ドメインが解決されたかどうかだけをチェックするDNSモニターでは、削除されたドメインを見逃す可能性があります。 DKIMセレクター または壊れた SPF 依存。実際のメール パスが使用するレコードから開始します。可用性監視では、単にDNSが異常であることだけでなく、何が、どこから、どの予期されたプロパティが失敗したかを報告する必要があります。
明示的なターゲット インベントリを構築する
参考文献: RFC 6376 §3.1, RFC 7208 §4.4.
各送信サービスで使用される作成者ドメイン、エンベロープ ドメイン、アクティブ セレクター、およびポリシー名をリストします。エイリアスとSPFメカニズムを通じて到達した依存関係を含めます。受信セキュリティを監視するときにトランスポート ポリシー名を追加します。通常のDNSクエリではすべてのセレクターを検出できないため、サービス構成と代表的な署名付きメッセージからアクティブ セットを取得します。
ターゲットごとに、レコードの所有者、タイプ、期待される形状または承認された値、責任のある所有者、および変更ウィンドウ。すべての値が永久にバイト同一である必要があると想定することは避けてください。計画されたキーのローテーションによりデータが正当に変更されます。期待値をバージョン管理し、未承認の変更と承認済みの移行を区別します。
権限と再帰を個別に調査する
参考文献: RFC 1035 §4.1.1, RFC 2308 §2.2, RFC 4035 §5.5.
直接的な権限のあるクエリは、ゾーンが何を提供するかを確立するのに役立ちます。再帰クエリは、キャッシュや検証動作など、1 つのリゾルバーの有効なビューを表します。クエリ時刻、サーバー アドレス、応答コード、フラグ、アンサー レコード、および両方の TTL コンテキストを保持します。少数のプローブですべての受信機をカバーできると主張することなく、サービスが必要とする複数の関連する有利なポイントを使用します。
NXDOMAIN 、要求されたタイプのない既存の名前、 SERVFAIL 、タイムアウト、および成功したが間違った応答を区別します。あ DNSSEC この問題により、権威サーバーがレコードを返した場合でも、検証リゾルバーでエラーが発生する可能性があります。権威ある回答フラグは、回答が暗号的に検証されたことを示すものではありません。
今後の決定についての警告
アクティブなセレクターが見つからない場合は、1 つのモニターでの短いタイムアウトとは異なる応答が必要です。関連する依存関係の障害をグループ化することで、利用できない 1 つの権限によって無関係なチケットが何百も作成されることがなくなります。連続した観測と独立したパスを使用してノイズを低減し、同時に最初の障害時間と生の結果を保存します。しきい値はローカルな運用上の選択であり、普遍的なDNSプロトコル要件ではありません。
プローブが失敗したからといって、レコードを自動的に置き換えたり、強制を無効にしたりしないでください。まず、モニターが正しい名前と現在の権限を照会したかどうかを確認します。影響を受けたサービス、最新の良好な観察、および正確な変更または応答状態の証拠を含むレコード所有者に調査結果を転送します。
3 つの異なる観察を再現します
ローカル フィクスチャは、NOERROR が返された予期されたセレクター マーカーを存在として、 NXDOMAIN応答を名前欠落として、 SERVFAIL応答を解決失敗として分類します。次に、異なるマーカーを持つ NOERROR は、機能停止ではなくコンテンツの不一致であることが示されます。マーカーは合成されたものではありません。 DKIM キー。
付属のスクリプトを実行して分類を再現します。パケットを送信するのではなく、フィクスチャ オブジェクトを消費します。導入されたモニターを検証するには、同じケースで隔離された許可ゾーンをクエリし、実際のワイヤー応答、タイムアウト測定値、およびアラート配信の証拠を保持します。それらのライブテストはここでは実行されませんでした。
監視ループを閉じる
参考文献: RFC 2308 §5, RFC 6376 §6.
修復後、テストされたすべての権限のあるエンドポイントを比較し、再帰的回復と許可されたときの代表的なメッセージを観察します。否定的な回答は、レコードが返された後もキャッシュされたままになる場合があります。後で検索が成功したからといって、インシデントを消去しないでください。
送信者のオンボーディング、セレクターのローテーション、ドメインの移行および廃止後にインベントリを確認します。 DNS観察により、ある時点での前提条件となる可用性が確立されます。彼らだけでは有効性を証明することはできない DKIM署名, DMARC アライメント、メールボックスの受け入れまたは受信ボックスの配置。
保持されている過去の通信証拠
以下では、このレビューのネットワーク実験として検査はされましたが、再実行されなかった、保持されている 2026 年 11 月 7 日のループバック キャプチャについて説明します。新しいオフライン モデル チェックは別途記録されます。
保持されたワイヤ キャプチャは、最小限のループバック機関への実際の UDP 質問を記録します。所有者、タイプ、エンドポイント、UTC 観察時間、クエリおよび応答バイト、フラグ、TTL および SOA コンテキストが保持されます。結果の分岐は次のようになります。 TXTが予期される NOERROR は存在することを意味します。既存の頂点に AAAA がない NOERROR は、要求されたデータがないことを意味します。 absent.example .test のNXDOMAIN 、名前が欠落していることを意味します。 SERVFAIL解決失敗を意味します。意図的に答えられなかった質問により、クライアントのタイムアウトが発生します。サーバーはこれらの応答をスクリプト化しますが、パケットとタイムアウトは実際に監視されます。これは、商用モニターの動作やアラート配信ではなく、デシジョン ツリーをテストします。