Τεκμηρίωση παραδείγματος: Monitoring και query logs
1. Στόχος
Οργανώνονται τα query logs, η κατανομή RCODE και το evidence για SLO.
2. Τι γίνεται
Το παράδειγμα ελέγχει τοπικά artifacts και δημιουργεί evidence κάτω από το work/.
3. Γιατί γίνεται
Οι αστοχίες DNS χρειάζονται evidence για RCODE, zone, TTL, delegation και resolver path.
4. Τυπικές εντολές
dig example.test SOA +norecurse 2>/dev/null || true
named-checkzone example.test zones/db.example.test 2>/dev/null || true
5. Έλεγχος επιτυχίας
- Τα artifacts είναι έγκυρα.
- Υπάρχει evidence.
- Δεν χρησιμοποιούνται production δεδομένα.
6. Συνηθισμένα λάθη
- Λάθος RRtype.
- Αγνόηση του TTL.
- Σύγχυση του resolver cache με authoritative δεδομένα.
7. Ζητήματα ασφάλειας
Οι διαμορφώσεις DNS δεν πρέπει να περιέχουν πραγματικά secrets ή provider credentials.
8. Ρεαλιστική χρήση
Το μοτίβο εφαρμόζεται σε reviews αλλαγών, λειτουργία και incident response.
9. Ροή workshop
- Διαβάστε τα artifacts.
- Εκτελέστε το script.
- Εξετάστε το evidence.
- Τεκμηριώστε τον κίνδυνο.
10. Πίνακας review
| Πεδίο review | Αναμενόμενο |
|---|---|
| Zone | Η zone και το όνομα είναι σαφή. |
| Απάντηση | Εξηγείται το RCODE. |
| Λειτουργία | Αξιολογούνται TTL και rollback. |
Επίσημες αναφορές
- RFC 1034: https://datatracker.ietf.org/doc/html/rfc1034
- RFC 1035: https://datatracker.ietf.org/doc/html/rfc1035
- RFC 8499: https://www.rfc-editor.org/info/rfc8499/
- RFC 6891 EDNS(0): https://datatracker.ietf.org/doc/html/rfc6891
- RFC 4033 DNSSEC: https://datatracker.ietf.org/doc/html/rfc4033
- RFC 9364 DNSSEC BCP: https://www.rfc-editor.org/info/rfc9364/
Παράρτημα παραδείγματος: Evidence, λειτουργία και μεταφορά γνώσης
Το παράρτημα ολοκληρώνει το παράδειγμα ως εκπαιδευτικό στοιχείο. Περιγράφει πώς ένα τοπικό μοντέλο DNS οδηγεί σε αξιόπιστη ανάλυση χωρίς χρήση production domains ή provider credentials.
B.1 Ορισμός πεδίου εφαρμογής
Το βήμα «Ορισμός πεδίου εφαρμογής» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.2 Έλεγχος artifacts
Το βήμα «Έλεγχος artifacts» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.3 Κατονομασία ρόλου DNS
Το βήμα «Κατονομασία ρόλου DNS» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.4 Ερμηνεία RCODE
Το βήμα «Ερμηνεία RCODE» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.5 Αξιολόγηση TTL
Το βήμα «Αξιολόγηση TTL» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.6 Έλεγχος delegation
Το βήμα «Έλεγχος delegation» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.7 Καταγραφή ορίων ασφάλειας
Το βήμα «Καταγραφή ορίων ασφάλειας» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.8 Σύνταξη rollback
Το βήμα «Σύνταξη rollback» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.9 Καθαρισμός evidence
Το βήμα «Καθαρισμός evidence» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.10 Εκτέλεση cleanup
Το βήμα «Εκτέλεση cleanup» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.11 Ολοκλήρωση
Ένα παράδειγμα ολοκληρώνεται όταν το script εκτελείται επιτυχώς, όλα τα artifacts είναι συντακτικά έγκυρα, κατονομάζεται ο ρόλος DNS και το evidence δεν περιέχει εμπιστευτικά δεδομένα.