在命名風險之前映射依賴關係
過時的DNS引用可能會使子網域指向組織不再控制的服務。另一方是否可以聲明該服務取決於提供者的分配和網域驗證規則。即使有接管風險，所產生的權限也不會自動控制父組織的所有電子郵件。在決定暴露可能帶來什麼影響之前，一項有用的調查會繪製出準確的記錄、外部依賴關係以及消耗該記錄的信任關係。
Microsoft 的 Azure 子網域接管指南 描述 懸空DNS 參考、特定於提供者的保護和清理。它支援調查陳舊的依賴關係，而不是假設每個未解決的依賴關係 CNAME 是可利用的。本文僅提出防禦性檢討和變更計劃。沒有註冊第三方資源，沒有聲明名稱，沒有更改DNS記錄，也沒有發送測試訊息。
區分引用、委託和實際控制
RFC 1035 定義CNAME和 國民服役記錄 格式。 CNAME將特定的DNS名稱指向另一個名稱；它本身並不是整個區域的授權。子區域委派具有不同的範圍，因為委派的伺服器可以應答該區域內的名稱。過時的網站寄存參考、委託行銷子網域和 DKIM選擇器 因此，指向供應商需要不同的依賴關係圖。將它們全部視為「域被接管」會丟棄修復所需的資訊。
列出確切的所有者名稱、類型、值、區域和權威操作員。記錄預計控制目標的服務帳戶或供應商以及該關係的證據。不可用目標是對解決方案或服務狀態的觀察，而不是證明它可供其他客戶聲明。提供者預留、驗證令牌和生命週期限制可能會改變這個結論。檢查目前文件和授權所有權記錄，而無需嘗試資源聲明來證明風險。
將 Web 控制與電子郵件權限分開
對 Web 端點的控制可能會影響以該名稱提供的內容以及信任它的任何應用程式。它不一定允許更改父域的 SPF、發布任意 DKIM 鍵或操作其郵箱。相反，對與電子郵件相關的委派區域或選擇器目標的控制可能會產生不同的安全影響。調查必須確定電子郵件機制實際參考的DNS名稱以及誰可以更改其回應。
RFC 6376 描述使用選擇器和簽章域檢索DKIM鑰。因此，過時的選擇器依賴關係並不等於過時的不相關網站CNAME 。潛在的簽章影響取決於金鑰材料、查找路徑和產生有效簽章的能力；不應僅僅從損壞的網頁來斷言它們。此處提出的文件依賴審查不需要私鑰或簽章測試。
仔細評估一致性和繼承的假設
RFC 9989 定義 結盟 和政策發現 DMARC。相關域在寬鬆或嚴格對齊下可能會以不同的方式進行交互，因此必須準確記錄可見的 From 域和經過身份驗證的域。不要假設每個子網域都與每個父網域身分隔離，或一個子網域的控制項會自動驗證任意父網域郵件。實際的機制和政策決定了這種關係。
身份驗證協定之外還可能存在應用程式信任。內部白名單、品牌關聯、回呼 URL 或使用者期望可以將子網域視為可信。將每個此類關係記錄為應用程式或業務依賴性，而不是DNS標準規則。微軟警告稱，發送到懸空子網域的秘密或敏感資訊可能會被洩露。這是審查從屬申請的原因，而不是聲稱接受審查的組織中發生了任何此類暴露。
在其記錄的範圍內應用提供者保護
Azure 的指南描述了使用 asuid 進行應用程式服務自訂網域驗證 TXT記錄 和網域驗證 ID。它還解釋了阻止另一個訂閱驗證自訂網域與阻止建立具有匹配服務名稱的應用程式服務實例不同。這些是提供者特定的保護措施。他們並未規定每個 Azure 服務、每個DNS記錄或其他雲端供應商都使用相同的生命週期規則。
該指南描述了將某些支援的資源生命週期耦合到DNS引用的Azure DNS別名記錄，並對支援的目標進行了限制。請勿將該行為推廣至普通CNAME記錄或所有提供者。對於每個依賴項，記錄適用的保護、保留其當前證據以及尚未驗證的內容。記錄在案的保護可以減少特定的暴露，而無需證明所有應用程式或電子郵件信任關係都是安全的。
準確記錄變更工作表
使用當前完整記錄集、預期差異、目標依賴性、業務所有者、活躍消費者和恢復材料準備批准的變更計劃。包括停用或修正的原因、目前提供者的限制、驗證計畫和回滾決策標準。僅僅因為服務看起來未使用，刪除並不自動安全；排隊郵件、主動選擇器、客戶工作流程或替換服務可能仍取決於名稱。
將依賴關係圖與授權記錄分開。研究人員可以識別可能陳舊的引用，而無需被授權刪除它。變更獲得批准後，營運團隊將保留權威的遞歸查找證據，包括時間、名稱和記錄類型。快取的答案和提供者狀態可以比更改更持久，因此僅刪除並不能證明立即普遍撤銷。本手稿沒有執行此類差異、查找或回滾。
虛構診斷：退休競選服務
一個虛構的組織停用了一個活動平台，但留下了兩個DNS引用：網站CNAME和DKIM選擇器CNAME 。庫存工具報告網站目標不可用。該團隊最初假設這兩個記錄會產生相同的收購風險。相反，擬議的審查分別映射了目標、提供者帳戶所有權、自訂網域驗證規則和電子郵件簽章依賴項。不可用的網站結果並不能確定選擇器的狀態或另一方聲明任一資源的能力。
郵件擁有者將在建議停用之前檢查選擇器是否仍支援活動或排隊簽名工作流程。 Web 擁有者將審查活動端點以及附加到它的任何應用程式信任。這兩項擬議的變更都需要精確的恢復材料和批准的驗證。這是一個虛構的生命週期練習，而不是發現的懸空記錄、資源聲明、成功接管或完成的脫離。未收集任何真實的服務識別碼或憑證。
用證據關閉控制邊界
一份有說服力的報告會列出過時的依賴項、其經過驗證的控制狀態、可能影響信任的機制以及批准的糾正措施。它將潛在的暴露與已確認的利用區分開來。它還記錄剩餘的不確定性，例如不完整的供應商所有權證據或未觀察到的快取行為。避免將特定於提供者的保護描述為普遍保證，或將刪除的記錄描述為歷史濫用從未發生過的證據。
該目錄需要經過批准的精確記錄差異、依賴關係圖、恢復材料和更改後查找證據。這些原始文物仍然開放。提議的工作表不能滿足他們的要求，所有其他發布之門仍然開放。出版前必須完成人類專家審查、來源適用性、生產路線、可訪問性和所有者批准。目的是使清理更安全、更精確，而無需執行接管演示或誇大繼承的電子郵件權限。