Riwayat DNS yang berguna menjelaskan maksud dan observasi. Tiket perubahan menyatakan apa yang ingin dipublikasikan oleh operator. Jawaban otoritatif menunjukkan apa yang dikembalikan oleh server yang ditanyakan pada saat tertentu. Jawaban rekursif menunjukkan apa yang dikembalikan oleh penyelesai itu, mungkin dari cache. Pertahankan ketiganya saat merekonstruksi insiden otentikasi; tidak ada seorang pun yang menceritakan kisah lengkapnya.
Catat objek dan sumbernya dengan tepat
Untuk setiap pengamatan, simpan waktu UTC, nama pemilik yang ditanyakan, jenis, alamat server, transportasi, kode respons, tanda yang relevan, TTL, dan jawaban lengkap. Pertahankan keluaran mentah atau data kabel serta tampilan yang dinormalisasi. Catat apakah observasi berasal dari server resmi, pemecah masalah rekursif, atau ekspor panel kontrol. RFC 1034 menjelaskan perbedaan otoritas dan cache.
Untuk perubahan kebijakan, pertahankan nilai sebelumnya dan yang diinginkan, pemberi persetujuan, alasan bisnis, pengirim yang terpengaruh, dan ketentuan rollback. Tangkapan layar selanjutnya tidak dapat membuktikan status DNS sebelumnya. Jika sejarah tidak terekam, katakan saja. Pengamatan pasif atau metadata laporan dapat memberikan petunjuk namun tidak boleh disajikan sebagai catatan perubahan resmi yang lengkap.
Pertahankan semantik saat membandingkan catatan
Normalisasikan dengan hati-hati. Nama DNS tidak membedakan huruf besar dan kecil, namun transformasi semua konten TXT secara sembarangan dapat merusak bukti. TXT RDATA dapat berisi beberapa string karakter; kutipan presentasi tidak sama dengan beberapa catatan sumber daya independen. Pertahankan struktur asli dan bandingkan nilai yang bermakna penerapan secara terpisah. Untuk SPF, beberapa catatan kebijakan merupakan masalah semantik, bukan pemformatan yang tidak berbahaya.
Pisahkan perubahan nilai kebijakan dari perubahan TTL, perubahan delegasi, dan transisi cache penyelesai. Respons negatif dapat bertahan sesuai dengan aturan penyimpanan cache negatif di RFC 2308. Nilai otoritatif baru tidak menetapkan bahwa setiap penerima langsung menggunakannya. Hindari memperoleh waktu penyelesaian propagasi universal dari satu pencarian yang berhasil.
Baca dua observasi tanpa membuat waktu edit
Misalkan kueri otoritatif yang diotorisasi pada pukul 10:00 menunjukkan kebijakan lama. Pada pukul 10:05, otoritas yang sama mengembalikan kebijakan baru, sementara penyelesai rekursif masih mengembalikan nilai lama dengan sisa masa pakai cache. Kedua pengamatan tersebut mungkin akurat untuk sumbernya masing-masing. Tidak ada yang menetapkan bahwa semua server atau penerima lain memiliki nilai baru.
Ini adalah garis waktu hipotetis, bukan paket yang disimpan atau lab DNS yang dijalankan. Jika peristiwa audit penyedia tidak tersedia, momen mutasi pastinya tidak diketahui. Berdasarkan asumsi yang dinyatakan tentang transisi tunggal pada otoritas yang ditanyakan, observasi terikat ketika jawaban nyata dari otoritas tersebut berubah; mereka tidak membuktikan waktu publikasi yang tepat atau konvergensi global. Catat peristiwa audit yang hilang alih-alih mengisinya dengan stempel waktu yang dapat ditebak.
Hubungkan sejarah dengan bukti pesan
Saat meninjau kegagalan, selaraskan stempel waktu pesan, observasi DNS , pemilih penandatanganan, penundaan antrean, dan interval observasi laporan. RFC 9990 memberikan konteks pelaporan agregat, namun laporan bukanlah log transaksi untuk pengeditan DNS . Hasil otentikasi menjelaskan evaluasi; itu mungkin tidak mengungkapkan isi cache penyelesai yang menyebabkannya.
Simpan bukti berdasarkan kebijakan akses dan penyimpanan yang disetujui. Hash membantu mendeteksi byte yang diubah, namun manifes lokal yang tidak ditandatangani tidak dapat dirusak. Pertahankan konteks sumber dan koleksi dengan intisari. Perlihatkan kesenjangan secara eksplisit, termasuk hilangnya titik pandang atau periode yang tidak tercatat. Tujuannya adalah rekonstruksi yang dapat dipertahankan dan perubahan berikutnya yang lebih aman, bukan kepastian palsu mengenai pandangan setiap penerima.