Üretim Bulut Hesabı (AWS/GCP/Azure) veya Etki Alanı Askıya Alındı: Anında Yükseltme ve Yük Devretme¶

Tüm şirketinizin üretim web sitesi, SaaS uygulaması, API'si ve kurumsal yapısı nedeniyle binlerce PagerDuty uyarısı ve müşteri çağrısına uyanın @yourcompany.com e-posta aynı anda internetten de kaybolmuştur (kod hatası nedeniyle değil, alan adı kayıt siteniz bir e-posta adresi yerleştirdiği için). clientHold birincil alan adınızın askıya alınması veya AWS, Google Cloud (GCP) veya Microsoft Azure'un üretim bulutu kiracınızı askıya alması) varoluşsal bir operasyonel acil durumdur. Kârlı işletmeler her gün, eski bir çalışanın kurumsal kredi kartının süresinin dolması, otomatik kimlik avı önleme botunun S3 klasörüne kullanıcı tarafından yüklenen bir PDF'yi hatalı bir şekilde işaretlemesi, doğrulanmamış bir ICANN WHOIS tescil ettiren e-postasının 15 gün sonra geri dönmesi veya sızdırılmış bir IAM anahtarının, bir bulut sağlayıcının sahtekarlık devre kesicisini tetikleyen yetkisiz kripto madenciliği örneklerini tetiklemesi nedeniyle tamamen kesintiye uğramaktadır.

Askıya alınan etki alanınız veya bulut altyapınız hayati önem taşıyan sağlık hizmeti telemetrisini, acil durum gönderimini veya kamu hizmeti güvenlik sistemlerini destekliyorsa, yerel şirket içi yük devretme işlemlerini derhal etkinleştirin ve kamu güvenliği etkilenirse acil durum hizmetlerini bilgilendirin (Amerika Birleşik Devletleri ve Kanada'da 911'i, Avrupa Birliği genelinde 112'yi, Birleşik Krallık'ta 999'u arayın; tümünü görün) acil numaralar). Paralel teknik ve operasyonel iş krizleri için bkz. iş sürekliliği planı ve felaket kurtarma, ticari fidye yazılımı ve sunucu ihlalive satış noktası (POS) kesintisi ve internet kesintisi.

Bunu şimdi yap¶

1. 10 saniyelik bir koşu yapın whois ve dig +trace Etki Alanı Adınızın (clientHold) veya Bulut Barındırma Hesabınız (AWS/GCP/Azure) aslında bozuldu. Etki alanı kayıt şirketi ad sunucularınızı ele geçirdiğinde asla Kubernetes kümelerinde veya bulut yük dengeleyicilerinde hata ayıklamak için 45 dakikanızı boşa harcamayın. Koşmak whois yourdomain.com | grep -i "status": eğer görürseniz clientHold, serverHold, redemptionPeriod veya ad sunucuları olarak değiştirildi sedoparking.com / verification-hold.suspended-domain.com, bulut sunucularınız hâlâ sorunsuz çalışıyor ve Alan Adı Kayıt Şirketi düzeyinde kesinti yüzde 100.
2. Acil olay iletişiminizi birincil hattınızdan kapatın @yourcompany.com hemen e-posta gönderin. Birincil alan adınız askıya alındığında veya clientHold, tüm gelen MX e-postaları @yourcompany.com parola sıfırlama e-postaları, 2FA doğrulama kodları ve alan adı kayıt sitenizden ve AWS Trust & Safety'den gelen yanıt bildirimleri dahil olmak üzere geri dönen iletiler. Kayıt kuruluşunuzun veya bulut kök hesabınızın bir ağa bağlı olup olmadığını hemen kontrol edin. @yourcompany.com e-posta adresi; eğer öyleyse, bant dışı bir bağlantı sağlayın @gmail.com veya her destek bildiriminde ve telefon görüşmesinde ikincil alan adı adresi.
3. Alan adınız açıksa clientHold doğrulanmamış bir ICANN WHOIS e-postası (15 Gün Kuralı) nedeniyle, doğrulama bağlantısını tıklayın veya kayıt şirketi portalında Kaydeden E-postasını değiştirin. ICANN 2013 Kayıt Kuruluşu Akreditasyon Anlaşması (RAA) Whois Doğruluk Spesifikasyonu uyarınca, Alan Adı Sahibinin iletişim e-postası alan adı satın alma, aktarma veya iletişim güncellemesi sonrasında 15 takvim günü içinde bir doğrulama bağlantısına tıklamazsa, kayıt şirketi yasal olarak alan adını şu adrese yerleştirmek zorunda kalır: clientHold (DNS'yi park etme). Bu tek e-posta bağlantısını yeniden göndermek ve tıklamak, clientHold 15 ila 60 dakika içinde.
4. Alan adınız kimlik avı, kötü amaçlı yazılım veya ticari markanın kötüye kullanıldığı iddiası nedeniyle "Kötüye Kullanım / Güven ve Güvenlik" tarafından askıya alındıysa, yalnızca genel kötüye kullanım bildirim kuyruğuna yanıt VERMEYİN. GoDaddy, Namecheap, Tucows/Enom, Cloudflare ve Ağ Çözümlerindeki standart e-posta kuyrukları 24 ila 72 saat sürer. Derhal: (a) şikayette belirtilen rahatsız edici URL'yi/kullanıcı yüklemesini kaldırın veya izole edin, (b) kayıt kuruluşunun canlı telefon/sohbet kötüye kullanım masası aracılığıyla Kötüye Kullanıma Karşı Çözüm Kanıtı + Yanlış Olumlu Bildirim'i gönderin ve © derhal bir İkincil Ayna Etki Alanı () başlatın.yourcompany.co veya yourcompany-app.com) böylece müşteriler ve API istemcileri, DNS yayılırken çalışmaya devam edebilir.
5. AWS, GCP veya Azure, üretim bulut hesabınızı Faturalandırma Arızası nedeniyle askıya aldıysa, vadesi geçmiş bakiyeyi ikincil bir banka kartı VEYA banka havalesi/ACH ile ödeyin ve Kök Düzeyde Faturalandırma Yeniden Etkinleştirme Bileti açın. Yepyeni bir AWS/GCP hesabı açmayın ve kullanılamayan üretim veritabanlarını sıfırdan taşımaya çalışmayın: askıya alınan bulut hesapları, EBS birimlerinizin, RDS veritabanlarınızın ve S3 paketlerinizin yüzde 100'ünü 30 ila 30 gün boyunca donmuş durumda tutar. Kalıcı olarak silinmeden 90 gün önce. Kök Faturalandırma Konsolunda vadesi geçmiş bakiyenin ödenmesi, 15 dakika ila 4 saat arasında otomatik yeniden etkinleştirmeyi tetikler.
6. AWS, GCP veya Azure, hesabınızı "Kabul Edilebilir Kullanım Politikası (AUP) / Güven ve Güvenlik / Güvenliği Tehlikeye Girmiş IAM Anahtarı" ihlali nedeniyle askıya aldıysa, tüm IAM anahtarlarını derhal döndürün ve Kök Destek Merkezi'nde tam Vaka Kimliğine yanıt verin. Bulut Güveni ve Güvenliği ekipleri siz güvenlik açığının kapatıldığını kanıtlayana kadar asla bir güvenlik askıya alma işlemini kaldırmaz: sızdırılan erişim anahtarını silin, hileli EC2/Compute Engine kripto madenciliği örneklerini sonlandırın, Kök kullanıcıda MFA'yı etkinleştirin ve ekleyin Resmi Güven ve Güvenlik destek vakasına kısa bir Temel Neden ve Çözüm Raporu.

Karar ağacı: Bir üretim etki alanını veya bulutun askıya alınmasını teşhis etme ve çözme¶

flowchart TD
    Start["TOPLAM ÜRETİM KESİNTİSİ: Web Sitesi, API ve Kurumsal E-posta Kapatıldı"] --> Diag["10 Saniyelik Terminal Tanılamayı çalıştırın: whois alanadınız.com VE dig +trace alan adınız.com"]

    Diag -->|"WHOIS, clientHold, ServerHold, redemptionPeriod veya park edilmiş NS'yi gösterir"| DomainCrisis{"Alan Adı Kayıt Kuruluşunun askıya alınmasına ne sebep oldu?"}

    DomainCrisis -->|"1. ICANN 15 Günlük WHOIS E-posta Doğrulama Hatası"| ICANNFix["Kayıt Kuruluşunda oturum açın -> RAA Doğrulama E-postasını yeniden gönderin (veya Kayıt Sahibini çalışan Gmail'e güncelleyin) -> Bağlantıyı tıklayın -> 15 ila 60 dakika içinde yayınlayın"]
    DomainCrisis -->|"2. Etki Alanının Süresi Doldu / Kredi Kartının Otomatik Yenilenmesi Başarısız Oldu"| RenewFix["Yenileme ücretini ödeyin (artı sona erme tarihinden 30 gün sonra ise 80-250 ABD Doları Geri Alma Ücreti) -> Orijinal özel Ad Sunucularını geri yükleyin -> Genel DNS'yi Temizleyin"]
    DomainCrisis -->|"3. Kayıt Kuruluşunun Kötüye Kullanımı / Kimlik Avı / Kötü Amaçlı Yazılımın Askıya Alınması"| AbuseFix["1. Sunucudaki işaretli URL'yi/dosyayı kaldırın 2. Kayıt Kuruluşu Güveni ve Güvenliği ile Yanlış Pozitif/Düzeltilmiş Kanıtı Dosyalayın 3. İkincil Yük Devretme Etki Alanını Etkinleştirin"]

    Diag -->|"Etki Alanı DNS'si sorunu çözüyor ancak Bulut IP'leri/Konsol, Hesabın Askıya Alındığını döndürüyor"| CloudCrisis{"AWS/GCP/Azure Bulut Kiracısını neden askıya aldı?"}

    CloudCrisis -->|"1. Faturalandırma Arızası (Süresi Dolmuş Kart / Banka ACH Reddi / Limite Ulaşılması)"| CloudBill["1. Kök Kullanıcı / Faturalandırma Yöneticisi olarak oturum açın 2. Yeni kredi kartı veya yedek kart ekleyin ve 'Ödemeyi Yeniden Dene'ye tıklayın 3. Faturalandırma Yeniden Etkinleştirme Destek Yazışmasını açın"]
    CloudCrisis -->|"2. Ele Geçirilmiş IAM Anahtarı / Hileli Kripto Madenciliği Harcamalarında Ani Artış"| CloudSec["1. Sızan IAM Erişim Anahtarlarını Döndürün/Silin 2. Hileli örnekleri sonlandırın ve Kök MFA'yı etkinleştirin 3. Güven ve Güvenlik Vakasını Yanıtlayın + Harcama Feragatnamesi isteyin"]
    CloudCrisis -->|"3. S3 / VM'de Üçüncü Taraf Kimlik Avı / DMCA / AUP Kötüye Kullanım İşareti"| CloudAUP["1. İşaretli S3 nesnesini/VM IP'sini yalıtın veya silin 2. WAF/Yükleme korkuluklarıyla AWS/GCP Trust & Safety Case ID'yi yanıtlayın"]

Aşama 1: 3 dakikalık adli tanı (Etki Alanı Kayıt Kuruluşu, DNS veya Bulut Sağlayıcı mı?)¶

Üretim uygulamanız karardığında ve çalışanlar "her şey çöktü, e-postamız bile" diye bağırdığında tahminde bulunmayın. Sizi askıya alan katmanı tam olarak belirlemek için bu üç komutu herhangi bir dizüstü bilgisayar terminalinden (macOS, Linux veya Windows WSL/PowerShell) çalıştırın.

1. Komut 1: ICANN Genişletilebilir Hazırlama Protokolü (EPP) durum kodlarını kontrol edin¶

Koşmak:

whois yourdomain.com | grep -E -i "Status|Name Server|Expiry"

2. Aşama: Alan Adı Kayıt Kuruluşunun askıya alınması sorununun çözümlenmesi (clientHold / Kötüye Kullanım / ICANN Kilidi)¶

Eğer senin whois kontrol ortaya çıkıyor clientHold veya park edilmiş ad sunucuları için aşağıdaki kurtarma yolunu tam olarak izleyin.

Bölüm A: ICANN WHOIS E-posta Doğrulamasının Askıya Alınmasını Kaldırma (15 Dakikalık Düzeltme)¶

ICANN 2013 RAA Whois Doğruluk Programı kapsamında, yeni bir alan adı kaydettiğinizde, bir alan adını aktardığınızda veya Kaydeden Adı, Soyadı veya E-posta Adresini değiştirdiğinizde, kayıt şirketi "alanadiniz.com için ACİL DOĞRULAMA gerekli." başlıklı zorunlu bir e-posta gönderir. 1. Alan adı kayıt kuruluşunuzun kontrol paneline giriş yapın. Ekranın üst kısmındaki parlak kırmızı bir banner şunu belirtir: "Bu alan adı, ICANN Whois iletişim doğrulaması nedeniyle askıya alındı." 2. Catch-22 Tuzağı: Kayıtlı Kaydeden E-postası admin@yourdomain.com, doğrulama e-postasını alamıyorsunuz çünkü yourdomain.com şu anda askıya alınmıştır. 3. Düzeltme: Kayıt şirketinin Etki Alanı İletişimi / WHOIS ayarlarında, Kaydeden E-posta Adresini çalışan bir harici adresle (ör. @gmail.com kontrol ettiğiniz adres), değişikliği kaydedin, "Doğrulama E-postasını Yeniden Gönder" seçeneğini tıklayın, Gmail gelen kutusunu açın ve onay bağlantısını tıklayın. 4. Kayıt şirketinin otomatik API'si hemen bir EPP gönderir update komut kaldırma clientHold Verisign/Registry kök bölgesinden 5 ila 20 dakika içinde.

Bölüm B: Kayıt Kuruluşunun "Kötüye Kullanım / Kimlik Avı / Kötü Amaçlı Yazılım / AUP" Askıya Alınmasını Kaldırma¶

Bugün, büyük alan adı kayıt şirketleri (Namecheap, GoDaddy, Tucows/Enom/OpenSRS, Porkbun, Cloudflare Kayıt Şirketi, Squarespace Domains) otomatik tehdit istihbaratı yayınlarına (Netcraft, PhishTank, Spamhaus, Google Güvenli Tarama, AbuseIPDB) abone oluyor. Bir bilgisayar korsanı, unutulmuş bir pazarlama alt alan adında bir WordPress eklentisinin güvenliğini ihlal ederse (promo.yourdomain.com) veya bir kullanıcı, SaaS uygulamanızın kullanıcı içeriği grubuna (cdn.yourdomain.com/uploads/invoice.pdf), otomatik bir bot, kayıt kuruluşunuza Kademe 1 Kimlik Avı Yayından Kaldırma Bildirimi gönderir ve bir offshore uyumluluk yüklenicisi tüm kök alan adınızı (yourdomain.com) Açık clientHold.

Almak için adım adım yükseltme clientHold günler yerine saatler içinde kaldırıldı¶

1. Tam Kötüye Kullanım Bildirim Kimliğini ve İşaretli URL'yi bulun:
2. Kayıt şirketi hesabınızla (ve WHOIS Kötüye Kullanım iletişim kişisiyle) ilişkili e-posta gelen kutusunu kontrol ederek şu adresten bir e-posta alın: abuse@, legal@veya compliance@[registrar].com.
3. Kötüye kullanım raporunda belirtilen tam URL'yi veya IP adresini arayın.
4. İşaretli Kaynağı Derhal Düzeltin veya Yalıtın:
5. Şikayet hatalı pozitif olsa bile (örneğin, kendi meşru kurumsal Tek Oturum Açma [SSO] giriş sayfanız bir yapay zeka tarayıcısı tarafından hatalı bir şekilde "Microsoft 365 kimlik avı sayfası" olarak işaretlenmişse), mümkünse geçici olarak devre dışı bırakın veya belirli işaretli yolun önüne bir IP izin verilenler listesi koyun veya bunun meşru kimliği doğrulanmış çalışan portalınız olduğunu kanıtlayan ekran görüntüleri yakalayın.
6. Kullanıcı tarafından yüklenen bir dosya veya güvenliği ihlal edilmiş bir alt alan adı gerçekten kötü amaçlıysa, dosyayı/kapsayıcıyı derhal silin, kötü niyetli kullanıcının hesabını askıya alın ve Cloudflare/WAF kenarınızdaki yolu engelleyin.
7. "Yönetici Kötüye Kullanım Tedavisi ve Kritik Altyapı Bildirimi" Yanıtını gönderin:
8. Kayıt memurunun Kötüye Kullanım Bildirimine doğrudan yanıt verin (tam bilgileri koruyarak) [Ticket #...] konu etiketini kullanarak ayrıştırıcının yönlendirmesini sağlayın) VE kayıt şirketinin 7/24 telefon destek hattını arayarak bir yöneticiden Kötüye Kullanım Bildirimini "Üretim SaaS / Yanlış Pozitif: Düzeltme Tamamlandı" olarak işaretlemesini isteyin.
9. Yazılı yanıtınıza bu 4 zorunlu kanıt noktasını ekleyin:
   1. Hemen Kaldırma Onayı: "Bildirilen URL ([exact URL]) yetkisiz bir üçüncü taraf yüklemesi / güvenliği ihlal edilmiş pazarlama varlığıydı ve şu tarihte kalıcı olarak silindi: [Timestamp UTC]. Artık HTTP döndürüyor 404 Not Found / 410 Gone"
   2. Sistemik Önleme Korumaları Uygulandı: "Web Uygulaması Güvenlik Duvarı (WAF) kurallarını dağıttık, kimliği doğrulanmamış genel dosya yüklemelerini devre dışı bıraktık ve yinelenmeyi önlemek için tüm sunucu kimlik bilgilerini döndürdük."
   3. Orantısız İş Etkisi Bildirimi: "Kök apeks alanının yerleştirilmesi yourdomain.com Açık clientHold üretim altyapısını ve kurumsal e-postayı devre dışı bıraktı [Number] meşru ticari müşteriler/çalışanlar."
   4. Derhal Kaldırılma Talebi clientHold: "Lütfen EPP'yi kaldırın clientHold durum açık yourdomain.com hemen. Gelecekteki herhangi bir kötüye kullanım bildirimine, kök alan adının askıya alınmasına gerek kalmadan 2 saat içinde yanıt vereceğimizi taahhüt ediyoruz."
10. Kaldırıldıktan sonra Genel DNS Çözümleyicilerdeki "Negatif Önbelleğe Alma (NXDOMAIN)" TTL'sini temizleyin:
11. Kayıt memurunun kaldırdığı an clientHold, alanınız geri döndü .com kök sunucular, ama Google Genel DNS (8.8.8.8), Cloudflare DNS (1.1.1.1) ve OpenDNS ölüleri önbelleğe almaya devam edebilir NXDOMAIN veya 15 ila 60 dakika süreyle park edilmiş yanıt.
12. Google Genel DNS Temizleme Önbelleği adresindeki ücretsiz web önbellek temizleme araçlarını hemen ziyaret edin (developers.google.com/speed/public-dns/cache) ve Cloudflare 1.1.1.1 Önbelleği Temizle (one.one.one.one/purge-cache/), tip yourdomain.com (Ve A, AAAA, NS, MX) ve Önbelleği Temizle seçeneğini tıklatarak küresel kullanıcıların 60 saniye içinde yeniden bağlanmasını sağlayın.

3. Aşama: Üretim Bulutu Hesabının askıya alınması sorununun çözümlenmesi (AWS, Google Cloud, Microsoft Azure)¶

Amazon Web Services (AWS), Google Cloud Platform (GCP) veya Microsoft Azure bir bulut hesabını veya projesini askıya aldığında, kurtarma prosedürü tamamen askıya alma işleminin Faturalandırma/Ödeme Arızası mı yoksa Güven ve Güvenlik / Güvenliği Tehlikeye Girmiş Kimlik Bilgileri tarafından mı tetiklendiğine bağlıdır.

Bulut sağlayıcısının askıya alınma yaşam döngüleri ve yeniden etkinleştirme aralıklarının karşılaştırılması¶

Ayrıntılı Protokol 1: Bulutta Faturalandırmanın Askıya Alınmasından Kurtulma (Kart Reddedildiğinde veya Tel Sıkıştığında)¶

Neden iyi finanse edilen şirketler faturalandırmanın askıya alınmasıyla karşılaşıyor? 1. Kayıtlı kredi kartı, ay sonu otomatik ölçeklendirme artışı veya yıllık Rezerve Edilmiş Bulut Sunucusu yenilemesi nedeniyle aylık kurumsal harcama sınırına (ör. 25.000 ABD doları sınırı) ulaştı; 2. Kart, İK/Finans tarafından kartı iptal edilen ayrılan bir kurucuya veya Mühendislik Başkan Yardımcısına aitti; veya 3. Bankanın otomatik dolandırıcılık sistemi, "kartın mevcut olmamasıyla ilgili şüpheli etkinlik" nedeniyle büyük bir AWS/GCP ücretini engelledi.

Adım adım 30 dakikalık faturalandırma yeniden etkinleştirme kontrol listesi¶

1. Yalnızca Kök Hesap Sahibi veya Faturalandırma Yöneticisi olarak oturum açın: Standart IAM Geliştiricisi/Yönetici rolleri, bir hesap askıya alındığında genellikle kilitli Faturalandırma Yeniden Etkinleştirme ekranına erişemez. AWS Kök Kullanıcı e-postasını (veya GCP Faturalandırma Hesabı Yöneticisini/Azure Hesap Yöneticisini) kullanın.
2. Bankayı Aramadan Önce Aynı Reddedilen Kart Üzerinde "Yeniden Dene"ye Tıklamayın: Bankanızın dolandırıcılık motoru 14.000 ABD Doları tutarındaki bir AWS ücretini engellediyse, AWS konsolunda "Yeniden Dene"ye üç kez tıklamak, üç kesin reddi daha tetikleyecek ve ödeme yöntemini kilitleyecektir. Herhangi biri:
3. Tamamen farklı bir kurumsal kredi kartı veya banka kartı girin (sağlayıcının konsolu kısmi ödemelere izin veriyorsa ödemeyi iki karta bölün); VEYA
4. Önce kurumsal kartın arkasındaki telefon numarasını arayın, bankanın ticari dolandırıcılık masasının ticari blokeyi kaldırmasını sağlayın Amazon Web Services / Google Cloud / Microsoft Azure ve tek işlem sınırını 24 saatliğine artırın ve yalnızca o zaman bulut konsolunda Ödemeyi Yeniden Dene seçeneğini tıklayın.
5. Şirketiniz Faturalı Havale / ACH (Net-30 Kurumsal Hesaplar) ile Ödeme Yapıyorsa ve Fatura Vadesini 60 Günden Fazla Geçtiyse:
6. Vadesi geçmiş bakiyenin tamamı için Aynı Gün Fedwire (3 günlük ACH değil) gönderin, resmi bankayı indirin IMAD/OMAD Federal Referans Numarasını içeren Havale Onay Makbuzunu indirin ve hazine departmanı havaleyi hazırlarken bu PDF'yi doğrudan acil bir Faturalandırma ve Hesap Destek Vakası'na ekleyerek Ödeme Vaadi / Transit Havalesi talimatını isteyin.
7. Yeniden Etkinleştirme Sonrası Örnek Durumunu Doğrulayın ("Durdurulan Sanal Makine ve Dinamik IP" Tuzağı):
8. AWS, GCP veya Azure askıya alınmış bir hesabı yeniden etkinleştirdiğinde, durdurulan bazı sanal makineler (özellikle Azure Dağıtılmış VM'ler ve GCP Compute Engine örnekleri) kendi başlarına otomatik olarak yeniden başlatılmaz ve statik Elastik IP / Ayrılmış Statik IP kullanmayan herhangi bir makine yepyeni bir genel IP adresi ile gelecektir.
9. EC2 / Compute Engine / Azure VM'lerindeki her bölgeyi anında kontrol edin, durdurulan örnekleri başlatın, Elastic Load Balancer'larınızın ve RDS veritabanlarınızın çalıştığını doğrulayın. Availableve DNS'nizin A kayıtlar hala aktif genel IP'lerinizle eşleşiyor.

Ayrıntılı Protokol 2: Bulut Güvenliğinden / Güvenliği Tehlikeye Girmiş Anahtardan / Güven ve Güvenliğin Askıya Alınmasından Kurtarma¶

Bir geliştirici yanlışlıkla bir işlem gerçekleştirirse .env içeren dosya AWS_ACCESS_KEY_ID ve AWS_SECRET_ACCESS_KEY (veya GCP Hizmet Hesabı JSON anahtarı) halka açık bir GitHub deposuna aktarıldığında, otomatik bilgisayar korsanları botları 1,5 saniye içinde bu anahtarı kazır ve 200 dev GPU örneğini başlatır (p4d.24xlarge) gibi bölgelerde ap-east-1 veya sa-east-1 kripto para madenciliği yapmak veya DDoS saldırıları başlatmak. AWS/GCP Trust & Safety birkaç saat içinde anormalliği tespit eder ve hesabınıza Koruyucu Güvenlik Karantinası / Hesabın Askıya Alınması uygular.

AWS/GCP/Azure Trust & Safety'nin güvenlik karantinasını 4 saatten kısa sürede kaldırmasını sağlama¶

Bulut güvenlik ekipleri katı bir kontrol listesi uygular: Hesabınızı yeniden etkinleştirmenin saldırıyı hemen sürdürmeyeceğini kanıtlayana kadar hesabınızı yeniden etkinleştirmeyi reddederler. 1. Her Bölgeyi Denetleyin (Devre Dışı/Kabul Edilen Bölgeler dahil) ve Uzlaşma Vektörünü Silin: - IAM Konsolunda oturum açın: Güvenliği ihlal edilmiş IAM Erişim Anahtarını (ve saldırganın kalıcılığı korumak için oluşturduğu tanıdık olmayan arka kapı IAM kullanıcılarını, rollerini veya Kimlik Sağlayıcılarını Devre Dışı Bırakın ve Silin). - Kök Kullanıcı ve tüm IAM kullanıcılarında Donanım veya Sanal MFA'yı etkinleştirin. - AWS Kaynak Gezgini / Etiket Düzenleyici / EC2 Küresel Görünüm'ü açın (yalnızca 30'dan fazla küresel bölgenin tamamını işaretleyerek) us-east-1) ve saldırgan tarafından oluşturulan tüm yetkisiz EC2 bulut sunucularını, Otomatik Ölçeklendirme Gruplarını, EKS kümelerini ve Lambda işlevlerini sonlandırın. 2. Resmi Destek Vakasında 4 Bölümlü Güvenlik İyileştirme Raporunu gönderin: - Bulut konsolunuzda Destek Merkezi'ni açın ve açık olan Hesap Güvenliği / Güven ve Güvenlik Yazısını aşağıdakilerle yanıtlayın: - 1. Temel Neden: "IAM Kullanıcısı [Name] anahtar AKIA... yanlışlıkla bir kod deposunda açığa çıktı [Time]" - 2. Kimlik Bilgilerinin İptali: "Erişim Anahtarı AKIA... ve sahte IAM kullanıcısı [Name] kalıcı olarak silindi ve Kök/IAM MFA uygulandı." - 3. Tüm Bölgelerde Kaynak Temizleme: "Bölgelerdeki tüm yetkisiz EC2 bulut sunucuları [List Regions] sonlandırıldı." - 4. Anında Üretim Engellemesinin Kaldırılması + Güvenliği Tehlikeli Anahtar Faturalandırma Ayarlaması Talebi: "Meşru üretim iş yükümüz [Your Region] hizmet ediyor [Number] Müşteriler ve şu anda çevrimdışı. Lütfen hesabın askıya alınması durumunu derhal kaldırın; $[Amount] Yetkisiz izinsiz giriş sırasında ortaya çıkan hileli bilgi işlem ücretlerinde." - (İpucu: AWS ve GCP, resmi güvenliği ihlal edilmiş hesap düzeltme kontrol listesini tamamladıktan sonra, onbinlerce dolarlık sahte kripto madenciliği suçlamaları için rutin olarak bir defaya mahsus %100 kredi feragatnamesi verir.)

4. Aşama: 30 dakika içinde acil "Break-Glass" ikincil etki alanı yük devretmesini etkinleştirme¶

Birincil alanınız (yourcompany.com) bir kayıt defteri altında kilitli serverHold veya çözülmesi 48 ila 72 saat sürecek karmaşık bir kayıt şirketi hukuki anlaşmazlığı varsa üç gün boyunca çevrimdışı kalmayın. Her teknoloji ve e-ticaret işletmesi, Acil Durum İkincil Ayna Etki Alanı () kullanarak müşteri erişimini ve çalışan e-postalarını 30 ila 45 dakika içinde geri yükleyebilir.yourcompany.co, yourcompany.ioveya getyourcompany.com).

30 Dakikalık Acil Durum İkincil Alan Adı Kesim Kontrol Listesi¶

1. İkincil Alan Adınızı Ayrı Bir Kayıt Kuruluşuna Kaydedin (veya Etkinleştirin): Yedek alan adınızı asla birincil alan adınızı askıya alan aynı kayıt kuruluşuna kaydettirmeyin. Kayıt ol yourcompany-app.com veya yourcompany.co ayrı bir kurumsal kart ve doğrulanmış e-posta kullanarak bağımsız bir kayıt şirketinde (Cloudflare Kayıt Şirketi, Porkbun veya AWS Route 53 gibi).
2. Bölge Dosyanızı Cloudflare veya Route 53'e Aktarın: DNS'nizi dışa aktarın (veya kopyalayın) A, AAAA, CNAMEve TXT birincil DNS panelinizden yeni alan adının bölge dosyasına kayıt yapar, böylece app.yourcompany.co ve api.yourcompany.co tamamen aynı üretim yük dengeleyicilerinize işaret edin.
3. Yük Dengeleyicinizi/Giriş TLS Sertifikanızı Güncelleyin (SAN Ekleme): Ekle *.yourcompany.co ve yourcompany.co AWS ACM / Let's Encrypt / Cloudflare edge SSL sertifikanızda Konu Alternatif Adları (SAN'lar) olarak belirtin ve yeni ana bilgisayar adını Nginx/Envoy/ALB ana bilgisayar başlığı yönlendirme kurallarınıza ve CORS izin verilenler listelerinize ekleyin.
4. İkincil Alanı Google Workspace veya Microsoft 365'te Doğrulanmış Alan Takma Adı olarak ekleyin:
5. Google Workspace Yönetici Konsolu'nun içi (admin.google.com -> Hesap -> Etki Alanları -> Etki Alanlarını Yönet -> Etki Alanı Takma Adı Ekle) veya Microsoft 365 Yönetim Merkezi (Settings -> Domains -> Add Domain), ekle yourcompany.co ve doğrulamayı yapıştırın TXT ve MX yeni alan adınızın DNS'sine kayıt yapar.
6. 15 dakika içinde her çalışan otomatik olarak şu adrese e-posta alır: firstname@yourcompany.co sıfır posta kutusu taşıma işlemiyle mevcut gelen kutularında.

5. Aşama: Bu durumun bir daha asla yaşanmaması için alan adınızı ve bulut hesaplarınızı sağlamlaştırma¶

Üretim yeniden çevrimiçi olduğunda, bu beş yapısal korumayı 48 saat içinde uygulayın:

1. Kayıt Defteri Kilidini Zorunlu Kıl (serverDeleteProhibited / serverUpdateProhibited / serverTransferProhibited): Kritik üretim alan adları için alan adınızı, ad sunucuları veya alan durumları değiştirilmeden önce bant dışı çok kişili şifreleme doğrulaması gerektiren Kayıt Defteri Kilidi'ne (Cloudflare, MarkMonitor, CSC Corporate Domains ve büyük kayıt şirketleri tarafından sunulur) yükseltin.
2. Kullanıcı Tarafından Oluşturulan İçeriği (UGC) veya Pazarlama Bağlantılarını Üretim Apex Etki Alanınızda Hiçbir Zaman Barındırmayın: Kullanıcı yüklemelerini, müşteri PDF'lerini ve giden e-posta izleme bağlantılarını her zaman tamamen ayrı bir korumalı alan adından (örneğin, yourcompany-usercontent.com yerine yourcompany.com). Bu şekilde, bir kullanıcı, otomatik kayıt şirketi kötüye kullanım botunu tetikleyen kötü amaçlı bir dosya yüklerse yalnızca tek kullanımlık içerik alanı işaretlenir, temel üretim uygulamanız veya kurumsal e-postanız işaretlenmez.
3. İkili Ödeme Yöntemlerini + ACH Yedekleme + Bulut Faturalandırma Anomali Uyarılarını Yapılandırın: AWS, GCP, Azure ve alan adı kayıt sitenizde en az iki farklı bankadan iki bağımsız kredi kartı ve bir ACH otomatik ödeme banka hesabı ekleyin ve günlük harcama yüzde 25'ten fazla artarsa ​​PagerDuty/Slack sayfasına AWS Maliyet Anomalisi Algılama / GCP Bütçe Uyarıları'nı etkinleştirin.
4. Bağımsız İkincil Etki Alanında Rol Tabanlı Kayıt Kuruluşu ve Bulut Kök E-postası Ayarlama: Hiçbir zaman ayarlama admin@yourcompany.com kurtarma e-postası olarak yourcompany.com. Bağımsız bir yönetim etki alanında veya kurumsal kimlik kiracısında özel, donanım YubiKey korumalı bir posta kutusu kullanın; böylece birincil etki alanınız kapalı olduğunda bile her zaman doğrulama ve destek e-postaları alabilirsiniz.

Bölgesel acil durum numaraları ve kurum protokolleri¶

Sık sorulan sorular¶

AWS, Google Cloud veya Azure, ödeme yapmama veya kötüye kullanım nedeniyle hesabımızı askıya alırsa üretim veritabanlarımız ve S3 paketlerimiz derhal silinir mi?¶

Hayır. AWS, GCP veya Microsoft Azure, askıya alma işleminin 1. Gününde verilerinizi silmez. Bir hesap askıya alındığında, sanal makineleriniz durdurulur ve depolama gruplarınıza ve yük dengeleyicilerinize genel erişim engellenir **ancak EBS birimlerinizin, RDS veritabanlarınızın, S3 nesnelerinin ve anlık yedeklerinizin yüzde 100'ü en az 30 gün boyunca soğuk depolamada korunur** (ve AWS'de hesaplar, kapatma sonrası ek 60 günlük süre boyunca, toplamda 90 güne kadar kurtarılabilir durumda kalır). Vadesi geçmiş bakiyeyi ödediğinizde veya Güven ve Güvenlik bildirimini çözümlediğinizde, yedeklerden yeniden oluşturmanıza gerek kalmadan tam üretim ortamınız bozulmadan geri yüklenir.

Etki alanımız neden aniden bir çözümlemeyi bıraktı? clientHold Alan adı yenilememizin zamanı 8 ay daha gelmediğinde durum nedir?¶

Ücreti ödenmiş ve son kullanma tarihi geçmiş bir alan adının aniden giriş yapması **`clientHold`**, bunun yalnızca iki nedeni vardır: (1) **ICANN 15 Günlük WHOIS İletişim Doğrulama Hatası** (birisi Kaydeden adını veya e-posta adresini güncelledi veya alanı aktardı ve 15 gün içinde Kaydeden'e e-postayla gönderilen zorunlu doğrulama bağlantısını tıklamadı) veya (2) **Kayıt Kuruluşunun Kötüye Kullanımı / Kimlik Avı / Kötü Amaçlı Yazılımların Askıya Alınması** (otomatik bir tehdit akışı, alan adınızdaki şüpheli bir URL'yi kayıt kuruluşunuzun uyumluluk ekibine bildirdi). Kayıt şirketi portalınıza hemen giriş yapın: ICANN doğrulama blokajı, yeniden gönderme bağlantısına tıklandıktan sonra 15 dakika içinde silinir; Kötüye Kullanım blokajı ise kayıt operatörünün uyumluluk bildiriminin yanıtlanmasını gerektirir.

Neden bizim @ourcompany.com Yanlış pozitif kimlik avı bağlantısı nedeniyle yalnızca web sitemiz rapor edildiğinde e-postanız da geri mi dönüyor?¶

Bir alan adı kayıt şirketi bir EPP yerleştirdiğinde **`clientHold`** kök alanınızda (`ourcompany.com`), kayıt defteri **tüm etki alanı yetkisini (tümü) kaldırır `NS` kayıtlar)** globalden `.com` kök sunucular. Çünkü dünyanın posta sunucuları artık alan adınızı arayamıyor `NS` veya `MX` kayıtlar, gelen her e-posta `@ourcompany.com` E-postanız Google Workspace veya Microsoft 365'te ayrı olarak barındırılsa bile DNS arama hatasıyla başarısız olur. Bu nedenle kayıt operatörünüzle her zaman bant dışı bir yerden iletişim kurmanız gerekir. `@gmail.com` veya ikincil alan adresi `clientHold` kesinti.

Yalnızca ücretsiz "Temel" destek katmanına sahipsek AWS, GCP veya alan adı kayıt şirketindeki bir insana nasıl ulaşabiliriz?¶

0 ABD Doları Temel Destek katmanında bile, **AWS, GCP ve Azure, askıya alınan hesapların Kök kullanıcılarının ücretsiz olarak yüksek öncelikli "Hesap ve Faturalandırma" destek yazışmalarını açmasına izin verir** ve AWS Destek Merkezi'nde iletişim yönteminiz olarak **"Telefon"** seçeneğini belirleyerek bir AWS Hesap ve Faturalandırma uzmanının birkaç dakika içinde telefonunuzu doğrudan aramasını sağlayabilirsiniz. Acil bir üretim kesintisini çözüyorsanız, AWS hesabınızı konsolun içinde anında **İşletme Desteği (minimum 100 ABD doları/ay)** veya **Kurumsal Rampa** katmanına yükselterek anında 15 dakikalık 7/24 canlı teknik mühendis sohbeti ve telefonla yükseltmenin kilidini açabilirsiniz.

Sahtekar bir çalışanın veya eski geliştiricinin, alan adı kayıt kuruluşu oturum açma bilgilerini veya AWS Root hesabını elinde tutması ve bunu teslim etmeyi reddetmesi halinde ne olur?¶

Eski bir çalışan, serbest çalışan bir ajans veya hileli bir kurucu ortak, kayıt şirketi hesabını veya bulut kökü kimlik bilgilerini kontrol ediyor ve şirketi kilitliyorsa, bunu acil bir kurumsal yönetim ve içeriden kilitlenme krizi olarak değerlendirin. Her büyük alan adı kayıt kuruluşu ve bulut sağlayıcısı, yasal ticari kuruluşun **Ana Sözleşmeyi, IRS EIN Mektubu'nu, kurumsal ticari marka kaydını ve şirketin alan adı veya bulut kiracısı için idari kontrolü yetkili bir şirket yetkilisine geri devretmesi için ödeme yaptığını kanıtlayan geçmiş banka/kredi kartı fatura beyanlarını** sunabileceği resmi bir **Kurumsal Hesap Kurtarma / Tescil Ettiren Anlaşmazlık Süreci**'ne sahiptir. Rehberimize bakın [ortaklık anlaşmazlığı, sahte kurucu ortak bankanın tıkanması ve kurumsal lokavt](partnership-dispute-rogue-cofounder-bank-drain-and-corporate-lockout.md).

Kayıt şirketi kaldırdıktan sonra DNS'nin genel olarak geri gelmesi ne kadar sürer? clientHold?¶

Kayıt şirketi kaldırmak için EPP komutunu gönderdiğinde `clientHold`, üst düzey kayıt defteri (Verisign gibi) `.com`) kök bölge sunucularını **3 ila 15 dakika** içinde günceller. Çoğu İnternet kullanıcısı sitenize 15 ila 30 dakika içinde tekrar ulaşabilecektir ve alan adınızın genel web formlarındaki negatif önbellek girişini **Google Genel DNS (`8.8.8.8`)** ve **Cloudflare DNS (`1.1.1.1`)**.

İlgili kılavuzlar¶

• İş sürekliliği planı ve felaket kurtarma
• Ticari fidye yazılımı ve sunucu ihlali
• Ortaklık anlaşmazlığı, hileli kurucu ortak bankanın tıkanması ve kurumsal lokavt
• Satış noktası (POS) kesintisi, internet kesintisi ve çevrimdışı kredi kartı işlemleri

Kaynaklar ve resmi rehberlik¶

• İnternet Tahsisli Sayılar ve İsimler Kurumu (ICANN): 2013 Kayıt Kuruluşu Akreditasyon Anlaşması (RAA) Whois Doğruluk Programı Şartnamesi (15 Günlük Doğrulama Talimatı), Genişletilebilir Hazırlama Protokolü (EPP) Durum Kodları (clientHold, serverHold, redemptionPeriod) ve Süresi Dolmuş Kayıt Kurtarma Politikası (ERRP).
• Amazon Web Services (AWS) Resmi Belgeleri: Hesabın Askıya Alınması, Eski Haline Getirilmesi ve Kapatma Sonrası Veri Saklama Yaşam Döngüsü (30 Günlük Askıya Alma / Kapatma Sonrası 60 Günlük Pencere) ve AWS'nin Güvenliği Aşan IAM Kimlik Bilgilerini Düzeltme Protokolü.
• Google Cloud Platform (GCP) ve Microsoft Azure Resmi Belgeleri: Bulut Faturalandırma Gecikmelerini Kurtarma, Proje Güven ve Güvenlik İtirazı İş Akışları ve Dağıtılmış Azure Aboneliğini Yeniden Etkinleştirme Prosedürleri.
• Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA, Amerika Birleşik Devletleri) ve Ulusal Siber Güvenlik Merkezi (NCSC, Birleşik Krallık): Bulut Güvenliği Teknik Referans Mimarisi, Kök Hesap MFA Uygulaması ve Etki Alanı Kayıt Kilidi En İyi Uygulamaları.
• Ulusal Standartlar ve Teknoloji Enstitüsü (NIST, Amerika Birleşik Devletleri): NIST SP 800-61 Rev. 2 (Bilgisayar Güvenliği Olaylarını Yönetme Kılavuzu) ve NIST SP 800-53 (DNS Bütünlüğü ve Bulut Erişim Kontrolü Standartları).