Мониторинг DNS: изменения, TTL, DNSSEC — настройка под ключ

Представьте: сайт работает, сервер отвечает, но посетители не видят контент. Причина — DNS-запись A была изменена час назад, а вы узнали об этом только после жалоб. Мониторинг DNS изменений — то, что отделяет контроль от вслепую. По статистике, 60% компаний хотя бы раз в год сталкиваются с DNS-атаками, а среднее время обнаружения без мониторинга превышает 6 часов. Мы видели кейсы, когда клиент терял трафик на несколько часов из-за взлома аккаунта регистратора и изменения записей. Наш опыт показывает: без отдельного мониторинга DNS вы слепы к одному из самых уязвимых звеньев инфраструктуры.

Почему стандартный мониторинг серверов не защищает от DNS-атак?

Отметим: когда сайт падает, обычно первым делом проверяют нагрузку на сервер, логи приложений и базу данных. Однако неисправность может быть в DNS: несанкционированная смена A-записи, сломанный DNSSEC или резкое падение TTL делают сайт недоступным для тысяч пользователей, хотя сервер исправен. Мы сталкивались с кейсами, когда клиент терял трафик на несколько часов из-за взлома аккаунта регистратора и изменения записей. Наш опыт показывает: без отдельного мониторинга DNS вы слепы к одному из самых уязвимых звеньев инфраструктуры.

Какие риски несет отсутствие мониторинга DNS?

Согласно отчётам, 60% компаний хотя бы раз в год сталкиваются с DNS-атаками. Изменение MX-записей — классический сценарий перехвата корпоративной почты: злоумышленник перенаправляет почтовые потоки на свой сервер, получая доступ к переписке и паролям. Атака на NS-серверы перенаправляет домен на фишинговую страницу. Даже случайная ошибка администратора (неверный TTL, сломанная подпись DNSSEC) способна парализовать работу на несколько суток. Мы настроили мониторинг для клиента, чей домен был недоступен 6 часов из-за пропущенного продления — потери составили десятки тысяч долларов. С тех пор мы внедрили проверку истечения домена как обязательный компонент. Наши инженеры имеют более 10 лет опыта в DNS-инфраструктуре, выполнили более 50 проектов по мониторингу и экономят клиентам в среднем 70% затрат на ликвидацию последствий.

Контролируемые DNS-записи

Кроме записей, обязательно контролируйте:

• TTL — аномально низкие значения (<60 с) часто предшествуют атаке. Мы выставляем порог, который автоматически алертит при TTL меньше 300 секунд.
• DNSSEC — сломанная подпись = недоступность для 30% пользователей (браузеры с валидацией). Согласно RFC 4033, DNSSEC обеспечивает аутентификацию ответов DNS.
• Срок истечения домена — истекший домен теряет всю DNS-конфигурацию. Мы проверяем ежедневно и отправляем алерт за 30 дней до истечения.

Как настроить мониторинг DNS под ключ?

Мы используем комбинацию подходов: лёгкие Python-скрипты для быстрого старта и Prometheus Blackbox Exporter для промышленного масштаба. Вот типовой процесс:

1. Аудит текущей конфигурации. Собираем эталонные записи, проверяем DNSSEC, TTL и дату истечения. Фиксируем baseline в JSON-снэпшоте.
2. Настройка Python-скрипта мониторинга изменений. Скрипт опрашивает три public-резолвера (Google, Cloudflare, OpenDNS) и сравнивает ответы с эталоном. При расхождении — алерт в Telegram, Slack или PagerDuty в течение одной минуты. Среднее время обнаружения изменения — 60 секунд.
3. Интеграция с Prometheus через Blackbox Exporter. Для каждого домена создаём модуль dns_check, проверяющий ожидаемый IP. Метрики попадают в Grafana, алерты настраиваются по правилу if probe_success == 0 for 2m.
4. Проверка DNSSEC. Периодически выполняем резолвинг с флагом DO (dnssec OK) и проверяем наличие RRSIG. При ошибке валидации — критический алерт.
5. WHOIS-мониторинг. Ежедневно проверяем количество дней до истечения домена. Порог срабатывания — 30 дней. Это позволяет избежать потери домена.

import dns.resolver from dns.exception import DNSException def check_dns(domain, expected_ip): try: answers = dns.resolver.resolve(domain, 'A') for rdata in answers: if rdata.address != expected_ip: alert(f"DNS change detected for {domain}") except (DNSException, IndexError) as e: alert(f"DNS error for {domain}: {e}")