bug-os nga gin-hijack.
   • I-disable ang tanan nga SMS, voice call, kag alternate-email password reset methods sa Entra ID / Okta / Google Workspace (Authentication Methods Policy). Kinahanglan ang FIDO2/WebAuthn hardware security keys ukon number-matching Authenticator push notifications.
2. I-audit ang mga Outbound kag Inbound Email Logs para sa Eksakto nga Pagkompromiso nga Bintana:
   • Kon ang imo MX ang mga rekord ginbag-o sang 02:14 UTC, wala sing lehitimo nga mga email sa guwa ang nakalab-ot sa imo matuod nga mga mail server halin sang 02:14 UTC; ang tagsa ka eksternal nga email nga ginpadala sa imo mga tinawo sa sina nga bintana nakuha sa bug-os nga plaintext sang rogue mail server sang attacker (Postfix/Exim listener).
   • Gilayon nga magkuha sang listahan sang tagsa ka third-party SaaS platform, bangko, AWS/GCP root account, organisasyon sang GitHub, kag vendor portal nga naangot sa @yourdomain.com mga email address, kag tan-awa kon bala ang nag-atake nag-trigger sang mga reset sang password sa mga external platform sa tion sang hijack window.

Tikang 2: Ipatuman ang Registrar kag Registry Emergency Recovery Protocol¶

Indi pagbuksi ang isa ka kinaandan nga "Ang akon website wala nagatrabaho" nga suporta nga chat. Kinahanglan mo gamiton ang eksakto nga regulatory kag legal nga terminolohiya nga nagapukaw sang pag-uswag sa Registrar Tier-3 Security / General Counsel / ICANN Compliance Team:

1. Kaso A: Ang Domain Yara Pa sa Imo Orihinal nga Registrar (Account Takeover ukon Internal nga "Account Push"):
   • Madamo nga mga manug-atake ang wala nagahulat sang 5 ka adlaw para sa isa ka inter-registrar EPP transfer; sa baylo, ginagamit nila ang instant "Push Domain to Another Account" nga bahin sang registrar sa pagsaylo sang imo domain sa isa ka burner account sa pareho nga registrar sa sulod sang 3 ka segundo.
   • Tawga kag email gilayon ang Fraud / Account Hijacking / Abuse Department sang registrar. Ipahayag sing maathag: "URGENT SECURITY INCIDENT: Wala ginatugutan nga Pag-access sa Account kag Internal Domain Push / DNS Modification sang [yourdomain.com]. Nagapangabay sang gilayon nga pag-freeze sang domain sa idalom sang serverHold/clientUpdateProhibited kag rollback sang wala ginatugutan nga mga pagbag-o sa DNS/Account."
   • Tipuna Gilayon ang Imo Pamatuod sang Makasaysayan nga Pakete sang Pagpanag-iya: Ang mga grupo sang seguridad sang rehistrador nagakinahanglan sang indi mapanghiwala nga pamatuod nga ikaw ang lehitimo nga nauna nga nagparehistro antes nila kuhaon ang isa ka domain gikan sa isa pa ka account. Tipuna gilayon ining 5 ka dokumento sa isa ka PDF:
     1. Mga Makasaysayan nga mga Invoice sang Registrar kag mga Pamatud-an sang Pagbayad: Mga resibo sang PDF kag mga pahayag sang credit card / bank wire nga nagapakita sang imo organisasyon nga nagabayad para sa pagparehistro kag pagbag-o sang yourdomain.com sa sulod sang nagligad nga 1 tubtob 10 ka tuig (lakip ang katapusan nga 4 ka numero sang payment card ukon wire reference).
     2. Gin-isyu sang Gobyerno nga Rehistro sang Korporasyon kag ID sang Opisyal: Opisyal nga Sertipiko sang Pagtukod / Mga Artikulo sang Organisasyon nga nagasanto sa makasaysayan nga WHOIS Registrant Organization, dugang ang isa ka photo ID sang gobyerno sang opisyal sang korporasyon nga nagapirma sang affidavit.
     3. Makasaysayan nga DNS Zone File & Server Ownership Proof: Mga kopya sang imo nauna nga DNS zone file, makasaysayan nga mga snapshot sang WHOIS, ukon pamatuod nga ang imo organisasyon nagapanag-iya sang autonomous system (ASN) ukon mga bloke sang IP (A mga rekord) nga gintudlo sang domain sa sulod sang mga tinuig antes sang pagbag-o karon.
     4. Original Account Creation Email / Ticket History: Mga header sang mga email nga nabaton gikan sa registrar sa tion nga ang domain orihinal nga narehistro ukon ginbag-o.
     5. Opisyal nga Numero sang Report sang Pagpatuman sang Kasuguan: Isa ka gin-file nga FBI IC3 (ic3.gov) numero sang reklamo (Estados Unidos), numero sang reperensya sang Action Fraud (United Kingdom), ukon numero sang report sang cybercrime sang pungsodnon nga pulis. Ang mga rehistrador nagahulag sing mas madasig kon ginahatagan sing pormal nga numero sang kaso sang pagpatuman sang kasuguan nga nagapamatuod sang isa ka kriminal nga pagsulod sa kompyuter sa idalom sang 18 U.S.C. § 1030 (CFAA) ukon ang UK Computer Misuse Act 1990.
2. Kaso B: Ang Domain Ginsaylo sa Isa ka Lain nga Registrar (Inter-Registrar Hijack):
   • Sa idalom sang ICANN Transfer Policy (IRTP sadto), ang pagbalhin sa tunga sang mga rehistrador nagakinahanglan sang Auth-Info (EPP) code kag dapat nga i-block sa sulod sang 60 ka adlaw pagkatapos sang pila ka mga pagbag-o sang registrant luwas kon gin-waive. Kon ang isa ka manug-atake nag-hack sang imo account sa Registrar A (ang "Nadula nga Registrar") kag ginsaylo ang domain sa Registrar B (ang "Nagakuha nga Registrar"):
   • Kontaka gilayon ang Losing Registrar kag ang Gaining Registrar, pero unahon ang Losing Registrar's Transfer Dispute / Security Team. Sa idalom sang Transfer Dispute Resolution Policy (TDRP) sang ICANN, ang Losing Registrar amo ang entidad nga may yara sang imo mga rekord sang pagsingil sa maragtas kag mga login log nga nagapamatuod nga ang pagbalhin wala gintugutan. Ang Losing Registrar mahimo nga pormal nga makig-angot sa compliance officer sang Gaining Registrar sa pagpatuman sang isa ka kooperatibo nga Registrar Transfer Undo, ukon mag-file sang pormal nga TDRP proceeding.
   • Dungan nga ipadala ang imo ownership proof packet kag report sang pulis sa Gaining Registrar's Abuse Desk nga nagapangabay nga magbutang sila sang gilayon nga clientTransferProhibited kag clientUpdateProhibited i-lock ang domain agud ang attacker indi makalukso sa domain paagi sa kadena sang tatlo pa ka mga offshore registrar ("registrar hopping").
3. Mag-file sang Emergency Escalation sa ICANN (para sa gTLDs pareho sang .com, .net, .org, .io kon gTLD) ukon ang ccTLD Registry:
   • Kon ang isa ka rehistrador magdumili sa pag-imbestigar sang isa ka wala ginatugutan nga pagbalhin ukon mapaslawan sa pagsabat sa tion sang isa ka aktibo nga pag-hijack, magsumiter sang isa ka dinalian nga Unauthorized Transfer / Domain Hijacking Complaint paagi sa ICANN Contractual Compliance Portal (icann.org/compliance/complaint).
   • Kon ang imo domain nagagamit sang Country-Code Top-Level Domain (ccTLD), pareho sang .uk, .ca, .au, .de, .fr, .nl, .ch, ukon .jp, may yara ka sang mas madasig nga kapilian: ang mga rehistro sang ccTLD ginadumalahan sang mga awtoridad sa pagbantay sang pungsod sa baylo sang ICANN kag halos pirme nagamentinar sang direkta nga Registry Emergency Security Teams (halimbawa, Nominet sa UK sa 0330 236 9470, CIRA sa Canada, DENIC sa Germany, AFNIC sa France) nga mahimo mag-freeze sang gin-hijack nga domain direkta sa lebel sang nasyonal nga rehistro sa sulod sang pila ka oras sa pag-verify sang corporate identity.

Phase 3: Pagluwas sang isa ka expired nga domain (clientHold, RedemptionPeriod, kag PendingDelete)¶

Indi tanan nga hinali nga global outage isa ka cyberattack. Kada adlaw, ang mga mayor nga mga kompanya, mga SaaS startup, kag mga kontraktor sang gobyerno nagadulom sing bug-os bangod ang credit card nga yara sa file sa ila domain registrar nag-expire, kag ang mga email nga pahanumdom sa pagbag-o ginpadala sa former-founder@company.com nga nagbiya sa kompanya tatlo ka tuig na ang nagligad.

Paghangop sang ICANN Expired Domain Lifecycle Timeline¶

Para sa kinaandan nga Top-Level Domains (.com, .net, .org, .biz, .info), ang ICANN Expired Registration Recovery Policy (ERRP) nagapatuman sang isa ka estrikto nga multi-stage lifecycle pagkatapos nga magligad ang petsa sang pag-expire:

1. Stage 1: Auto-Renew Grace Period (Mga Adlaw 1 tubtob ~30/45 pagkatapos sang Pag-expire):
   • Sa gilayon pagkatapos sang pag-expire (masami sa sulod sang 24 tubtob 72 ka oras), ginabag-o sang registrar ang domain sang NS nagarekord sa isa ka Parked / Expired Renewal Splash Page ukon nagabutang sang domain sa clientHold.
   • Epekto: Ang imo website kag email sang korporasyon nagauntat gilayon sa pag-obra (DNS_PROBE_FINISHED_NXDOMAIN ukon mga ad sa parking).
   • Pagbawi: Mag-log in sa registrar account kag magbayad sang standard 1-year renewal fee ($10 tubtob $30 USD). Ang registrar gilayon nga nagabalik sang imo orihinal NS mga rekord.
2. Hugna 2: Panahon sang Grasya sa Pagtubos (redemptionPeriod, 30 ka Adlaw nga Kalawigon):
   • Kon wala sing isa nga naga-renew sang domain sa tion sang Stage 1 (sa masami pagkatapos sang adlaw 30 tubtob 42 depende sa mga Terms of Service sang registrar), ang registrar nagadula sang domain sa Registry, kag ang Registry nagabutang sini sa mandatory 30-day redemptionPeriod (luwas kon ginsubasta sang registrar ang expired domain paagi sa internal expired-domain auction platform pareho sang GoDaddy Auctions ukon NameJet, tan-awa gilayon ang eksakto nga day-30 auction cutoff sang imo registrar).
   • Pagbawi: Mahimo mo gihapon maluwas ang domain nga may 100 porsyento nga kapat-uran sa tion sang redemptionPeriod, paagi lamang sa orihinal nga Losing Registrar. Kinahanglan mo nga makig-angot sa ila billing/support desk kag magbayad sang Registry Redemption Restore Fee (kasagaran $80 tubtob $250 USD) dugang ang 1-ka-tuig nga pagbag-o.
3. Stage 3: Pending Delete (pendingDelete, Katapusan nga 5 ka Adlaw sa Kalendaryo):
   • Sa makaisa ang 30-adlaw redemptionPeriod naga-expire, ang domain nagasulod sa pendingDelete sa eksakto nga 5 ka adlaw (120 ka oras).
   • Epekto: Sa tion sang pendingDelete, ang Registry nagasikway sang tanan nga sulundan nga EPP restore mga sugo gikan sa rehistrador. Sa katapusan sang adlaw 5 (para sa .com/.net Ang Verisign nagahulog, sa tunga sang 18:00 kag 19:15 UTC), ang domain ginapaguwa sa publiko kag ginaagaw sa sulod sang 10 milliseconds sang automated drop-catching networks.
   • Emergency Action kon Madakpan pendingDelete ukon Registrar Expired Auction:
     • Kon ang domain ginbaligya paagi sa day-30 nga expired nga subasta sang registrar antes magsulod sa Registry redemptionPeriod, tan-awa kon ang imo registrar nagatanyag sang malip-ot nga bintana sang pagtubos pagkatapos sang subasta ukon kontaka gilayon ang nagdaug nga bidder/broker.
     • Kon ang domain yara gid sa 5-adlaw nga Rehistro pendingDelete hugna, dungan nga ibutang ang high-tier backorders sa tanan nga tatlo ka mayor nga drop-catching networks (DropCatch.com, SnapNames.com, kag NameJet.com) agud nga kon ang domain mahulog sa publiko nga pool sa Adlaw 5, ang imo backorder magakuha sini ukon magasulod sa imo sa sirado nga subasta sang bidder sa pagbakal sang imo domain pabalik.

Ngaa Nagakapaslawan Gihapon ang Akon Website sa Pila ka Oras Pagkatapos Ko Gin-renew ang Expired Domain? (Pag-ayo sang Negatibo nga DNS Caching)¶

Kon ang imo domain mag-expire, ang registrar magabulos sang imo NS mga rekord nga may temporaryo nga mga nameserver sa parking nga masami nagadala sang 24-oras tubtob 48-oras nga TTL (Time-To-Live) (86400 ukon 172800 mga segundo). Bisan pa pagkatapos mo mabayaran ang balayran sa pagbag-o kag ang imo rehistrador nagbalik sang imo matuod nga NS mga rekord sa root zone sa sulod sang 5 minutos, publiko nga mga recursive DNS resolver sa bug-os nga kalibutan (Google 8.8.8.8, Cloudflare 1.1.1.1, Quad9 9.9.9.9, kag mga ISP resolver) mahimo nga magpadayon sa pag-alagad sa na-cache nga nag-expire nga pahina sang parking tubtob nga ang 48-oras nga TTL mag-expire.

Paano Piliton ang Instant Global DNS Cache Flush sa sulod sang 60 ka Segundo: Indi maghulat sing 48 ka oras para sa mga recursive cache nga mag-expire sing natural. Manu-mano nga i-flush ang imo domain gikan sa tatlo ka pinakadaku nga pangkalibutanon nga publiko nga DNS providers subong gamit ang ila libre nga web cache-purge portals: 1. I-flush ang Google Public DNS (8.8.8.8 / 8.8.4.4): Bisitaha ang developers.google.com/speed/public-dns/cache, tipo yourdomain.com, pilia ang sahi sang rekord NS (kag dayon sulita para sa A, AAAA, MX, kag DS), kag i-klik ang Flush Cache. Ginatinluan sini ang imo domain sa tagsa ka Google DNS data center sa bug-os nga kalibutan sa wala pa 10 segundos. 2. Flush Cloudflare Public DNS (1.1.1.1 / 1.0.0.1): Bisitaha ang one.one.one.one/purge-cache/, magsulod yourdomain.com, pilia ang NS, A, AAAA, kag MX, kag i-klik ang Purge Cache. 3. Flush OpenDNS / Cisco Umbrella (208.67.222.222): Bisitaha ang cachecheck.opendns.com, magsulod yourdomain.com, tan-awa ang mga resulta sa bug-os nga pangkalibutanon nga mga node, kag i-klik ang I-refresh ang Cache sa idalom sang lamesa.

Phase 4: Pag-ayo sang guba nga DNSSEC (SERVFAIL) pagkatapos sang paglalin ukon pag-hijack¶

Ang Domain Name System Security Extensions (DNSSEC) nagapirma sang imo mga rekord sang DNS (RRSIG mga rekord nga ginpirmahan sang isa ka Zone Signing Key ZSK kag Key Signing Key KSK) kag nagabalhag sang nagakaigo nga Delegation Signer (DS) hash sa parent TLD zone sa imo registrar.

Samtang ang DNSSEC nagapugong sang cache poisoning, ang guba nga DNSSEC configuration nagatuga sang instant, total global outage (SERVFAIL) sa tagsa ka naga-validate nga resolver (lakip ang 8.8.8.8, 1.1.1.1, Comcast, kag mayor nga mga mobile carrier). Ini ang masami nga nagakatabo sa tion sang emerhensya nga pagsaylo: ang isa ka administrador nagasaylo yourdomain.com's nameservers halin sa Cloudflare pakadto sa AWS Route 53 (ukon vice versa) nga wala anay ginapanas ang daan nga provider DS rekord sa domain registrar.

Pagdayagnos kag Pagkay-o sang DNSSEC SERVFAIL Lockout sa sulod sang 5 ka minutos¶

1. Kumpirmahi nga ang DNSSEC amo ang Sala: Magdalagan sang duha dig mga sugo nga nagasunod-sunod: isa ka normal nga pamangkot, kag isa ka pamangkot nga may +cd (Checking Disabled) flag, nga nagasugid sa recursive resolver nga indi pagsapakon ang DNSSEC cryptographic validation:

   dig yourdomain.com @8.8.8.8
   dig yourdomain.com @8.8.8.8 +cd
   

   • Kon ang una nga sugo mapaslawan sa status: SERVFAIL kag zero nga mga sabat, samtang ang ikaduha nga sugo (+cd) gilayon nga nagmadinalag-on sa status: NOERROR kag nagabalik sang imo A irekord ang IP address, 100 porsyento sang imo outage isa ka guba nga DNSSEC chain of trust.
2. Usisaa ang Eksakto nga Pagbali gamit ang DNSViz.net ukon Verisign DNSSEC Debugger:
   • Bukas dnsviz.net ukon dnssec-debugger.verisignlabs.com kag magsulod yourdomain.com.
   • Magadrowing ini sang isa ka biswal nga diagram nga nagapakita kon bala ang DS ang rekord nga ginbalhag sa imo registrar wala nagasanto sa DNSKEY ginaserbisyuhan sang imo karon nga DNS host, ukon kon ang imo mga pirma sa sona (RRSIG) nag-expire na.
3. Pag-ayo sa Emerhensya:
   • Kon bag-o mo lang gin-islan ang mga DNS provider: Mag-log in sa imo Domain Registrar, mag-navigate sa DNSSEC / DS Records nga seksyon, kag panason ang daan nga stale DS rekord (ukon islan ini sang bag-o DS rekord nga ginhimo sang imo bag-o nga DNS host).
   • I-flush ang DS record cache: Bisitaha gilayon ang Google Public DNS Cache Flush (developers.google.com/speed/public-dns/cache) kag Cloudflare Purge Cache (one.one.one.one/purge-cache/) kag purgahon ang DS kag DNSKEY mga sahi sang rekord para sa yourdomain.com gani ang mga naga-validate sang mga resolver nagauntat sa pag-usisa sang mga nadula DS hash dayon.

Phase 5: Pagtinlo pagkatapos sang pagbawi, pagbawi sang sertipiko sang TLS, kag pagpatig-a¶

Ang pagbalik sang imo domain registrar account kag DNS records sa idalom sang imo kontrol katunga lamang sang inaway. Sa sulod sang mga oras ukon mga adlaw nga ang manug-atake nagkontrol sang DNS sang imo domain, may yara sila sang bug-os nga awtoridad sa pagpamatuod sang "Domain Control Validation" (DCV) sa tagsa ka Awtoridad sa Sertipiko (CA) sa planeta.

1. Mga Log sang Transparency sang Sertipiko sang Audit (crt.sh) kag Bawion ang Rogue TLS Certificates¶

Kon ang isa ka manug-atake nagatudlo sang imo A ukon NS mga rekord sa ila server, gilayon nila nga ginapadalagan certbot (I-encrypt naton, ZeroSSL, Google Trust Services, ukon Sectigo) sa paghimo sang balido, ginasaligan sang browser nga mga sertipiko sang TLS para sa yourdomain.com, *.yourdomain.com, vpn.yourdomain.com, kag mail.yourdomain.com. Bisan pa pagkatapos mo mabalik ang imo mga rekord sang DNS, ang manug-atake nagahupot gihapon sang balido nga Private Key (.key) kag ginpirmahan nga Public Certificate (.crt) para sa imo domain, nga mahimo nila gamiton sa pag-stage sang captive-portal Wi-Fi attacks, BGP hijacks, ukon internal network spoofing sa masunod nga 90 ka adlaw.

1. Mga Log sang Transparency sang Sertipiko sang Pamangkot:
   • Kadto sa crt.sh/?q=%25.yourdomain.com ukon Pagpangita sang Sertipiko sang Censys (search.censys.io/certificates).
   • I-sort suno sa Logged At / Not Before petsa kag usisaon ang tagsa ka sertipiko nga gin-isyu sa tion sang hijack window (kag sa 24 oras pagkatapos sang pagbawi, bangod sang na-cache nga mga awtorisasyon sang DCV).
2. Pilsa ang Gilayon nga Pagbawi sang Sertipiko:
   • Hibalua ang nagahatag sang Certificate Authority (Issuer Name) sa tagsa ka wala ginatugutan nga sertipiko.
   • Ang tagsa ka ginasaligan sang publiko nga CA ginakinahanglan sa idalom sang CA/Browser Forum Baseline Requirements (Section 4.9.1.1) sa pagbawi sang isa ka malimbungon ukon wala ginatugutan nga sertipiko sa sulod sang 24 oras sang pagkumpirma nga ang aplikante wala gintugutan sang matuod nga tag-iya sang domain.
   • Kon nabawi mo na ang kontrol sang DNS sa domain, mahimo mo i-revoke ang wala ginatugutan nga Let's Encrypt ukon ACME nga mga sertipiko sa sulod sang 60 segundos nga wala gani nagakinahanglan sang pribado nga yabi sang manug-atake: i-install lang certbot sa isa ka server nga imo ginakontrol, mag-agi sang isa ka bag-o nga DNS-01 ukon HTTP-01 nga hangkat para sa eksakto nga pareho nga ngalan sang domain gamit ang isa ka bag-o nga ACME account key, kag magdalagan:

     certbot revoke --cert-path downloaded_rogue_cert_from_crt_sh.pem --reason keycompromise
     

   • Sa baylo, isumiter ang mga Serial Number sang Sertipiko direkta sa portal sang emerhensya nga pagbawi sang CA (halimbawa, ang pahina sang instruksyon sa pagbawi sang Let's Encrypt, ang DigiCert's /revoke portal, ukon ang pormas sa pagreport sang SSL Abuse sang Sectigo).

2. I-lock Down ang Imo Domain sing Permanente Agod Indi Na Ini Ma-hijack Liwat¶

Sa tion nga mabalik ang mga operasyon, ipatuman ining lima ka mga kontrol sa pagpatig-a sang domain sang negosyo:

1. I-enable ang Registry Lock (serverUpdateProhibited, serverDeleteProhibited, serverTransferProhibited):
   • Para sa mga domain sang produksyon nga importante sa misyon, mag-upgrade sa isa ka registrar nga nagatanyag sang matuod nga Registry Lock (ginasuportahan sang Verisign sa .com/.net, PIR sa .org, kag ginatanyag paagi sa mga enterprise registrar pareho sang MarkMonitor,CSC Digital Brand Services, Cloudflare Enterprise, Porkbun/Gandi/Namecheap Registry Lock tiers). Kon aktibo ang Registry Lock, bisan pa nga ang isa ka hacker kawaton ang imo registrar login kag MFA, ang TLD Registry nagasikway sang tanan NS ukon magsaylo sang mga pagbag-o luwas kon ang isa ka opisyal sang seguridad sang tawo makatapos sang isa ka out-of-band cryptographic/telephone ceremony.
2. Ibalhag CAA (Pagtugot sang Awtoridad sa Sertipikasyon) Mga Rekord sang DNS:
   • Magdugang sang CAA rekord (RFC 8659) sa imo DNS zone nga nagatumod sang eksakto nga mga Awtoridad sang Sertipiko nga ginatugutan sa paghatag sang mga sertipiko sang TLS para sa imo domain (halimbawa, 0 issue "letsencrypt.org" ukon 0 issue "digicert.com", dugang pa 0 iodef "mailto:security@yourdomain.com"). Samtang ang isa ka manug-atake nga nagakontrol sang imo bug-os nga DNS zone mahimo mag-delete sang CAA rekord, isa ka CAA ang rekord nagapugong sa mga hijacker sang BGP ukon mga nakompromiso nga mga target sang subdomain CNAME gikan sa paggamit sang wala ginatugutan nga mga CA.
3. Ipain ang Imo Domain Registrar gikan sa Imo Daily DNS Hosting Provider:
   • Ibutang ang imo domain registration nga naka-lock sa sulod sang isa ka high-security vault registrar account nga 2 lang ka corporate officers ang maka-access gamit ang FIDO2 hardware security keys (YubiKey), kag i-delegate ang adlaw-adlaw nga pagdumala sang rekord sang DNS (A, CNAME, TXT) sa isa ka separado nga ginadumalahan nga serbisyo sang DNS nga may granular nga Role-Based Access Control (RBAC) kag mga scoped API token.
4. Audit kag Dulaon ang Nagabitay nga Subdomain CNAME kag NS Mga Rekord:
   • Magpadalagan sang bulanan nga automated scan sang imo bug-os nga DNS zone file (subzy, nuclei -t takeovers/, ukon OWASP Amass) sa pagkilala sang bisan ano CNAME, ALIAS, ukon subdomain NS rekord nga nagatudlo sa isa ka wala marehistro nga external cloud resource ukon expired domain, kag panason ang DNS record antes i-decommission ang cloud server.
5. I-set Up ang Automated External RDAP, DNS, kag CT Log Monitoring:
   • I-configure ang isa ka eksternal nga monitor (subong sang CertSpotter, Cloudflare Certificate Transparency Monitoring, ukon isa ka simple nga pag-usisa sang cron script kada oras dig NS kag whois) nga nagapaandam sa isa ka dedikado nga Slack/PagerDuty channel kag isa ka off-domain SMS/email address sa eksakto nga minuto nga ang isa ka bag-o nga sertipiko sang TLS na-log sa Certificate Transparency ukon isa ka NS/MX/DS mga pagbag-o sa rekord.

Masami nga ginapamangkot¶

Gin-usisa ang mga ginhalinan¶

• Cybersecurity and Infrastructure Security Agency (CISA, Estados Unidos): Emergency Directive 19-01: Mitigate DNS Infrastructure Tampering (mga mandato sang CISA sa Registry Lock, MFA para sa DNS/Registrars, Certificate Transparency log auditing, kag DNSSEC validation)cisa.gov/news-events/directives/emergency-directive-19-01).
• Internet Corporation for Assigned Names and Numbers (ICANN, International): Transfer Policy (Inter-Registrar Transfer Policy / IRTP), Transfer Dispute Resolution Policy (TDRP), Expired Registration Recovery Policy (ERRP), kag EPP Codes Reference Status (icann.org/resources/pages/epp-status-codes-2014-06-16-en).
• National Institute of Standards and Technology (NIST, Estados Unidos): Espesyal nga Publikasyon 800-81-2, Secure Domain Name System (DNS) Deployment Guide (csrc.nist.gov).
• National Cyber Security Center (NCSC, United Kingdom): Pag-amlig sang Bulk Personal Data kag Domain Security: Registry Lock, CAA Records, kag Subdomain Takeover Prevention (ncsc.gov.uk).
• CA/Browser Forum (International): Baseline Requirements para sa Pag-isyu kag Pagdumala sang Publicly-Trusted TLS Server Certificates (Section 4.9.1.1: 24-Hour Mandatory Revocation for Domain Compromise) (cabforum.org).
• Internet Engineering Task Force (IETF, International): RFC 4033/4034/4035 (DNSSEC), RFC 8659 (DNS Certification Authority Authorization / CAA Resource Record), kag RFC 9083 (Registration Data Access Protocol / RDAP) (datatracker.ietf.org).

May kaangtanan nga mga giya¶

• Krisis sa pag-host sang web, paglalin, kag pagpanumbalik sang backup
• Pag-phishing kag mga ginkompromiso nga mga account
• MFA phishing kag adversary-in-the-middle bypass
• Pagsabat sa paglapas sang datos kag pagtulo sang password
• Ransomware sa negosyo kag paglapas sa server
• Pagbayluhanay sang SIM