Раббии номи домен, заҳролудшавии DNS ва қулфи сабти ном¶

Аз даст додани назорати номи домени ибтидоии ташкилоти шумо ё минтақаи ваколатдори DNS яке аз харобиовартарин ҳолатҳои фавқулоддаи рақамӣ мебошад, ки тиҷорат, беморхона, агентии мунисипалӣ ё нашрияи онлайн метавонад азият кашад. Азбаски номи домени шумо решаи эътимод барои ҳар як система дар интернет аст, ҳамлагаре, ки ҳисоби бақайдгирии домени шуморо рабудааст ё сабтҳои DNS-и шуморо заҳролуд мекунад, на танҳо вебсайти шуморо вайрон мекунад. Дар давоми чанд дақиқа пас аз тағир додани шумо NS (сервери ном), A/AAAA (Web IP), ё MX (Mail Exchange) сабт мекунад, ҳамлакунанда метавонад бесадо ҳар як почтаи электронии корпоративӣ ва муштариро халалдор кунад, автоматикунонидашудаи Бигзор тасдиқи доменро рамзгузорӣ кунем (DV) тафтиш мекунад, ки шаҳодатномаҳои рамзгузории TLS/SSL-ро ба номи шумо забт кунед, паролҳои ягонаи воридшавӣ (SSO)-и кормандро забт кунед ва паёмҳои электронии аз нав танзимкунии паролро барои инфрасохтори абрӣ, порталҳои бонкӣ ва ҳисобҳои молиявии худ ангезед. Ҳатто як нокомии ғайримуқаррарӣ, ба монанди домени мӯҳлаташ гузашта AutoRenewGracePeriod ё RedemptionPeriod (clientHold), трафики веб, пуштибонии мобилии API ва почтаи электронии ширкатро ба як лаҳза дар саросари ҷаҳон меорад.

Агар рабудани домен ё қатъи DNS масири беморон дар беморхона, иртиботи фаврӣ, телеметрияи коммуналӣ ё системаи фаъоли бехатарии ҳаётро вайрон кунад, ба рақами фавқулоддаи маҳаллии худ занг занед (911 дар Иёлоти Муттаҳида ва Канада, 112 дар саросари Иттиҳоди Аврупо, 999 дар Британияи Кабир) ё ба феҳристи байналмилалии мо муроҷиат кунед рақамҳои фавқулодда ва ба дастаи миллии вокуниш ба ҳодисаҳои киберӣ хабар диҳед (масалан, CISA дар Иёлоти Муттаҳида 1-844-SAY-CISA ё NCSC дар Британияи Кабир) фавран. Барои ҳама бӯҳронҳои тиҷоратӣ, ғайритиҷоратӣ ва домени шахсӣ, қадамҳои триажро дар зер бо тартиби дақиқ иҷро кунед.

Ҳоло ин корро кунед¶

1. Дар 30 сония муайян кунед, ки оё мӯҳлати домени шумо ба охир расидааст, сабтҳои DNS-и шумо тағир ёфтаанд ё домен ба сабти номгари хориҷӣ интиқол дода шудааст: Кори мустақимро иҷро кунед RDAP ё WHOIS дархост ва дархости бонуфузи DNS аз терминал (rdap yourdomain.com ё whois yourdomain.com, ва dig +trace yourdomain.com). Номи бақайдгиранда, Рамзҳои ҳолати EPP**-ро тафтиш кунед (масалан clientHold барои ҳисоб кардан/тасдиқ vs. ok бо серверҳои номҳои ношинос) ва серверҳои ваколатдори номҳо (NS).
2. ** Ҳама аз нав танзимкунии пароли хориҷиро ях кунед ва провайдери шахсияти худро (Okta, Microsoft Entra ID, Google Workspace) фавран маҳкам кунед**: Агар ҳамлакунанда домени шуморо назорат кунад MX сабтҳо ё NS серверҳо, онҳо ҳар як почтаи электронии ба он фиристодашударо мегиранд *@yourdomain.com. Дарҳол ба маъмурони IT дастур диҳед, ки барқарорсозии худхизматрасонии "Паролро тавассути почтаи электронӣ фаромӯш кардам" -ро дар тамоми абзорҳои корпоративӣ ғайрифаъол созанд, сеансҳои фаъолро барои корбароне, ки суроғаҳои почтаи электронии онҳо метавонанд барои аз нав барқарор кардани ҳисобҳои фурӯшандаи беруна истифода шаванд ва воридоти маъмуриро ба калидҳои амниятии сахтафзори FIDO2 ё дохилӣ иваз кунанд. .onmicrosoft.com доменҳои бозгашт.
3. Нигоҳ доштани аксҳои пурраи криминалистии RDAP/WHOIS, минтақаҳои DNS ва шаффофияти сертификатҳо (CT) сабтҳо пеш аз тағир додани чизе: Натиҷаи онро захира кунед dig ANY yourdomain.com @8.8.8.8, whois yourdomain.com, ва тафтиш crt.sh/?q=%25.yourdomain.com фавран. Ҷустуҷӯ crt.sh ҳар як шаҳодатномаи беиҷозати SSL/TLS-ро ошкор мекунад, ки ҳамлакунанда танҳо барои зердоменҳои шумо сохтааст (mail., vpn., login., api.) бинобар ин шумо аниқ медонед, ки кадом хидматҳои дохилии онҳо тавассути прокси-сервисҳои Adversary-in-the-Middle (AitM) фаъоланд.
4. Тамос бо Бақайдгирандаи гумшуда дар ҳолатҳои фавқулодда / Амалиётҳои амниятӣ (на дастгирии чат дар сатҳи 1) барои оғоз кардани баҳси интиқоли беиҷозати ICANN (IRTP) ё Бозгашти Қулфи Реестр: Агар домени шумо ба ҳисоби дигар дар ҳамон бақайдгиранда интиқол дода шуда бошад ё тавассути ҳисоби дуздидашуда интиқол дода шуда бошад. Auth-Info (EPP) ба бақайдгирандаи хориҷӣ рамз гузоред, бо бақайдгирандаи аслии худ дар бораи Сӯиистифода аз домен / Мизи баланд бардоштани хавфи амниятӣ тамос гиред ва фавран Баҳс аз Бақайдгиранда Бекор кардан/Интиқоли Фавқулода дар доираи Сиёсати интиқоли ICANN (Section I.A ва Transfer Dispute Resolution Policy), бо истинод ба созиши беиҷозати эътимоднома.
5. Агар бақайдгиранда ҷавоб надиҳад, мустақиман ба Оператори Реестри Домени Сатҳи боло (TLD) гузаред: зинанизомиро дар хотир доред: Бақайдгирандагон (ба мисли GoDaddy, Namecheap, Cloudflare, MarkMonitor, Network Solutions, Gandi, Porkbun) фурӯшандагони чакана мебошанд; Оператори Реестр (ба монанди Verisign барои .com/.net, Феҳристи манфиатҳои ҷамъиятӣ (PIR) барои .org, Номзад барои .uk, ЦИРА барои .ca, ДЕНИК барои .de, ё ауДА барои .au) базаи асосии минтақаи решаро иҷро мекунад. Рамзи кишвар (ccTLD) реестрҳо ва якчанд реестрҳои gTLD метавонанд ҳолати фавқулоддаро ҷойгир кунанд serverHold ё serverUpdateProhibited ҳангоми ҳодисаҳои тасдиқшудаи киберҷиноят бевосита дар сатҳи реша қулф кунед.
6. ** Мизоҷон, фурӯшандагон ва шарикони бонкиро тавассути каналҳои берун аз банд огоҳ кунед @yourdomain.com почтаи электронӣ осеб дидааст**: Агар ҳамлакунанда шуморо рабудааст MX сабтҳо, онҳо фавран ба кушодани риштаҳои ҳисобдорӣ бо дастурҳои интиқоли пулҳои қалбакӣ ҷавоб медиҳанд. Мизоҷонро тавассути телефон, SMS, LinkedIn, саҳифаи вазъ дар домени алоҳидаи эҳтиётӣ ё ҳисобҳои расмии васоити ахбори иҷтимоӣ огоҳ кунед, то то тасдиқи барқарорсозӣ ба ягон почтаи электронӣ ё портали воридшавӣ дар домени зарардида бовар накунанд.

Дарахти қарор: ташхис ва доштани домен ё қатъи DNS¶

Барои муайян кардани қабати дақиқи системаи номи домен, ки ноком ё дуздида шудааст, ин ҷадвали зуд ташхисро пайгирӣ кунед:

flowchart TD
    A["Вебсайт поён, Огоҳии сертификати TLS ё почтаи электронии корпоративӣ қатъ карда шудааст"] --> B["RDAP/WHOIS-ро иҷро кунед ва аз Шабакаи беруна пайгирӣ кунед"]
    B --> C{"Статус ва Майдонҳои бақайдгирандаи RDAP чиро нишон медиҳанд?"}
    C -->|"Ҳолати: муштарӣHold, AutoRenewPeriod, ё RedemptionPeriod"| D["Ба охир расидани мӯҳлати тасодуфӣ ё боздоштани санҷиши ICANN Whois"]
    D --> E["Дарҳол ба бақайдгиранда ворид шавед: Пардохти таҷдид / бозхаридро пардохт кунед ё истиноди тасдиқи RAA-ро клик кунед; Дархости фавқулоддаи TTL Flush"]
    C -->|"Номи бақайдгиранда ё ҳисоби бақайдгиранда бидуни иҷозат иваз карда шудааст"| F["Раббии пурраи ҳисоби бақайдгиранда ё интиқоли беиҷозати EPP"]
    F --> G["Таъминкунандаи шахсияти қулф (Entra/Google), чиптаи сӯиистифодаи бақайдгиранда дар ҳолати изтирории файл + баҳси интиқоли ICANN, crt.sh-ро барои Certs Rogue тафтиш кунед"]
    C -->|"Бақайдгиранда ва NS бетағйир мондаанд, аммо сабтҳои A / CNAME / MX ба IP-ҳои номаълум ишора мекунанд"| H["Мушкилоти провайдери идорашавандаи DNS (Калиди Cloudflare / Route53 / NS1 API ё вайрон кардани ҳисоб)"]
    H --> I["Токенҳои вайроншудаи DNS API-ро лағв кунед, файли минтақаи хубро барқарор кунед, шаҳодатномаҳои фиребхӯрдаи TLS-ро бозхонд кунед, эътимодномаҳои ошкоршударо иваз кунед"]
    C -->|"Бақайдгиранда, NS ва сабтҳои минтақавӣ муқаррарӣ ба назар мерасанд, аммо сайт бо SERVFAIL кор намекунад"| J["Занҷири эътимоди шикастаи DNSSEC (Новобастагии сабти DS ё RRSIG гузаштааст)"]
    J --> K["Санҷиши DNSViz.net -ро иҷро кунед: Сабти кӯҳнаи DS-ро дар Бақайдгиранда нест кунед ё Минтақаи аз нав имзо дар DNS Host"]

Марҳилаи 1: Криминалистии техникӣ барои муайян кардани вектори дақиқи ҳамла¶

Вақте ки домен ногаҳон ҳалли худро қатъ мекунад ё ба хидматрасонии саҳифаи фишинг ё қаллобии криптовалютӣ шурӯъ мекунад, ҳар як дақиқае, ки барои тахмин кардан сарф мешавад, вақти гаронбаҳои барқароркуниро барбод медиҳад. Чор сенарияи комилан фарқкунанда мавҷуданд, ки ба корбари ниҳоӣ дар браузери веб якхелаанд ва ҳар як ислоҳи комилан дигарро талаб мекунад.

Чӣ тавр хондан RDAP, WHOIS, ва dig Натиҷаҳо ба монанди посухдиҳандаи ҳодиса¶

Терминали фармонро дар Linux, macOS ё Windows кушоед (бо истифода аз WSL ё nslookup) ва се санҷиши ташхиси зеринро бо истифода аз рекурсивии ҷамъиятии бетараф (8.8.8.8 ё 1.1.1.1):

1. ** Намояндагии сатҳи реестрро тафтиш кунед (dig +trace ва RDAP)**:

   dig +trace yourdomain.com NS @1.1.1.1
   

   • Ба қадами рости пас аз серверҳои решаи TLD нигаред (масалан, a.gtld-servers.net. барои .com). Кадом NS Номҳои мизбон (Номсервер) аз ҷониби худи Реестри TLD баргардонида мешаванд?
   • Агар Реестри TLD номи серверҳои муқаррарии шуморо баргардонад (ns1.yourdnsprovider.com) бо статус NOERROR, дуздӣ дар дохили провайдери хостинги DNS-и шумо рух дода истодааст (ё ин шикасти DNSSEC аст).
   • Агар Феҳристи TLD серверҳои номҳои комилан ношиносро баргардонад (ё агар whois yourdomain.com нав нишон медихад Registrar: ном ва а Updated Date: дар давоми чанд соат ё рӯзҳои охир), дуздӣ дар сатҳи Бақайдгирандаи домен рух дод.
2. ** Рамзҳои ҳолати домени ICANN EPP-ро декод кунед**: Ба Domain Status: сатрҳо дар шумо WHOIS ё RDAP баромад. Ин рамзҳои стандартишудаи Протоколи васеъшавандаи таъминот (EPP) ба шумо мегӯянд, ки чаро домен ноком ё қулф шудааст:

Марҳилаи 2: Барқароршавӣ аз дуздии домени шубҳанок ё интиқоли беиҷозат аз бақайдгиранда¶

Ҳамлагарон бо истифода аз се усули асосӣ доменҳои корпоративӣ, Web3/DeFi, молиявӣ ва медиаро ғорат мекунанд: 1. Интиқоли ҳисоби бақайдгиранда (Пур кардани маълумот, нармафзори зараровар ё ивази SIM): Ҳамлагар ба панели GoDaddy, Namecheap, Google Domains/Squarespace ё Network Solutions ворид мешавад, хомӯш мешавад clientTransferProhibited, тағир медиҳад NS сабтҳо барои ишора ба ҳисоби Cloudflare аз ҷониби ҳамлакунанда идорашаванда, ё тавлид Auth-Info (EPP) рамзи интиқоли домен. 2. ** Муҳандисии иҷтимоии Дастгирии Бақайдгиранда**: Ҳамлагар ба мизи барқарорсозии ҳисоби бақайдгиранда ҳуҷҷатҳои қалбакии таъсисӣ, шаҳодатномаҳои қалбакии давлатӣ ё бланкаҳои қалбакиро пешниҳод мекунад, ки маъмури аслии IT фавтидааст ё ширкатро тарк кардааст. 3. ** Гирифтани субдомен (Dangling CNAME / Dangling NS)**: Домени асосии шумо дастнорас аст, аммо зердомени кӯҳна (promo.yourdomain.com ё status.yourdomain.com) хануз хам дорад CNAME сабте, ки ба сатили аз кор андохташуда AWS S3, App Service Azure, репо GitHub Pages, барномаи Heroku ё мисоли Zendesk, ки шумо моҳҳо пеш нест кардаед, ишора мекунад. Ҳамлагар, ки номи манбаи абрии партофташударо дар AWS/Azure/GitHub сабт мекунад ва фавран мундариҷаи зарароварро аз зердомени расмии шумо хидмат мерасонад.

Қадами 1: Ҳамлагарро аз провайдери шахсияти абрӣ ва системаи почтаи электронии худ хориҷ кунед¶

Пеш аз он ки шумо ҳатто пур кардани варақаи барқарорсозии бақайдгирандаро анҷом диҳед, фарз кунед, ки ҳамлакунанда ҳар як мактуби ба домени шумо фиристодашударо фаъолона мехонад ва кӯшиш мекунад, ки ба инфрасохтори абрии дохилии шумо ворид шавад:

1. Тағйир додани Microsoft 365 / Google Workspace ба доменҳои бозгашт ва MFA сахтафзор:
   • Дар Microsoft Entra ID (қаблан Azure AD), ҳар як иҷорагир дорои домени бозгашти доимӣ ва ғоратнашаванда мебошад (yourcompany.onmicrosoft.com). Администраторҳо метавонанд тавассути система ворид шаванд admin@yourcompany.onmicrosoft.com ҳатто агар yourdomain.com DNS комилан дуздида шудааст.
   • Ҳама усулҳои барқароркунии пароли SMS, занги овозӣ ва алтернативии почтаи электрониро дар Entra ID / Okta / Google Workspace хомӯш кунед (Authentication Methods Policy). Калидҳои амнияти сахтафзори FIDO2/WebAuthn ё огоҳиномаҳои Authenticator ба рақами мувофиқро талаб кунед.
2. **Равзанаи дақиқи созишро тафтиш кунед.
   • Агар шумо MX сабтҳо дар соати 02:14 UTC тағир ёфтанд, аз соати 02:14 UTC ба серверҳои почтаи воқеии шумо мактубҳои ғайриқонунии беруна сифр расидаанд; ҳар як паёми электронии беруние, ки ба кормандони шумо дар давоми ин равзана фиристода шудааст, аз ҷониби сервери почтаи қаллобии ҳамлагар (шунаванда Postfix/Exim) дар шакли матни пурра гирифта шудааст.
   • Фавран рӯйхати ҳар як платформаи SaaS-и тарафи сеюм, бонк, ҳисоби решаи AWS/GCP, ташкилоти GitHub ва портали фурӯшандаро кашед. @yourdomain.com суроғаҳои почтаи электронӣ ва санҷед, ки оё ҳамлакунанда ҳангоми тирезаи дуздӣ паролро дар он платформаҳои беруна барқарор кардааст.

Қадами 2: Протоколи барқарорсозии ҳолати фавқулоддаи бақайдгиранда ва реестрро иҷро кунед¶

Чати дастгирии умумии "Вебсайти ман кор намекунад" -ро кушоед. Шумо бояд истилоҳоти дақиқи танзимкунанда ва ҳуқуқиро истифода баред, ки боиси афзоиши Бақайдгирандаи Сатҳи 3 Амният / Мушовири умумӣ / Дастаи мутобиқати ICANN мегардад:

1. ** Ҳолати A: Домен то ҳол дар Бақайдгирандаи аслии шумо қарор дорад (Интиқоли ҳисоб ё "Пушти ҳисоб")**:
   • Бисёре аз ҳамлагарон барои интиқоли байниқайдгирандаи EPP 5 рӯз интизор намешаванд; ба ҷои ин, онҳо хусусияти фаврии "Доменро ба ҳисоби дигар тела додан"-и бақайдгирандаро истифода мебаранд, то домени худро ба ҳисоби сӯзишворӣ дар ҳамон бақайдгиранда дар 3 сония гузаронанд.
   • Дарҳол ба шӯъбаи Қаллобӣ / Ғазви ҳисоб / сӯиистифода бақайдгиранда занг занед ва почтаи электронӣ фиристед. Ба таври возеҳ изҳор кунед: "Ҳодисаи таъҷилии амниятӣ: Дастрасии беиҷозат ба ҳисоб ва Push домени дохилӣ / DNS тағир додани [yourdomain.com]. Дархости яхкунии фаврии домен дар зери serverHold/clientUpdateProhibited ва баргардонидани тағироти беиҷозат DNS/Ҳисоб."
   • Дарҳол бастаи исботи моликияти таърихии худро ҷамъ кунед: Гурӯҳҳои амниятии бақайдгиранда далели раднашавандаро талаб мекунанд, ки шумо бақайдгирандаи қонунии қаблӣ ҳастед, пеш аз он ки онҳо доменро аз ҳисоби дигар бозпас гиранд. Ин 5 ҳуҷҷатро фавран дар як PDF ҷамъ кунед:
     1. ** Ҳисобнома-фактураҳои бақайдгирандаи таърихӣ ва далелҳои пардохт**: квитансияҳои PDF ва ҳисоботи корти кредитӣ/бонкӣ, ки нишон медиҳанд, ки ташкилоти шумо барои бақайдгирӣ ва тамдиди ҳуҷҷат пардохт мекунад. yourdomain.com дар давоми 1 то 10 соли охир (аз ҷумла 4 рақами охирини корти пардохт ё маълумотнома).
     2. ** Бақайдгирии корпоративии аз ҷониби ҳукумат додашуда ва ID корманд**: Шаҳодатномаи расмии таъсис / Мақолаҳои созмон, ки ба WHOIS таърихии мувофиқат мекунанд Registrant Organization, плюс шаҳодатномаи давлатии акси корманди корпоративӣ, ки тасдиқномаро имзо мекунад.
     3. Исботи файли таърихии минтақаи DNS ва моликияти сервер: Нусхаҳои файли минтақаи DNS қаблии шумо, аксҳои таърихии WHOIS ё далели он, ки ташкилоти шумо соҳиби системаи автономӣ аст (ASN) ё блокҳои IP (A сабтҳо), ки домен солҳои пеш аз тағирёбии имрӯза ба он ишора кардааст.
     4. Имейли аслии эҷоди ҳисоб / Таърихи чипта: Сарлавҳаҳои мактубҳои почтаи электронӣ аз бақайдгиранда дар вақти ба қайд гирифташуда ё тамдид кардани домен гирифта шудаанд.
     5. Рақами гузориши расмии мақомоти ҳифзи ҳуқуқ: A пешниҳод шудааст FBI IC3 (ic3.gov) рақами шикоят (Иёлоти Муттаҳида), Рақами истинод ба қаллобӣ (Подшоҳии Муттаҳида) ё рақами гузориш оид ба ҷиноятҳои киберҷинояткории полис. Бақайдгирандагон ҳангоми додани рақами расмии парванда, ки ҳамлаи ҷиноии компютерро дар синни 18-солагӣ тасдиқ мекунанд, тезтар амал мекунанд. § 1030 (CFAA) ё Санади суиистифодаи компютер дар Британияи Кабир 1990.
2. ** Ҳолати B: Домен ба бақайдгирандаи дигар интиқол дода шуд (таърихи байниқайдгиранда)**:
   • Тибқи ** Сиёсати интиқоли ICANN (собиқ IRTP)**, интиқоли байниқайдгиранда талаб мекунад Auth-Info (EPP) код дорад ва бояд дар давоми 60 рӯз пас аз тағйироти муайяни бақайдгиранда баста шавад, агар рад карда нашавад. Агар ҳамлакунанда ҳисоби шуморо дар **Бақайдгирандаи А ("Бақайдгирандаи гумшуда") рахна карда, доменро ба Бақайдгирандаи В ("Бақайдгирандаи Гирифта") интиқол диҳад:
   • Ҳам бо Бақайдгирандаи гумшуда ва ҳам ба Бақайдгирандаи Гирифташуда фавран тамос гиред, аммо ба Баҳси интиқоли Бақайдгиранда / Дастаи Амниятро афзалият диҳед. Тибқи Сиёсати ҳалли баҳсҳои интиқоли (TDRP) ICANN, Бақайдгирандаи гумшуда муассисаест, ки дорои сабтҳои таърихии ҳисобдорӣ ва сабтҳои воридшавии шумо мебошад, ки тасдиқи беиҷозат будани интиқолро дорад. Бақайдгирандаи гумшуда метавонад ба таври расмӣ бо корманди мутобиқати Бақайдгиранда барои иҷрои кооперативи Интиқоли Бақайдгиранда Бекор кардан тамос гирад ё парвандаи расмии TDRP-ро пешниҳод кунад.
   • Ҳамзамон бастаи тасдиқкунандаи моликияти худ ва гузориши полисро ба Гаining Registrar Desk Desk фиристед, то онҳо талаб кунанд, ки фаврӣ хабар диҳанд. clientTransferProhibited ва clientUpdateProhibited доменро қулф кунед, то ҳамлакунанда наметавонад доменро тавассути занҷири се бақайдгирандаи дигари оффшорӣ гузарад ("бақайдгирии сабти ном").
3. Бо ICANN авҷ гирифтани ҳолати фавқулодда (барои gTLDs ба монанди .com, .net, .org, .io агар gTLD) ё Феҳристи ccTLD:
   • Агар бақайдгиранда тафтиши интиқоли беиҷозатро рад кунад ё ҳангоми дуздии фаъол посух надиҳад, тавассути портали ICANN мувофиқати шартнома (icann.org/compliance/complaint).
   • Агар домени шумо домени Коди кишварро истифода барад (ccTLD), монанди .uk, .ca, .au, .de, .fr, .nl, .ch, ё .jp, шумо имконияти боз ҳам тезтар доред: феҳристҳои ccTLD аз ҷониби мақомоти назорати миллӣ идора карда мешаванд, на ICANN ва қариб ҳамеша мустақиман Гурӯҳҳои Амнияти Фавқулодаи Реестр (масалан, Nominet дар Британияи Кабир дар 0330 236 9470, CIRA дар Канада, DENIC дар Олмон, AFNIC дар Фаронса), ки метавонад домени рабудашударо мустақиман дар сатҳи феҳристи миллӣ дар тӯли чанд соат пас аз тасдиқи шахсияти корпоративӣ ях кунад.

Марҳилаи 3: Наҷот додани домени мӯҳлаташ гузашта (clientHold, RedemptionPeriod, ва PendingDelete)¶

Ҳар як қатъи ногаҳонии ҷаҳонӣ як ҳамлаи киберӣ нест. Ҳар рӯз, ширкатҳои бузург, стартапҳои SaaS ва пудратчиёни давлатӣ комилан торик мешаванд, зеро мӯҳлати корти кредитӣ дар бақайдгирии домени онҳо ба итмом расид ва мактубҳои ёдраскунии навсозӣ ба онҳо фиристода шуданд. former-founder@company.com ки се сол пеш аз ин фирма рафта буд.

Фаҳмидани ҷадвали мӯҳлати умри домени ICANN¶

Барои доменҳои умумӣ дар сатҳи боло (.com, .net, .org, .biz, .info), Сиёсати барқарорсозии бақайдгирии мӯҳлати ICANN (ERRP) як давраи қатъии чандмарҳиларо пас аз гузаштани мӯҳлат татбиқ мекунад:

1. Марҳилаи 1: Давраи ба таври худкор нав кардани имтиёз (Рӯзҳои 1 то ~30/45 пас аз ба охир расидани мӯҳлат):
   • Дарҳол пас аз гузаштани мӯҳлат (аксар вақт дар давоми 24 то 72 соат), бақайдгиранда доменро иваз мекунад. NS ба Саҳифаи таҷдиди таваққуфшуда/мӯҳлаташ гузашта сабт мекунад ё доменро дар ** ҷойгир мекунадclientHold**.
   • Таъсир: Вебсайти шумо ва почтаи корпоративии шумо фавран кор намекунад (DNS_PROBE_FINISHED_NXDOMAIN ё рекламаи таваққуфгоҳ).
   • Барқароркунӣ: Ба ҳисоби бақайдгиранда ворид шавед ва ҳаққи таҷдиди стандартии 1-соларо пардохт кунед ($10 то 30 доллари ИМА). Бақайдгиранда фавран нусхаи аслии шуморо барқарор мекунад NS сабтҳо.
2. Марҳилаи 2: Давраи имтиёзнок (redemptionPeriod, Давомнокии 30 рӯз):
   • Агар ҳеҷ кас доменро дар марҳилаи 1 нав накунад (одатан пас аз рӯзи 30 то 42 вобаста ба Шартҳои хидматрасонии бақайдгиранда), бақайдгиранда доменро дар Реестр нест мекунад ва Реестр онро ба мӯҳлати ҳатмӣ 30 рӯз мегузорад redemptionPeriod (агар бақайдгиранда домени мӯҳлаташ гузаштаро тавассути платформаи музоядаи дохилии домении мӯҳлаташ гузашта ба мисли GoDaddy Auctions ё NameJet музояда накунад, фавран қатъшавии музояда дар рӯзи 30-уми бақайдгирандаи худро тафтиш кунед).
   • Барқароркунӣ: Шумо ба ҳар ҳол метавонед доменро бо 100 фоиз боварӣ наҷот диҳед redemptionPeriod, танҳо тавассути бақайдгирии аслии гумшуда. Шумо бояд бо хадамоти биллинг/дастгирии онҳо тамос гиред ва ** Пардохти барқарорсозии реестрро** (одатан аз 80 то 250 доллари ИМА) бо иловаи таҷдиди 1-сола пардохт кунед.
3. ** Марҳилаи 3: Дар интизории нест кардан (pendingDelete, 5 рӯзи тақвимии ниҳоӣ)**:
   • Як маротиба дар 30 рӯз redemptionPeriod ба охир мерасад, домен ворид мешавад pendingDelete дақиқан 5 рӯз (120 соат).
   • Таъсир: Дар давоми pendingDelete, Феҳрист ҳама EPP-и стандартиро рад мекунад restore фармонҳои бақайдгиранда. Дар охири рӯзи 5 (барои .com/.net Verisign аз соати 18:00 то 19:15 UTC фурӯхта мешавад), домен ба омма бароварда мешавад ва дар тӯли 10 миллисония тавассути шабакаҳои автоматии сайди қатра рабуда мешавад.
   • Амали фавқулодда, агар дастгир карда шавад pendingDelete ё Бақайдгирандаи музояда гузаштааст:
     • Агар домен тавассути бақайдгиранда фурӯхта шуда бошад - то 30-уми музояда пеш аз ворид шудан ба Реестр redemptionPeriod, санҷед, ки бақайдгирандаи шумо равзанаи кӯтоҳи пас аз музоядаро пешниҳод мекунад ё фавран бо довталаб/брокери ғолиб тамос гиред.
     • Агар домен дар ҳақиқат дар Феҳристи 5-рӯза бошад pendingDelete марҳила, ҳамзамон ҷойгир кардани фармоишҳои сатҳи баланд дар ҳар се шабакаи асосии тарканда (DropCatch.com, SnapNames.com, ва NameJet.com)** ба тавре ки агар домен дар рӯзи 5 ба ҳавзи ҷамъиятӣ афтад, фармоиши шумо онро сабт мекунад ё шуморо ба музоядаи пӯшидаи тендер барои харидани домени шумо бармегардонад.

Чаро вебсайти ман то ҳол чанд соат пас аз нав кардани домени мӯҳлаташ гузашта ноком мешавад? (Ислоҳ кардани кэши манфии DNS)¶

Вақте ки мӯҳлати домени шумо ба охир мерасад, бақайдгиранда домени шуморо иваз мекунад NS сабтҳо бо номи серверҳои таваққуфгоҳи муваққатӣ, ки аксар вақт 24-соата то 48-соатаи TTL (Time-to-Live) доранд (86400 ё 172800 сония). Ҳатто пас аз пардохт кардани ҳисоби навсозӣ ва бақайдгирии шумо воқеии шуморо барқарор мекунад NS сабтҳоро дар минтақаи решавӣ дар давоми 5 дақиқа, ҳалкунандаҳои оммавии рекурсивии DNS дар саросари ҷаҳон (Google 8.8.8.8, Cloudflare 1.1.1.1, Чоргонаи 9 9.9.9.9, ва ҳалкунандаҳои ISP) метавонанд хидмати саҳифаи таваққуфгоҳи мӯҳлаташ гузаштаро то ба охир расидани мӯҳлати TTL 48 соат идома диҳанд.

Чӣ гуна бояд дар 60 сония шустушӯи фаврии глобалии DNS-ро маҷбур кард: 48 соат интизор нашавед, ки кэшҳои рекурсивӣ ба таври табиӣ тамом шаванд. Айни замон бо истифода аз порталҳои бепули веб-тозакунии кэш домени худро аз се провайдери умумиҷаҳонии DNS ба таври дастӣ тоза кунед: 1. ** DNS-и ҷамъиятии Google-ро тоза кунед (8.8.8.8 / 8.8.4.4): Боздид developers.google.com/speed/public-dns/cache, навъи yourdomain.com, навъи сабтро интихоб кунед NS (ва сипас барои ** такрор кунедA, AAAA, MX, ва DS) ва Кэшро тоза кардан-ро клик кунед. Ин домени шуморо дар ҳар як маркази маълумоти Google DNS дар саросари ҷаҳон дар муддати камтар аз 10 сония тоза мекунад. 2. ** Cloudflare ҷамъиятии DNS-ро тоза кунед (1.1.1.1 / 1.0.0.1): Боздид one.one.one.one/purge-cache/, ворид кунед yourdomain.com, интихоб кунед NS, A, AAAA, ва MX, ва Кэшро тоза кардан-ро клик кунед. 3. ** OpenDNS / Cisco Umbrella-ро тоза кунед (208.67.222.222): Боздид cachecheck.opendns.com, ворид кунед yourdomain.com, натиҷаҳоро дар гиреҳҳои глобалӣ тафтиш кунед ва Таҷдиди кэш-ро дар поёни ҷадвал клик кунед.

Марҳилаи 4: Ислоҳи вайроншудаи DNSSEC (SERVFAIL) баъди муњољират ё рабуда шудан¶

Васеъсозии системаи амниятии номи домен (DNSSEC) сабтҳои DNS-и шуморо ба таври криптографӣ имзо мекунад (RRSIG сабтҳо, ки бо калиди имзои минтақа имзо шудаанд ZSK ва Калиди имзои калид KSK) ва интишори мувофиқи Delegation Signer (DS) хэш дар минтақаи TLD-и волидайн дар бақайдгирии шумо.

Дар ҳоле ки DNSSEC заҳролудшавии кэшро пешгирӣ мекунад, ** конфигуратсияи вайроншудаи DNSSEC боиси қатъи фаврии глобалӣ мегардад (SERVFAIL) дар ҳар як ҳалкунандаи тасдиқкунанда (аз ҷумла 8.8.8.8, 1.1.1.1, Comcast ва ширкатҳои асосии мобилӣ)**. Ин аксар вақт ҳангоми муҳоҷирати фавқулодда рух медиҳад: маъмур ҳаракат мекунад yourdomain.comсерверҳои номбаршуда аз Cloudflare то AWS Route 53 (ё баръакс) бе нест кардани провайдери кӯҳна DS дар бақайдгирии домен сабт кунед.

Ташхис ва таъмири DNSSEC SERVFAIL Қулф дар 5 дақиқа¶

1. Тасдиқ кунед, ки DNSSEC гунаҳкор аст: Ду давед dig фармонҳо ба қафо: як дархости муқаррарӣ ва як дархост бо +cd (Тафтиши ғайрифаъол) парчам, ки ба ҳалли рекурсивӣ мегӯяд, ки тасдиқи криптографии DNSSEC-ро нодида гирад:

   dig yourdomain.com @8.8.8.8
   dig yourdomain.com @8.8.8.8 +cd
   

   • Агар фармони аввал бо ** ноком шавадstatus: SERVFAIL** ва сифр ҷавобҳо, дар ҳоле ки фармони дуюм (+cd) фавран бо ** муваффак мешавад.status: NOERROR** ва шуморо бармегардонад A сабти суроғаи IP, 100 фоизи қатъи шумо занҷири шикасти DNSSEC эътимод аст.
2. Танаффусро бо DNSViz.net ё Verisign DNSSEC Debugger:
   • Кушода dnsviz.net ё dnssec-debugger.verisignlabs.com ва дохил шавед yourdomain.com.
   • Он диаграммаи визуалиеро кашида, нишон медиҳад, ки оё DS сабте, ки дар бақайдгирии шумо нашр шудааст, мувофиқат намекунад DNSKEY аз ҷониби мизбони кунунии DNS-и шумо хидмат мекунад ё оё имзоҳои минтақаи шумо (RRSIG) мухлаташ гузаштааст.
3. ** Бартарафсозии ҳолати фавқулодда**:
   • Агар шумо нав провайдерҳои DNS-ро иваз карда бошед: Ба Бақайдгирандаи домен худ ворид шавед, ба бахши DNSSEC / DS Records гузаред ва кӯҳнаро нест кунед DS сабт (ё онро бо нав иваз кунед DS сабт аз ҷониби мизбони нави DNS-и шумо тавлид шудааст).
   • **-ро шуста кунед DS кэши сабт **: фавран ба Google Public DNS Cache Flush равед (developers.google.com/speed/public-dns/cache) ва Cloudflare Purge Cache (one.one.one.one/purge-cache/) ва тоза кардани DS ва DNSKEY намудҳои сабт барои yourdomain.com то ҳалкунандаҳои тасдиқкунанда тафтиши ҳазфшударо бас мекунанд DS фавран ҳаш кунед.

Марҳилаи 5: Тозакунии пас аз барқарорсозӣ, лағви сертификати TLS ва сахтдилӣ¶

Гирифтани ҳисоби бақайдгирии домени шумо ва сабтҳои DNS зери назорати шумо танҳо нисфи мубориза аст. Дар давоми соатҳо ё рӯзҳое, ки ҳамлагар DNS-и домени шуморо назорат мекард, онҳо барои исботи "Тасдиқи назорати домен" (DCV) ба ҳар як мақоми сертификатсия (CA) дар сайёра.

1. Гузоришҳои шаффофияти шаҳодатномаи аудит (crt.sh) ва бекор кардани шаҳодатномаҳои Rogue TLS¶

Вақте ки ҳамлакунанда ба шумо ишора мекунад A ё NS ба сервери худ сабт мекунад, онҳо фавран кор мекунанд certbot (Биёед Encrypt, ZeroSSL, Google Trust Services ё Sectigo) барои тавлиди сертификатҳои боэътимоди TLS барои браузер yourdomain.com, *.yourdomain.com, vpn.yourdomain.com, ва mail.yourdomain.com. Ҳатто пас аз барқарор кардани сабтҳои DNS-и худ, ҳамлагар то ҳол калиди дурусти Калиди хусусиро (.key) ва имзои Шаҳодатномаи ҷамъиятӣ (.crt) барои домени шумо, ки онҳо метавонанд дар тӯли 90 рӯзи оянда ҳамлаҳои Wi-Fi-и асирӣ, дуздии BGP ё қаллобии шабакаи дохилӣ истифода баранд.

1. Гузоришҳои шаффофияти сертификати дархост:
   • Ба ** раведcrt.sh/?q=%25.yourdomain.com** ё ** Ҷустуҷӯи Сертификати Censys (search.censys.io/certificates)**.
   • Аз рӯи ** мураттаб кунедLogged At / Not Before** ҳар як шаҳодатномаи дар давоми равзанаи дуздӣ додашуда (ва дар давоми 24 соат пас аз барқароршавӣ, бо сабаби иҷозатҳои кэшшудаи DCV) сана ва тафтиш кунед.
2. Маҷбур кардани лағви фаврии шаҳодатнома:
   • Муайян кардани Мақоми сертификатсия (Issuer Name) дар хар як сертификати беичозат.
   • Ҳар як CA-и боэътимоди оммавӣ тибқи Талаботи ибтидоии Форуми CA/Browser (Қисми 4.9.1.1) талаб карда мешавад, ки шаҳодатномаи қаллобӣ ё беиҷозатро дар давоми 24 соат пас аз тасдиқи он, ки довталаб аз ҷониби соҳиби ҳақиқии домен иҷозат дода нашудааст, бозхонд.
   • Агар шумо аллакай назорати DNS-ро аз болои домен дубора ба даст оварда бошед, шумо метавонед сертификатҳои беиҷозати Let's Encrypt ё ACME-ро худатон дар 60 сония бидуни ниёз ба калиди шахсии ҳамлагар бозхонед: танҳо насб кунед certbot дар сервере, ки шумо назорат мекунед, бо истифода аз калиди нави ҳисоби ACME як даъвати нави DNS-01 ё HTTP-01-ро барои ҳамон номи домен гузаронед ва иҷро кунед:

     certbot revoke --cert-path downloaded_rogue_cert_from_crt_sh.pem --reason keycompromise
     

   • Интихобан, рақамҳои силсилавии шаҳодатномаҳоро мустақиман ба портали лағви фаврии CA фиристед (масалан, саҳифаи дастури бозхонди Let's Encrypt, DigiCert's /revoke портал ё шакли гузориши SSL Abuse Sectigo).

2. Домени худро ба таври доимӣ маҳкам кунед, то он ки дигар ҳеҷ гоҳ рабудани он нашавад¶

Пас аз барқарор кардани амалиёт, ин панҷ назорати сахтгирии домени корхонаро амалӣ кунед:

1. ** Қулфи реестрро фаъол созед (serverUpdateProhibited, serverDeleteProhibited, serverTransferProhibited)**:
   • Барои доменҳои истеҳсолии аз ҷиҳати миссия муҳим, ба бақайдгиранда навсозӣ кунед, ки ҳақиқии Lock Registry (аз ҷониби Verisign дастгирӣ карда мешавад) .com/.net, PIR дар .org, ва тавассути бақайдгирандагони корхонаҳо ба монанди MarkMonitor, CSC Digital Brand Services, Cloudflare Enterprise, Porkbun/Gandi/Namecheap Registry Lock сатҳҳо) пешниҳод карда мешаванд. Ҳангоми фаъол кардани қулфи сабти реестр, ҳатто агар ҳакер логини бақайдгиранда ва ВМФ-и шуморо дуздад, Реестри TLD ҳама чизро рад мекунад NS ё интиқол тағир меёбад, агар корманди амнияти инсонӣ маросими криптографӣ/телефониро анҷом надиҳад.
2. ** Нашр кунед CAA (Авторизатсияи мақомоти сертификатсия) Сабтҳои DNS**:
   • Илова а CAA сабт (RFC 8659) ба минтақаи DNS-и худ, ки мақомоти дақиқи сертификатсияро барои додани сертификатҳои TLS барои домени шумо муайян мекунанд (масалан, 0 issue "letsencrypt.org" ё 0 issue "digicert.com", плюс 0 iodef "mailto:security@yourdomain.com"). Дар ҳоле ки ҳамлае, ки тамоми минтақаи DNS-и шуморо назорат мекунад, метавонад як CAA сабт, а CAA сабти дуздии BGP ё ҳадафҳои зери домени CNAME-ро аз истифодаи CA-ҳои беиҷозат бозмедорад.
3. Бақайдгирандаи домени худро аз провайдери хостинги ҳаррӯзаи DNS ҷудо кунед:
   • Бақайдгирии домени худро дар дохили ҳисоби бақайдгирандаи амнонаи баланд нигоҳ доред, ки танҳо 2 афсари корпоративӣ метавонанд бо истифода аз калидҳои амнияти сахтафзори FIDO2 (YubiKey)** дастрасӣ пайдо кунанд ва идоракунии ҳаррӯзаи сабти DNS-ро (A, CNAME, TXT) ба хидмати алоҳидаи идорашавандаи DNS бо назорати гранулӣ дар асоси нақш (RBAC) ва токенҳои фарогири API.
4. ** Аудит ва нест кардани зердомени овезон CNAME ва NS Сабтҳо**:
   • Сканкунии автоматии ҳармоҳаи тамоми файли минтақаи DNS-и худро иҷро кунед (subzy, nuclei -t takeovers/, ё OWASP Amass) барои муайян кардани ягон CNAME, ALIAS, ё зердомен NS сабти ишора ба манбаи абрии берунаи сабтнашуда ё домени мӯҳлаташ гузашта ва сабти DNS-ро пеш аз аз кор андохтани сервери абрро нест кунед.
5. ** Мониторинги худкори берунии RDAP, DNS ва CT-ро насб кунед**:
   • Монитори берунаро танзим кунед (масалан CertSpotter, Cloudflare Мониторинги шаффофияти сертификат, ё санҷиши оддии скрипти крон дар як соат dig NS ва whois) ки канали махсуси Slack/PagerDuty ва суроғаи SMS/почтаи берун аз домениро дар дақиқаи дақиқи ворид шудани сертификати нави TLS дар шаффофияти сертификат огоҳ мекунад. NS/MX/DS тағиротро сабт кунед.

Саволҳои зуд-зуд додашаванда¶

Сарчашмаҳо тафтиш карда шуданд¶

• Агентии амнияти киберамният ва инфрасохтор (CISA, Иёлоти Муттаҳида): Дастрективаи 19-01 оид ба ҳолатҳои фавқулодда: Кам кардани таҷовуз дар инфрасохтори DNS (мандати CISA оид ба қулфи реестр, ВКХ барои DNS/Бақайдгирандагон, аудити гузориши шаффофияти сертификат ва эътибори DNSSEC)cisa.gov/news-events/directives/emergency-directive-19-01).
• Корпоратсияи Интернет барои номҳо ва рақамҳои таъиншуда (ICANN, International): * Сиёсати интиқол (Сиёсати интиқоли байни бақайдгиранда / IRTP), * Сиёсати ҳалли баҳсҳои интиқол (TDRP), * Сиёсати барқарорсозии сабти ном (ERRP)* ва Рамзҳои ҳолати EPPicann.org/resources/pages/epp-status-codes-2014-06-16-en).
• Институти Миллии Стандартҳо ва Технология (NIST, Иёлоти Муттаҳида): Нашри махсуси 800-81-2, * Дастури ҷобаҷогузории системаи номҳои домейн (DNS)* (csrc.nist.gov).
• Маркази миллии амнияти киберӣ (NCSC, Шоҳигарии Муттаҳида): Ҳифзи маълумоти зиёди шахсӣ ва амнияти доменҳо: Қулфи сабт, сабтҳои CAA ва пешгирии азхудкунии зердоменҳо (ncsc.gov.uk).
• Форуми CA/Браузер (Байналмилалӣ): Талаботи асосӣ барои интишор ва идоракунии сертификатҳои сервери аз ҷониби омма боэътимод TLS (Қисмати 4.9.1.1: лағви ҳатмии 24 соат барои созиши домен) (cabforum.org).
• ** Гурӯҳи кории муҳандисии интернет (IETF, байналмилалӣ)**: RFC 4033/4034/4035 (DNSSEC), RFC 8659 (Authorization Authority Certification DNS / Record Resource CAA) ва RFC 9083 (Протоколи дастрасии бақайдгирии маълумот / RDAP) (datatracker.ietf.org).

Дастурҳои алоқаманд¶

• Бӯҳрони хостинги веб, муҳоҷират ва барқарорсозии нусхабардорӣ
• Phishing and compromised accounts
• MFA phishing and adversary-in-the-middle bypass
• Ҷавоб ба вайронкунии маълумот ва ихроҷи парол
• Business ransomware and server breach
• SIM swapping