Hyödyllinen DNS historia selittää sekä tarkoituksen että havainnon. Vaihtolipussa kerrotaan, mitä operaattori aikoi julkaista. Arvovaltainen vastaus näyttää, mitä kyselyn kohteena oleva palvelin palautti tietyllä hetkellä. Rekursiivinen vastaus näyttää, mitä ratkaisija palautti, mahdollisesti välimuistista. Säilytä kaikki kolme todennustapahtumaa rekonstruoitaessa; kukaan ei yksin kerro koko tarinaa.
Tallenna tarkka kohde ja lähde
Säilytä jokaisesta havainnosta UTC-aika, kysytyn omistajan nimi, tyyppi, palvelimen osoite, kuljetus, vastauskoodi, asiaankuuluvat liput, TTL ja täydellinen vastaus. Säilytä raakatulostus- tai lankatiedot sekä normalisoitu näkymä. Kirjaa muistiin, tuliko havainto arvovaltaiselta palvelimelta, rekursiiviselta ratkaisijalta vai ohjauspaneelin viennistä. RFC 1034 selittää auktoriteetin ja välimuistin eron.
Käytännön muutosta varten säilytä aiemmat ja aiotut arvot, hyväksyjä, liiketoiminnallinen syy, vaikuttaneet lähettäjät ja palautusehdot. Myöhempi kuvakaappaus ei voi todistaa aikaisempaa DNS tilaa. Jos historiaa ei vangittu, sano se. Passiiviset havainnot tai raportin metatiedot voivat antaa vihjeitä, mutta niitä ei pidä esittää täydellisenä, arvovaltaisena muutoslokina.
Säilytä semantiikka, kun vertailet tietueita
Normalisoi huolellisesti. DNS nimien kirjainkoolla ei ole merkitystä, mutta kaiken TXT sisällön mielivaltainen muuntaminen voi vahingoittaa todisteita. TXT RDATA voi sisältää useita merkkijonoja; esityksen lainaus ei ole sama asia kuin useat itsenäiset resurssitietueet. Säilytä alkuperäinen rakenne ja vertaa sovelluksen kannalta merkityksellistä arvoa erikseen. varten SPF, useat käytäntötietueet ovat semanttinen ongelma, ei vaaraton muotoilu.
Erottele käytäntöarvon muutos TTL-muutoksesta, delegoinnin muutoksesta ja ratkaisejan välimuistin siirrosta. Negatiiviset vastaukset voivat säilyä negatiivisten välimuistisääntöjen mukaisesti RFC 2308. Uusi arvovaltainen arvo ei osoita, että jokainen vastaanotin käytti sitä välittömästi. Vältä johtamasta yleistä etenemisaikaa yhdestä onnistuneesta hausta.
Lue kaksi havaintoa keksimättä muokkausaikaa
Oletetaan, että valtuutettu arvovaltainen kysely klo 10.00 näyttää vanhan käytännön. Klo 10.05 sama viranomainen palauttaa uuden käytännön, kun taas rekursiivinen ratkaisija palauttaa edelleen vanhan arvon jäljellä olevan välimuistin käyttöiän kanssa. Molemmat havainnot voivat olla tarkkoja vastaaville lähteilleen. Kumpikaan ei vahvista, että kaikilla muilla palvelimilla tai vastaanottimilla on uusi arvo.
Tämä on hypoteettinen aikajana, ei säilytettyjä paketteja tai suoritettua DNS laboratoriota. Jos palveluntarjoajan auditointitapahtuma ei ole saatavilla, tarkkaa mutaatiohetkeä ei tiedetä. Kun oletetaan, että kyseinen viranomainen on yksi siirtymä, havainnot sitoivat, kun tämän viranomaisen näkyvä vastaus muuttui; ne eivät todista tarkkaa julkaisuaikaa tai globaalia lähentymistä. Tallenna puuttuva tarkastustapahtuma sen sijaan, että täytä se arvatulla aikaleimalla.
Yhdistä historia viestien todisteisiin
Kun tarkastelet vikaa, kohdista viestien aikaleimat, DNS havainnot, allekirjoituksen valitsimet, jonoviiveet ja raporttien havaintovälit. RFC 9990 tarjoaa kootun raportointikontekstin, mutta raportti ei ole DNS muokkausten tapahtumaloki. Todennustulos kuvaa arviointia; se ei välttämättä paljasta tarkkaa ratkaisejan välimuistin sisältöä, joka aiheutti sen.
Säilytä todisteet hyväksyttyjen pääsy- ja säilytyskäytäntöjen mukaisesti. Tiivisteet auttavat havaitsemaan muuttuneet tavut, mutta allekirjoittamaton paikallinen luettelo ei ole väärentämisen estävä alkuperä. Säilytä lähde- ja kokoelmakonteksti tiivistelmässä. Tee aukot selkeästi, mukaan lukien puuttuvat näkökohdat tai tallentamattomat jaksot. Tavoitteena on puolustettava jälleenrakennus ja turvallisempi seuraava muutos, ei väärä varmuus jokaisen vastaanottajan näkemyksestä.