Ασφάλεια: DNS

Έκδοση: 15 Ιουλίου 2026 Το αρχείο αποτελεί αναλυτική αναφορά για το workshop και τη λειτουργία DNS.

1. Πεδίο εφαρμογής

Το θέμα «Πεδίο εφαρμογής» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Πεδίο εφαρμογής»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

2. Χώρος ονομάτων

Το θέμα «Χώρος ονομάτων» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Χώρος ονομάτων»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

3. Διαδρομή resolver

Το θέμα «Διαδρομή resolver» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Διαδρομή resolver»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

4. Authoritative δεδομένα

Το θέμα «Authoritative δεδομένα» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Authoritative δεδομένα»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

5. Zone files

Το θέμα «Zone files» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Zone files»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

6. Delegation

Το θέμα «Delegation» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Delegation»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

7. Caching

Το θέμα «Caching» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Caching»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

8. Negative caching

Το θέμα «Negative caching» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Negative caching»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

9. Τύποι records

Το θέμα «Τύποι records» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Τύποι records»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

10. Transport

Το θέμα «Transport» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Transport»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

11. DNSSEC

Το θέμα «DNSSEC» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «DNSSEC»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

12. Zone transfers

Το θέμα «Zone transfers» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Zone transfers»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

13. Πολιτική resolver

Το θέμα «Πολιτική resolver» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Πολιτική resolver»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

14. Kubernetes DNS

Το θέμα «Kubernetes DNS» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Kubernetes DNS»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

15. Monitoring

Το θέμα «Monitoring» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Monitoring»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

16. Λειτουργία

Το θέμα «Λειτουργία» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Λειτουργία»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

17. Ασφάλεια

Το θέμα «Ασφάλεια» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Ασφάλεια»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

18. Troubleshooting

Το θέμα «Troubleshooting» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Troubleshooting»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

19. Review

Το θέμα «Review» εξετάζεται εδώ ως ελέγξιμο δομικό στοιχείο DNS. Δεν αρκεί ένα query: πρέπει να εξετάζεται και η θέση του στο namespace, στη zone, στο delegation, στη διαδρομή resolver, στο cache, στο transport και στο μοντέλο ασφάλειας.

Ερώτηση review	Αναμενόμενο
Ρόλος	Κατονομάζεται ο stub resolver, recursive resolver, forwarder, authoritative name server ή registry/provider.
Δεδομένα	Το όνομα, RRtype, RRset, zone, SOA και TTL μπορούν να ιχνηλατηθούν.
Απάντηση	Δεν παραλείπονται το RCODE, το authority section και το additional section.
Λειτουργία	Τεκμηριώνονται rollback, χρονικό παράθυρο TTL και propagation.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Πρακτικές σημειώσεις για το θέμα «Review»:

Το DNS είναι κατανεμημένο και χρησιμοποιεί cache· οι τοπικές αλλαγές δεν γίνονται αυτόματα ορατές παγκοσμίως.
Το TTL και το negative TTL καθορίζουν πόσο γρήγορα εφαρμόζονται οι διορθώσεις.
Ένα CNAME δεν πρέπει να συνυπάρχει με άλλα δεδομένα στο ίδιο owner name.
Τα delegations απαιτούν συνεπείς NS records και, όπου χρειάζεται, glue records.
Το DNSSEC προστατεύει την ακεραιότητα και την προέλευση, όχι την εμπιστευτικότητα.
Το EDNS επεκτείνει τα μηνύματα DNS και επηρεάζει το μέγεθος των απαντήσεων DNSSEC.
Οι δημόσιες, ιδιωτικές και εσωτερικές προβολές DNS του Kubernetes πρέπει να αξιολογούνται χωριστά.

Συνηθισμένοι τρόποι αστοχίας:

Σύμπτωμα	Συνήθης αιτία	Διάγνωση
`NXDOMAIN`	Το όνομα δεν υπάρχει ή η zone είναι λάθος	Ελέγξτε SOA και authority section.
`NOERROR` χωρίς δεδομένα	NODATA ή λάθος RRtype	Ελέγξτε RRset και τύπο.
`SERVFAIL`	Αστοχία DNSSEC, upstream ή resolver	Ελέγξτε `+dnssec`, logs και validation.
`REFUSED`	Δεν επιτρέπεται ACL, recursion ή transfer	Ελέγξτε τον ρόλο server και το ACL.
Παρωχημένη απάντηση	Cache ή TTL	Ελέγξτε TTL, resolver cache και SOA.

Ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται: stub, recursive resolver ή authoritative server;
Ποια zone, ποιο όνομα ή ποιο RRset επηρεάζεται;
Ποια απάντηση αναμένεται: NOERROR, NXDOMAIN, NODATA, SERVFAIL ή REFUSED;
Ποια απόφαση για TTL, SOA ή delegation επηρεάζει τη συμπεριφορά;
Ποιο evidence τεκμηριώνει το συμπέρασμα;
Ποια αλλαγή θα είχε κίνδυνο στο production;

Μορφή υποβολής για την ασφάλεια:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

Επίσημες πηγές και όρια

RFC 1034, Domain Names - Concepts and Facilities: https://datatracker.ietf.org/doc/html/rfc1034
RFC 1035, Domain Names - Implementation and Specification: https://datatracker.ietf.org/doc/html/rfc1035
RFC 8499, DNS Terminology: https://www.rfc-editor.org/info/rfc8499/
RFC 6891, Extension Mechanisms for DNS (EDNS(0)): https://datatracker.ietf.org/doc/html/rfc6891
RFC 4033, DNS Security Introduction and Requirements: https://datatracker.ietf.org/doc/html/rfc4033
RFC 9364, DNSSEC Best Current Practice: https://www.rfc-editor.org/info/rfc9364/
IANA Root Zone Database: https://www.iana.org/domains/root/db
ISC BIND 9 Documentation: https://bind9.readthedocs.io/
CoreDNS Documentation: https://coredns.io/manual/toc/

Το workshop δεν εισάγει κανόνες του πρωτοκόλλου DNS. Αντιστοιχίζει επίσημες έννοιες DNS σε labs, ερωτήσεις review, zone files, μοντέλα resolvers και λειτουργικές ροές εργασίας.

Πρακτικό παράρτημα: DNS evidence για το `security-dns-EL.md`

Το παράρτημα συνδέει το αρχείο με επαναλήψιμο DNS evidence. Μια δήλωση για DNS είναι αξιόπιστη μόνο όταν εξετάζονται μαζί ο ρόλος, η zone, το όνομα, το RRtype, το RCODE, το TTL, το resolver path και η λειτουργική επίδραση.

A.1 Namespace και FQDN

Το DNS βασίζεται σε ιεραρχικό namespace. Κάθε ανάλυση πρέπει να διευκρινίζει αν ένα όνομα είναι σχετικό, πλήρως προσδιορισμένο, μέρος μιας zone ή επηρεάζεται από το search path του τοπικού stub resolver.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Namespace και FQDN».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.2 Stub Resolver

Ο client stub resolver γνωρίζει συνήθως μόνο τους τοπικούς resolvers και τις search lists. Σφάλματα σε resolv.conf, systemd-resolved ή search domains μπορεί να μοιάζουν με αστοχίες server.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Stub Resolver».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.3 Recursive Resolver

Ένας recursive resolver εκτελεί iteration, caching, DNSSEC validation και forwarding. Δεν ταυτίζεται με τον authoritative server μιας zone.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Recursive Resolver».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.4 Authoritative Server

Οι authoritative servers απαντούν βάσει zones. Δεν πρέπει να παρέχουν open recursion και χρειάζονται σαφή ownership της zone, κανόνες transfer και monitoring.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Authoritative Server».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.5 Zone και Apex

Μια zone ξεκινά στο apex και περιέχει SOA, NS και authoritative RRsets. Κάθε αλλαγή χρειάζεται serial policy, review και rollback.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Zone και Apex».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.6 SOA και Serial

Το SOA ελέγχει metadata της zone, refresh, retry, expire και negative cache time. Οι τιμές serial έχουν σημασία για secondary servers και audit.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «SOA και Serial».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.7 TTL και Cache

Το TTL καθορίζει πόσο διατηρούνται οι απαντήσεις στο cache. Πριν από migrations, τα TTLs πρέπει να μειώνονται αρκετά νωρίς και να σταθεροποιούνται μετά την αλλαγή.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «TTL και Cache».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.8 Negative Caching

Τα NXDOMAIN και NODATA αποθηκεύονται στο cache βάσει πληροφοριών SOA. Αυτό εξηγεί γιατί διαγραμμένα ή πρόσφατα δημιουργημένα ονόματα δεν εμφανίζονται αμέσως παντού.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Negative Caching».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.9 Delegation

Το delegation συνδέει parent και child zone. Τα NS records, το glue και το SOA της child zone πρέπει να είναι συνεπή, αλλιώς εμφανίζονται δύσκολα εντοπίσιμες διακοπές.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Delegation».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.10 Glue Records

Το glue χρειάζεται όταν τα ονόματα των name servers βρίσκονται μέσα στη delegated zone. Λανθασμένο ή ελλιπές glue μπορεί να εμποδίσει την πρόσβαση στη child zone.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Glue Records».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.11 Τύποι records

Τα A, AAAA, CNAME, MX, TXT, SRV, PTR, NS και SOA έχουν διαφορετικούς κανόνες. Ένα CNAME δεν πρέπει να συνδυάζεται με άλλα δεδομένα στο ίδιο owner name.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Τύποι records».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.12 DNS για email

Τα SPF, DKIM και DMARC είναι δεδομένα mail policy βασισμένα σε DNS. Η σύνταξη, το TTL και το ownership του οργανισμού πρέπει να εξετάζονται χωριστά.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «DNS για email».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.13 Reverse DNS

Οι PTR zones ανήκουν στον χώρο διευθύνσεων, όχι στη forward zone. Το ownership και το delegation τους συχνά διαφέρουν από εκείνα της domain zone.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Reverse DNS».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.14 Transport

Το DNS χρησιμοποιεί UDP και TCP. Το EDNS επεκτείνει τα μεγέθη απαντήσεων UDP· fragmentation, το TC bit και το TCP fallback είναι συνηθισμένες πηγές σφαλμάτων.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Transport».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.15 EDNS

Το EDNS(0) επιτρέπει μεγαλύτερες απαντήσεις και τη μεταφορά DNSSEC, αλλά μπορεί να εμποδίζεται από firewalls ή middleboxes.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «EDNS».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.16 DNSSEC

Το DNSSEC προστατεύει την προέλευση και την ακεραιότητα, όχι την εμπιστευτικότητα. Τα DS, DNSKEY, RRSIG, NSEC/NSEC3 και η κατάσταση validation πρέπει να εξετάζονται μαζί.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «DNSSEC».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.17 TSIG

Το TSIG προστατεύει zone transfers και dynamic updates με κοινόχρηστα κλειδιά. Αυτά τα κλειδιά δεν ανήκουν σε repositories και χρειάζονται rotation.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «TSIG».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.18 Zone Transfer

Τα AXFR και IXFR είναι λειτουργίες διαχείρισης. Τα allow-transfer, notify, secondary servers και audit πρέπει να τεκμηριώνονται καθαρά.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Zone Transfer».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.19 Dynamic Update

Το DNS UPDATE πρέπει να επιτρέπεται μόνο με στενά ορισμένο policy και TSIG. Ανεξέλεγκτες ενημερώσεις μπορούν να καταστρέψουν την ακεραιότητα της zone και το audit.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Dynamic Update».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.20 Split Horizon

Το split horizon παράγει διαφορετικές απαντήσεις ανά view. Αυτό είναι θεμιτό, αλλά το troubleshooting και το security review πρέπει να κατονομάζουν το επηρεασμένο view.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Split Horizon».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.21 Ιδιωτικότητα Resolver

Τα DoT, DoH και QNAME minimization επηρεάζουν τη μεταφορά και την ιδιωτικότητα. Δεν αντικαθιστούν το DNSSEC ή τα σωστά zone data.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Ιδιωτικότητα Resolver».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.22 RPZ και DNS Firewall

Οι Response Policy Zones και τα DNS firewalls είναι έλεγχοι ασφάλειας. Χρειάζονται σαφές policy, logging, διαδικασία εξαιρέσεων και πρόληψη κατάχρησης.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «RPZ και DNS Firewall».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.23 Kubernetes DNS

Το CoreDNS στο Kubernetes συνδυάζει Service Discovery, cluster domains και forwarding. Σφάλματα μπορεί να προέρχονται από CoreDNS, ρυθμίσεις kube-dns, NetworkPolicy ή upstream DNS.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Kubernetes DNS».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.24 Monitoring

Το DNS monitoring πρέπει να καλύπτει κατανομή RCODEs, latency, ποσοστό SERVFAIL, αιχμές NXDOMAIN, κατάσταση transfers, DNSSEC validation και serials των zones.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Monitoring».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.25 Incident Response

Τα DNS incidents χρειάζονται γρήγορη ταξινόμηση: επηρεασμένο view, resolver path, RCODE, TTL, cache, delegation, DNSSEC και πρόσφατες αλλαγές.

Πεδίο review	Αναμενόμενο
Context	Το `security-dns-EL.md` εξηγεί τη σχέση με το θέμα «Incident Response».
Evidence	Υπάρχει αποτέλεσμα query, zone file, log, YAML/JSON/TOML ή runbook.
Operations	Αξιολογούνται TTL, cache, delegation, propagation και rollback.
Security	Ελέγχονται DNSSEC, TSIG, ACL, privacy ή προστασία από κατάχρηση όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

Ποιος ρόλος DNS επηρεάζεται;
Ποια zone και ποιο owner name επηρεάζονται;
Ποια RRtype και RCODE παρατηρήθηκαν;
Ποιο TTL ή negative cache time ισχύει;
Ποιο delegation ή resolver path εμπλέκεται;
Ποιος έλεγχος ασφάλειας είναι σχετικός;
Ποιο evidence δεν περιέχει secrets;
Ποιο είναι το rollback;

Τυπικό evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.26 Ελάχιστο evidence ολοκλήρωσης

RCODE, RRtype, zone και resolver path έχουν τεκμηριωθεί.
Τα zone files περιέχουν SOA και NS και δεν παραβιάζουν κανόνες CNAME.
TTL, negative cache time και χρονικό παράθυρο rollback κατονομάζονται.
DNSSEC, TSIG ή ACLs δεν δηλώνονται ως εφαρμοσμένα χωρίς evidence.
Το evidence δεν περιέχει production secrets, API tokens ή zone keys.
Τα επίσημα RFCs και η τεκμηρίωση εργαλείων αντικαθιστούν τις παραδοχές.

Ασφάλεια: DNS

1. Πεδίο εφαρμογής

2. Χώρος ονομάτων

3. Διαδρομή resolver

4. Authoritative δεδομένα

5. Zone files

6. Delegation

7. Caching

8. Negative caching

9. Τύποι records

10. Transport

11. DNSSEC

12. Zone transfers

13. Πολιτική resolver

14. Kubernetes DNS

15. Monitoring

16. Λειτουργία

17. Ασφάλεια

18. Troubleshooting

19. Review

Επίσημες πηγές και όρια

Πρακτικό παράρτημα: DNS evidence για το security-dns-EL.md

A.1 Namespace και FQDN

A.2 Stub Resolver

A.3 Recursive Resolver

A.4 Authoritative Server

A.5 Zone και Apex

A.6 SOA και Serial

A.7 TTL και Cache

A.8 Negative Caching

A.9 Delegation

A.10 Glue Records

A.11 Τύποι records

A.12 DNS για email

A.13 Reverse DNS

A.14 Transport

A.15 EDNS

A.16 DNSSEC

A.17 TSIG

A.18 Zone Transfer

A.19 Dynamic Update

A.20 Split Horizon

A.21 Ιδιωτικότητα Resolver

A.22 RPZ και DNS Firewall

A.23 Kubernetes DNS

A.24 Monitoring

A.25 Incident Response

A.26 Ελάχιστο evidence ολοκλήρωσης

31 modules as one continuous learning path.

Πρακτικό παράρτημα: DNS evidence για το `security-dns-EL.md`