dns-policy/1.1.0 · aktualisiert am 09.07.2026

Defensives DNS

Domains, E-Mail und Auflösungsentscheidungen nach klaren Kriterien prüfen.

ADDA DNS priorisiert Auflösungssignale, Domainkonsistenz, den Bezug zu E-Mail und Muster, die vor einer Vertrauensentscheidung beobachtet werden sollten.

Ein ausgereifter DNS-Betrieb prüft nicht nur, ob eine Domain antwortet. Er bewertet auch die Sensibilität des Namens, die erwartete Jurisdiktion, das heuristische Alter, die E-Mail-Konsistenz und ob die Situation einen Score, eine Watchlist oder einen Incident erfordert.

Nutzen Sie diesen Leitfaden, um zu entscheiden, wann beobachtet, überprüft oder eine stärkere institutionelle Markierung gesetzt werden sollte, insbesondere wenn die Domain kritischer Infrastruktur oder öffentlichen Identitäten ähnelt.

Checkliste

• Aktive Richtlinien der Organisation validieren.
• Einen DNS-Check für stark exponierte Domains ausführen.
• Die Entscheidung protokollieren, wenn die Domain besondere Beobachtung erfordert.

Schnellstart

1. Eine priorisierte Domain auswählen und einen institutionellen Check ausführen.
2. Severity, Action und Reason Codes vor dem Blockieren oder Markieren vergleichen.
3. Wenn die Domain E-Mail betrifft, mit dem Mail-Artikel und Evidence abgleichen.

Operativer Ablauf

Domain registrieren

Die Domain dem Inventar oder dem auslösenden Fall hinzufügen.

Isolierte Analysen ohne operativen Bezug vermeiden.

Risiko bewerten

Das DNS-Ergebnis mit Blick auf institutionelle Sensibilität und E-Mail-Abdeckung lesen.

Entscheiden, ob Beobachtung, Überprüfung oder Eskalation angebracht ist.

Reaktion verknüpfen

Bei anhaltendem Risiko Watchlist, Early Warning oder Incident verknüpfen.

Die Auswertung nicht losgelöst vom Hauptablauf stehen lassen.

flowchart LR
  S1["Domain registrieren"]
  S2["Risiko bewerten"]
  S3["Reaktion verknüpfen"]
  S1 --> S2
  S2 --> S3

Validatoren und Prüfungen

Sie führen eine kontextbezogene Auswertung dieser Oberfläche aus und liefern vorgeschlagene Schritte mit operativem Fokus.

Kritische Domain prüfen

Liefert DNS-Abdeckung, verwandte Artikel und nächste Schritte.

Beispiele

Payload für den DNS-Check

{
  "domain": "secure-capacero.ar",
  "mode": "institutional"
}

Links und Referenzen

Zugehörige Routen

DNS-Ansicht im Workspace DNS-Handbuch

APIs

/api/adda/v1/dns/check
/api/adda/v1/dns/policies
/api/adda/v1/domains

Docs und unterstützende Routen

docs/ADDA_DNS.md
docs/ADDA_API.md

Häufige Probleme

• Entscheidungen anhand eines verdächtigen Namens ohne Kontextabgleich können das Risiko überbewerten.
• Die Trennung von DNS, Mail oder Incidents verbirgt häufig Muster des Identitätsmissbrauchs.

Empfohlene Aktionen

• Zur Watchlist eskalieren, wenn die Domain erneut erscheint oder mit Kampagnen verbunden ist.
• Evidence verwenden, wenn die Domain eine für Dritte sichtbare Maßnahme ausgelöst hat.

Nützliche Reason Codes

DNS_SUSPICIOUS

Die Domain weist Merkmale auf, die häufig bei Kampagnen oder Identitätsmissbrauch auftreten.

Die Prüfung verstärken und das anfängliche Vertrauen begrenzen.

FOREIGN_ASN

Der territoriale Bezug entspricht nicht dem erwarteten Modus.

Den Kontext bestätigen, bevor Legitimität angenommen wird.

DNS_NO_MX

Der zugehörigen E-Mail fehlt die erwartete Konsistenz.

Vor Abschluss der Auswertung mit dem Mail-Check abgleichen.

Score-Wörterbuch

severity

Institutionelle Priorität des Signals auf der ADDA-Skala.

action

Nächster vom System empfohlener operativer Schritt.

reasonCodes

Erklärbare Gründe zur Rechtfertigung der Auswertung.

Protokollhinweise

• Für sensible Domains empfiehlt sich der Modus institutional oder critical_infrastructure.
• DNS ersetzt Intelligence nicht: Es ergänzt und aktiviert sie bei Bedarf.

Artikelverlauf

09.07.2026

Quickstarts, ein Payload-Beispiel und Hinweise zur Eskalation an Incidents und Intel wurden ergänzt.