Mit den DNS-Takeover-Warnmeldungen in PowerDMARC können Sie Ihre Domains kontinuierlich auf fehlerhaft konfigurierte DNS-Einträge überwachen, die Angreifer ausnutzen können, um Ihre Subdomains zu kapern – selbst wenn DMARC vollständig durchgesetzt wird. Mithilfe des erweiterten PowerAlerts-Systems können Sie Warnmeldungen konfigurieren, die Ihre Domain-Infrastruktur automatisch überprüfen, fehlerhafte DNS-Einträge erkennen und Ihr Team benachrichtigen, sobald ein Risiko identifiziert wird.
Dieser Artikel enthält eine Schritt-für-Schritt-Anleitung zur Konfiguration von DNS-Takeover-Warnmeldungen und erläutert die einzelnen Konfigurationsoptionen, damit Sie eine effektive, proaktive Überwachung Ihrer Domains einrichten können.
Schritt 1: Überwachungsobjekte auswählen
Navigieren Sie zu „PowerAlerts“ > „Konfiguration“ > „Alarmkonfiguration hinzufügen“.
Klicken Sie auf „Alarmkonfiguration hinzufügen“.
Wählen Sie unter „Zu überwachende Objekte“ eine oder mehrere Domänen oder eine Domänengruppe aus, um mehrere Domänen gemeinsam zu überwachen.
Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf „Weiter“.
Überwachungseinheiten legen fest, für welche Domains die Warnmeldung „DNS-Übernahme“ gilt. Als Überwachungseinheiten können nur explizit hinzugefügte (kostenpflichtige) Domains ausgewählt werden. Automatisch erkannte Subdomains können nicht direkt ausgewählt werden.
Schritt 2: Wählen Sie den Alarmtyp aus
Wählen Sie im Abschnitt „Alarmtyp“ aus der Dropdown-Liste die Option „DNS-Übernahme“ aus.
Klicken Sie auf „Weiter“, um fortzufahren.
DNS-Takeover-Warnungen überwachen die DNS-Einträge Ihrer Domain auf Konfigurationen, die anfällig für Subdomain-Takeover-Angriffe sind, wie beispielsweise Nameserver-Delegierungen, CNAME-Einträge, SPF-Einbindungen und MX-Einträge, die auf Hostnamen oder Domains verweisen, die nicht mehr existieren.
Schritt 3: Alarmbedingungen konfigurieren
Dies ist der zentrale Schritt, in dem Sie festlegen, bei welchen DNS-Übernahmeprüfungen eine Warnmeldung ausgelöst werden soll.
Veranstaltungstyp
Unter „Ereignistyp“ legen Sie fest, welche Art von DNS-Konfigurationsfehlern Sie überwachen möchten. Wählen Sie eine oder mehrere der folgenden Optionen aus:
Ereignisauslöser
Der Ereignisauslöser wird automatisch auf Grundlage des ausgewählten Ereignistyps ausgefüllt und stellt das spezifische Erkennungssignal dar, das die Warnmeldung auslöst:
Schweregrad
Der Schweregrad wird vom System anhand des Risikograds der jeweiligen Prüfart zugewiesen und als schreibgeschütztes Feld angezeigt. Bei Warnmeldungen zu DNS-Takeover-Angriffen kann er nicht manuell angepasst werden.
Mehrere Bedingungen hinzufügen
Sie können innerhalb derselben Alarmkonfiguration mehrere Prüfarten überwachen:
Klicken Sie auf „+ Neues DNS-Takeover-Ereignis hinzufügen“, um einzelne Bedingungen nacheinander hinzuzufügen.
Alle fünf Prüfarten können innerhalb einer einzigen Konfiguration aktiv sein.
Sobald alle Bedingungen festgelegt sind, klicken Sie auf „Weiter“.
Schritt 4: Benachrichtigungsgruppen konfigurieren
Benachrichtigungsgruppen legen fest, wer Benachrichtigungen erhält und wie diese übermittelt werden. Sie können entweder eine vorhandene Benachrichtigungsgruppe auswählen oder eine neue erstellen.
Option 1: Neue Benachrichtigungsgruppe erstellen
Wenn keine geeignete Benachrichtigungsgruppe vorhanden ist, können Sie diese direkt aus dem Alarmkonfigurationsablauf heraus erstellen.
Klicken Sie auf „Benachrichtigungsgruppe erstellen“.
Geben Sie im Bereich „Benachrichtigungsgruppe erstellen“ die folgenden Angaben ein:
Name: Geben Sie einen Namen ein, um die Benachrichtigungsgruppe zu kennzeichnen. Dieser Name wird angezeigt, wenn Sie Benachrichtigungsgruppen für Warnmeldungen auswählen.
E-Mails: Fügen Sie eine oder mehrere E-Mail-Adressen hinzu, um Benachrichtigungen zu erhalten. Es können mehrere E-Mail-Adressen als Empfänger hinzugefügt werden.
Webhooks (optional): Verwenden Sie die Option „Webhook hinzufügen“, um webhook-basierte Benachrichtigungen für Dienste von Drittanbietern wie Slack oder Discord zu konfigurieren.
Klicken Sie auf „Speichern“, um die Benachrichtigungsgruppe zu erstellen.
Nach der Erstellung steht die neue Benachrichtigungsgruppe zur Auswahl bereit und kann in mehreren Alarmkonfigurationen wiederverwendet werden.
Option 2: Eine vorhandene Benachrichtigungsgruppe auswählen
Klicken Sie im Abschnitt „Benachrichtigungsgruppen“ auf das Dropdown-Menü.
Wählen Sie eine oder mehrere vorhandene Benachrichtigungsgruppen aus der Liste aus.
Fahren Sie mit der Erstellung der Alarmkonfiguration fort.
Schritt 5: Alarmkonfiguration erstellen
Überprüfen Sie die ausgewählten Domänen, den Alarmtyp, die Bedingungen und die Benachrichtigungseinstellungen.
Klicken Sie auf „Konfiguration erstellen“, um die Warnmeldung zu speichern.
Ihre DNS-Übernahme-Warnung beginnt nun sofort mit der Überwachung. Sobald die Konfiguration gespeichert ist, wird ein erster Scan durchgeführt, gefolgt von fortlaufenden, planmäßigen Scans.
So funktioniert die Erkennung von DNS-Übernahmen
Sobald eine Konfiguration für DNS-Takeover-Warnungen aktiv ist, führt die Erkennungs-Engine von PowerDMARC den folgenden Prozess durch:
Geplante Scans: Werden alle 24 Stunden pro überwachter Domain erneut ausgeführt. Ein erster Scan wird sofort nach dem Speichern der Konfiguration ausgelöst; nachfolgende Scans bestätigen neue Risiken oder die Behebung bestehender Befunde.
Geltungsbereich der Subdomains: Die Engine überprüft alle der Plattform bekannten Subdomains der überwachten Domain, einschließlich der Subdomains, die in den vorhandenen Domain-Daten der Plattform erfasst sind. Nur explizit hinzugefügte Domains können als Überwachungseinheiten konfiguriert werden; automatisch erkannte Subdomains werden automatisch unter ihrer übergeordneten Domain überprüft.
DNS-Validierung: Jede DNS-Abfrage wird genau dreimal wiederholt, bevor ein Eintrag als nicht auflösbar (NXDOMAIN) eingestuft wird.
Wiederholung: Wenn ein zuvor behobener Befund bei einer späteren Untersuchung erneut auftritt, wird eine neue Warnmeldung mit einem neuen Datum des ersten Auslösers erstellt. Der historisch behobene Befund wird zu Prüfungs- und Berichtszwecken aufbewahrt.
Ein Befund wird erst erstellt, wenn ein DNS-Objekt nach mehreren Validierungsversuchen als nicht auflösbar (NXDOMAIN) bestätigt wird, um Fehlalarme aufgrund vorübergehender DNS-Ausfälle zu vermeiden.
DNS-Übernahme-Warnmeldungen anzeigen
Sobald sie ausgelöst wurden, werden DNS-Takeover-Warnmeldungen unter „PowerAlerts > Warnprotokolle“ auf der Registerkarte „DNS-Takeover-Warnmeldungen“ angezeigt.
Jeder Alarm-Eintrag zeigt Folgendes an:
Leitfaden zur Sanierung
Jede DNS-Takeover-Warnmeldung enthält eine direkt eingebettete Anweisung zur Behebung des Problems, in der erläutert wird, was festgestellt wurde und welche Maßnahmen zu ergreifen sind:
Alarmstatus
Eine DNS-Übernahme-Warnung deaktivieren oder löschen
In der Liste „Warnungskonfigurationen“ können Sie jede DNS-Takeover-Warnung über die Aktionssteuerelemente in den einzelnen Zeilen verwalten:
Bearbeiten (Bleistift-Symbol) – Ändern Sie die Bedingungen, die überwachten Objekte oder die Benachrichtigungsgruppe.
Umschalten (Strom-Symbol) — Aktivieren oder deaktivieren Sie die Konfiguration, ohne sie zu löschen. Durch die Deaktivierung wird die Überwachung unterbrochen und es werden keine Benachrichtigungen mehr für diese Konfiguration gesendet.
Löschen (Papierkorbsymbol) – Die Konfiguration wird endgültig entfernt. Zugehörige Einträge im Alarmprotokoll bleiben im Alarmprotokoll erhalten.
Wenn Sie weitere Hilfe benötigen, besuchen Sie support.powerdmarc.com oder wenden Sie sich an Ihren PowerDMARC-Kundenbetreuer.