En DNS-gennemgang har to dele: zonens indhold, hvor glemte poster findes og fjernes, og retten til at ændre zonen, hvor det kontrolleres, hvem der kan, og om ændringerne kan ses bagefter. Begge dele kan læses som opsætning uden at afprøve noget.
Målestokken er SAMSIK’s vejledning om domænesikkerhed, revideret september 2022. Den har et afsnit skrevet direkte til IT-arkitekter og drift.
Hvorfor glemte poster er en risiko
En DNS-post peger et navn under jeres domæne mod en adresse eller et andet navn. Når den tjeneste, posten pegede på, bliver lukket, står posten tilbage. Den peger nu på en adresse eller et subdomæne hos en tredjepart, som I ikke længere styrer. Hvem der får adressen eller navnet næste gang, har I ingen indflydelse på, men det vil stå under jeres navn.
Vejledningen siger det kort: Zonerne gennemses regelmæssigt, og en post, der ikke længere bruges, eller som peger på IP-adresser eller tredjeparters subdomæner, der ikke bruges til det registrerede formål, fjernes (punkt 2.1.14). Tegn på uautoriserede ændringer meldes straks til den, der er ansvarlig for it-sikkerheden.
Vejledningen tilføjer et punkt, der ofte glemmes. Når et domæne nedlægges, fjernes alle henvisninger til det, fx i firewalls, krypteringscertifikater, web- og mailservere (punkt 1.2).
Gennemgangen af zonens indhold
Udtrækket er en fuld eksport af hver zone fra den, der hoster den. For hver post spørges:
- Hvad peger den på, og findes det stadig?
- Peger den på en adresse, I selv har, eller på en tredjepart?
- Hvem ejer den tjeneste, posten hører til?
- Hvornår blev den oprettet, og af hvem?
Det er de poster, der peger på tredjeparter, der kræver mest opmærksomhed. Navne, der peger på en cloudtjeneste, en markedsføringsplatform eller et kampagnesite, bliver ofte stående længe efter, at tjenesten er lukket.
Eksterne zoner bør heller ikke indeholde navne og adresser på interne systemer (punkt 2.1.2). Står en intern server i den offentlige zone, er det et fund, også hvis serveren ikke kan nås udefra.
Gennemgangen beskriver ikke, hvordan en glemt post kan misbruges. Det er nok at vide, at den peger på noget, I ikke styrer.
Hvem kan ændre zonen?
Vejledningen beskriver et design, hvor ændringsretten er snæver:
- En skjult primær navneserver, der ikke er registreret som navneserver og ikke kan nås fra internettet, bruges kun til at administrere zonen. Adgangen er begrænset til godkendte navneadministratorer (2.1.5).
- Zoneoverførsel mellem navneservere sikres med TSIG med unikke nøgler pr. par af navneservere (2.1.8).
- Administrationen logges, mindst afviste og godkendte login og alle ændringer i konfiguration og zone (2.1.13).
- Ændringer følger en formel ændringsproces (2.1.12).
Hostes zonen hos en udbyder, flyttes spørgsmålene til udbyderens administrationsportal. Hvem har konti dér? Kræves der flerfaktor? Kan I se en log over ændringerne? Kontoen hos registratoren, der kan skifte navneservere for hele domænet, er et kontrolpunkt for sig, beskrevet i domæneporteføljen.
Bilaget til forordning 2024/2690
I bilagets punkt 6.7.2, litra l, står kravet om at bruge bedste praksis for DNS-sikkerhed, internetroutingsikkerhed og routinghygiejne. Blandt dem, kravet binder, er DNS-tjenesteudbydere og cloududbydere. Bilaget siger ikke selv, hvad bedste praksis er. SAMSIK’s vejledning er et dansk bud.
Udtrækkene
- eksport af alle offentlige zoner
- liste over konti med ret til at ændre zonerne, intern og hos udbyder
- log over ændringer i en periode
- beskrivelse af ændringsprocessen for DNS
Det kan driften selv
Eksporten af zonen er hurtig at lave. Sorter posterne efter type, og se særligt på dem, der peger på navne hos andre. For hver af dem skrives tjenesten og ejeren op. Poster, ingen kan forklare, kan sættes på en liste med en frist, hvorefter de fjernes, hvis ingen melder sig.
Se også på kontiene hos DNS-udbyderen. Er der personer på listen, der er stoppet, eller konti uden flerfaktor, kan det rettes med det samme.
Hvad det kræver, og hvad det koster at lade være
Det kræver en eksport og en ejer, der kan svare for hver post. Det tunge er at finde ejeren til gamle poster. Det kan driften gøre selv.
En glemt post kan bruges under jeres navn af en, I ikke kender. En ændringsret, der er bred og ikke logges, betyder, at en ændring kan ske, uden at nogen opdager den, før mailen holder op med at komme.
Det skal I lade være med
- At lade poster stå, fordi ingen ved, hvad de bruges til · find ejeren, eller fjern posten efter en fast frist.
- At dele én konto hos DNS-udbyderen · så viser loggen ikke, hvem der ændrede.
- At lægge interne navne i den offentlige zone · vejledningen fraråder det.
Det skal gennemgangen kunne vise
- ☐ En eksport af alle offentlige zoner med ejer for hver post.
- ☐ Ingen poster, der peger på tredjeparter, I ikke længere bruger.
- ☐ En liste over konti med ret til at ændre zonen og flerfaktor på dem.
- ☐ Log over ændringer og en formel ændringsproces.
Kilder
- SAMSIK, Vejledning: Domænesikkerhed (revideret september 2022), punkt 1.2, 2.1.2, 2.1.5, 2.1.8, 2.1.12 til 2.1.14, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2, litra l, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Eksportér jeres offentlige zone, og markér hver post, der peger på en tredjepart.
Læs også: Når et system lukkes · Det, der står åbent mod internettet
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
