Zmiana rekordów NS i MX
ważność wysokamierzonysposób dns_integrity
Serwery nazw albo serwery poczty domeny zmieniły się względem poprzedniego skanu. Sygnał przejęcia domeny albo przeniesienia poczty bez wiedzy agencji.
Pierwszy skan domeny tylko zapisuje wzorzec; ustalenie otwiera dopiero kolejny skan z innymi rekordami.
WIKI
wiedza ze źródeł zewnętrznychArtykuł o parametrze „Zmiana rekordów NS i MX” jest w przygotowaniu. Powstaje po kolei dla wszystkich 87 parametrów, każde twierdzenie z przypisem do źródła.
STATS
wyniki z systemu · tylko liczby zbiorczeTen parametr nie zapisuje odczytu per strona — przebieg zostawia tylko ustalenia, więc liczby sprawdzonych stron i wyników „ok” system nie ma. Pojawią się po wdrożeniu zapisu przebiegów per strona per parametr.
Ten parametr nie otworzył jeszcze żadnego ustalenia w bazie LAB247. Pusto nie znaczy „czysto” — znaczy, że nic nie przekroczyło reguły.
- Przebiegów
- 33sposób dns_integrity
- W 30 dni
- 0przebiegów
- Ostatni
- 19.09.2026start przebiegu
- Stron w przebiegach
- —33 przebiegów bez liczby stron
CARD
karta z kodu CREATO_PING, odczyt 01.10.2026Jak ten parametr trafia do ClickUpa: wynik sondy to linia w subtasku 2. Pomiar, a usterka, którą otwiera — linia w subtasku 1. Podsumowanie (z identyfikatorem CWE i kategorią OWASP), skąd liczy się wskaźnik zagrożenia i status strony. Projekcja z bazy skanera odświeża oba subtaski co godzinę. Do 22.09 każde ustalenie dostawało własny subtask i status ze starego słownika (PODATNA, WARNING…) — te słowa zostały jeszcze w części opisów pomiaru niżej jako język wewnętrzny sond.
| Obszar i ważność | Bezpieczeństwo · wysoka (B45) |
|---|---|
| Workflow i częstotliwość | creato_ping_security_v2 · P3 działa na LAB247Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4) · Dokładny skan. dns_integrity porównuje NS, MX, SPF i DMARC z wzorcem z poprzedniego przebiegu. |
| Sonda i helper | sposób dns_integrity · CREATO_PING/helpers/dns_integrity_check.py |
| Testy |
|
| Typ wyniku | 0–2 ustalenia: dns_ns_changed i dns_mx_changed; w szczegółach i dowodzie stary i nowy zbiór rekordów |
| Jednostka | brak — wynik jakościowy (zbiór nazw serwerów NS i MX względem wzorca z poprzedniego odczytu) |
| Próg i reguła | Timeout 5,0 s na zapytanie (_LIFETIME). Reguła: dowolna różnica zbioru nazw = zmiana; porównanie dokładnego napisu po zmianie na małe litery i bez kropki na końcu. |
| Gdzie leżą pokrętła | CREATO_PING/helpers/dns_integrity_check.py → diff_snapshot, snapshot, _LIFETIME, _BASELINE_FILENAME, check_batch (concurrency 20)CREATO_PING/skaner/worker.py → srodowisko (katalog stanu rytmu i badania)CREATO_PING/config/incident_policy.toml → [finding] dns_ns_changed, dns_mx_changed |
| Retencja odczytów | Surowy pomiar jako NIEZMIENNY wiersz tabeli `odczyty` w bazie skanera (wejście, wyjście, dowody, sha karty sondy i helpera, commit kodu) — trigger odrzuca każdą zmianę. Okno retencji z kohorty: 90 dni premium, 30 dni reszta; poza oknem zostają odczyty z werdyktem problemu, akcją albo etykietą, bo replay reguł ich potrzebuje (`skaner/retencja.py`). Do LAB247 ten kanał nie idzie (do bazy serwisu jadą dziś tylko sprawdzenia dostępności), więc poza odczytem zostaje werdykt w tabeli `werdykty` i sprawa w tabeli `sprawy`. |
| Znane rozbieżności |
|
| Karta przepisana z | CREATO_PING/helpers/dns_integrity_check.py · CREATO_PING/helpers/security_runner.py · CREATO_PING/helpers/security_testy.py · CREATO_PING/skaner/worker.py · CREATO_PING/skaner/strona.py · CREATO_PING/skaner/kohorty.toml · CREATO_PING/skaner/scenariusze/premium_pelny.toml · CREATO_PING/skaner/scenariusze/tani_ciezki.toml · CREATO_PING/config/incident_policy.toml · CREATO_PING/skaner/usterki.toml · CREATO_PING/skaner/ocena.py · odczyt 01.10.2026 |
dns_ns_changed: bramka polityki otwarta (gate=true) → sprawa w skanerze → Zmiana serwerów nazw domeny — waga 3 → ocena 5–6 (żółty), status strony „sredni”, dopóki sprawa jest otwarta. dns_mx_changed: bramka polityki otwarta (gate=true) → sprawa w skanerze → Zmiana lub usunięcie serwerów poczty — waga 3 → ocena 5–6 (żółty), status strony „sredni”, dopóki sprawa jest otwarta. Ta sama sonda zgłasza zniknięcie SPF albo DMARC (`dns_mail_auth_removed`, parametr Zdjęcie SPF/DMARC) i ich brak (parametry Rekord SPF i Rekord DMARC). Sprawy zakłada rytm p3; w badaniu droga kończy się na usterce przebiegu i wskaźniku badania. Helper nie wysyła sygnału zamknięcia.
| Kod | Finding | Severity | Pewność | Skutek | Finding / alarm | Waga → ocena | Co zrobić |
|---|---|---|---|---|---|---|---|
| B45.01 | Zmiana serwerów NSdns_ns_changed | Wysoka | Niepewne | do weryfikacji | tak / nie | waga 3 → ocena 5–6 (żółty) | Potwierdź zmianę z właścicielem domeny; jeśli nikt jej nie zlecał, zabezpiecz konto u rejestratora. |
| B45.02 | Zmiana rekordów MXdns_mx_changed | Wysoka | Niepewne | do weryfikacji | tak / nie | waga 3 → ocena 5–6 (żółty) | Potwierdź zmianę z właścicielem domeny; sprawdź, kto ma dostęp do strefy DNS. |
| Kod i klucz | B45.01 · dns_ns_changed · w tabeli typów |
|---|---|
| Co znaczy | Serwery nazw domeny różnią się od wzorca z poprzedniego skanu — migracja albo przejęcie panelu DNS. |
| Kiedy powstaje | Porównanie z baseline w state/dns_baseline.json. Finding powstaje, gdy baseline istnieje, nowa lista NS nie jest pusta, stara lista NS nie jest pusta i posortowane listy się różnią. Pierwszy skan zapisuje tylko baseline. |
| Severity · pewność | Wysoka · Niepewne |
| Skutek dla strony | do weryfikacji · zakłada Finding · alarm nie |
| Waga → ocena | waga 3 → ocena 5–6 (żółty) |
| Klasyfikacja | MITRE ATT&CK 19.2: T1584.001 Compromise Infrastructure: Domains (ślad)OCSF 1.9.0: Detection Finding (class_uid 2004) |
| Rekord OCSF | finding_info.analytic.uid = "B45.01" · analytic.name = "dns_ns_changed" · finding_info.types = ["B45 Zmiana rekordów NS i MX"] |
| Co zrobić | Potwierdź zmianę z właścicielem domeny; jeśli nikt jej nie zlecał, zabezpiecz konto u rejestratora. |
| Wersje typu |
|
| Kod i klucz | B45.02 · dns_mx_changed · w tabeli typów |
|---|---|
| Co znaczy | Serwery poczty domeny różnią się od wzorca z poprzedniego skanu — migracja poczty albo przejęcie. |
| Kiedy powstaje | Baseline MX nie jest pusty i różni się od nowej posortowanej listy MX; pusta nowa lista oznacza usunięcie. Nowe NS muszą być niepuste, inaczej brak findingu. |
| Severity · pewność | Wysoka · Niepewne |
| Skutek dla strony | do weryfikacji · zakłada Finding · alarm nie |
| Waga → ocena | waga 3 → ocena 5–6 (żółty) |
| Klasyfikacja | MITRE ATT&CK 19.2: T1584.001 Compromise Infrastructure: Domains (ślad)OCSF 1.9.0: Detection Finding (class_uid 2004) |
| Rekord OCSF | finding_info.analytic.uid = "B45.02" · analytic.name = "dns_mx_changed" · finding_info.types = ["B45 Zmiana rekordów NS i MX"] |
| Co zrobić | Potwierdź zmianę z właścicielem domeny; sprawdź, kto ma dostęp do strefy DNS. |
| Wersje typu |
|
LOOP
bez pętliTrafności jeszcze nie liczymy: zamknięcie subtaska nie niesie dziś werdyktu (prawdziwy / fałszywy / nie dało się sprawdzić). Cztery liczby pojawią się, gdy każde zamknięcie dostanie werdykt — to warunek startu pętli 1.
Ten parametr nie przeszedł jeszcze żadnej pętli. Kolejność po pierwszych pięciu grupach ustali miara trafności.