在命名风险之前映射依赖关系
过时的DNS引用可能会使子域指向组织不再控制的服务。另一方是否可以声明该服务取决于提供商的分配和域验证规则。即使存在接管风险，所产生的权限也不会自动控制父组织的所有电子邮件。在决定暴露可能带来什么影响之前，一项有用的调查会绘制出准确的记录、外部依赖关系以及消耗该记录的信任关系。
Microsoft 的 Azure 子域接管指南 描述 悬空DNS 参考、特定于提供商的保护和清理。它支持调查陈旧的依赖关系，而不是假设每个未解决的依赖关系 CNAME 是可利用的。本文仅提出防御性审查和变更计划。没有注册第三方资源，没有声明名称，没有更改DNS记录，也没有发送测试消息。
区分引用、委托和实际控制
RFC 1035 定义CNAME和 国民服役记录 格式。 CNAME将特定的DNS名称指向另一个名称；它本身并不是整个区域的授权。子区域委派具有不同的范围，因为委派的服务器可以应答该区域内的名称。过时的网络托管参考、委托营销子域和 DKIM选择器 因此，指向供应商需要不同的依赖关系图。将它们全部视为“域被接管”会丢弃修复所需的信息。
列出确切的所有者名称、类型、值、区域和权威操作员。记录预计控制目标的服务帐户或供应商以及该关系的证据。不可用目标是对解决方案或服务状态的观察，而不是证明它可供其他客户声明。提供商预留、验证令牌和生命周期限制可能会改变这一结论。检查当前文档和授权所有权记录，而无需尝试资源声明来证明风险。
将 Web 控制与电子邮件权限分开
对 Web 端点的控制可能会影响以该名称提供的内容以及信任它的任何应用程序。它不一定允许更改父域的 SPF、发布任意 DKIM 键或操作其邮箱。相反，对与电子邮件相关的委派区域或选择器目标的控制可能会产生不同的安全影响。调查必须确定电子邮件机制实际参考的DNS名称以及谁可以更改其响应。
RFC 6376 描述使用选择器和签名域检索DKIM密钥。因此，过时的选择器依赖关系并不等同于过时的不相关网站CNAME 。潜在的签名影响取决于密钥材料、查找路径和生成有效签名的能力；不应仅仅从损坏的网页来断言它们。此处提出的文件依赖性审查不需要私钥或签名测试。
仔细评估一致性和继承的假设
RFC 9989 定义 结盟 和政策发现 DMARC。相关域在宽松或严格对齐下可能会以不同的方式进行交互，因此必须准确记录可见的 From 域和经过身份验证的域。不要假设每个子域都与每个父域身份隔离，或者一个子域的控件会自动验证任意父域邮件。实际的机制和政策决定了这种关系。
身份验证协议之外还可能存在应用程序信任。内部白名单、品牌关联、回调 URL 或用户期望可以将子域视为可信。将每个此类关系记录为应用程序或业务依赖性，而不是DNS标准规则。微软警告称，发送到悬空子域的秘密或敏感信息可能会被泄露。这是审查从属申请的原因，而不是声称接受审查的组织中发生了任何此类暴露。
在其记录的范围内应用提供商保护
Azure 的指南描述了使用 asuid 进行应用服务自定义域验证 TXT记录 和域验证 ID。它还解释了阻止另一个订阅验证自定义域与阻止创建具有匹配服务名称的应用服务实例不同。这些是提供商特定的保护措施。他们并未规定每个 Azure 服务、每个DNS记录或其他云提供商都使用相同的生命周期规则。
该指南描述了将某些支持的资源生命周期耦合到DNS引用的Azure DNS别名记录，并对支持的目标进行了限制。请勿将该行为推广到普通CNAME记录或所有提供商。对于每个依赖项，记录适用的保护、保留其当前证据以及尚未验证的内容。记录在案的保护可以减少特定的暴露，而无需证明所有应用程序或电子邮件信任关系都是安全的。
准确记录变更工作表
使用当前完整记录集、预期差异、目标依赖性、业务所有者、活跃消费者和恢复材料准备批准的变更计划。包括停用或纠正的原因、当前提供商的限制、验证计划和回滚决策标准。仅仅因为服务看起来未使用，删除并不自动安全；排队邮件、主动选择器、客户工作流程或替换服务可能仍取决于名称。
将依赖关系图与授权记录分开。研究人员可以识别可能陈旧的引用，而无需被授权删除它。变更获得批准后，运营团队将保留权威的递归查找证据，包括时间、名称和记录类型。缓存的答案和提供者状态可以比更改更持久，因此仅删除并不能证明立即普遍撤销。本手稿没有执行此类差异、查找或回滚。
虚构诊断：退休竞选服务
一个虚构的组织停用了一个活动平台，但留下了两个DNS引用：网站CNAME和DKIM选择器CNAME 。库存工具报告网站目标不可用。该团队最初假设这两个记录会产生相同的收购风险。相反，拟议的审查分别映射了目标、提供商帐户所有权、自定义域验证规则和电子邮件签名依赖项。不可用的网站结果并不能确定选择器的状态或另一方声明任一资源的能力。
邮件所有者将在建议停用之前检查选择器是否仍然支持活动或排队签名工作流程。 Web 所有者将审查活动端点以及附加到它的任何应用程序信任。这两项拟议的变更都需要精确的恢复材料和批准的验证。这是一个虚构的生命周期练习，而不是发现的悬空记录、资源声明、成功接管或完成的脱离。未收集任何真实的服务标识符或凭据。
用证据关闭控制边界
一份有说服力的报告会列出过时的依赖项、其经过验证的控制状态、可能影响信任的机制以及批准的纠正措施。它将潜在的暴露与已确认的利用区分开来。它还记录剩余的不确定性，例如不完整的供应商所有权证据或未观察到的缓存行为。避免将特定于提供商的保护描述为普遍保证，或将删除的记录描述为历史滥用从未发生过的证据。
该目录需要经过批准的精确记录差异、依赖关系图、恢复材料和更改后查找证据。这些原始文物仍然开放。提议的工作表不能满足他们的要求，所有其他发布之门仍然开放。出版前必须完成人类专家审查、来源适用性、生产路线、可访问性和所有者批准。目的是使清理更安全、更精确，而无需执行接管演示或夸大继承的电子邮件权限。