Domain & DNS Security Checklist: 20 điểm kiểm tra quan trọng

Domain & DNS Security Checklist là danh sách kiểm tra giúp website owner và đội kỹ thuật rà soát các control quan trọng quanh tên miền, registrar, DNS, subdomain và TLS certificate lifecycle. Mục tiêu không phải “tick đủ ô là an toàn”, mà là biết control nào đang có, ai sở hữu, evidence ở đâu và finding nào cần remediation trước.

Checklist này gom các bước vận hành chính trong cluster Domain & DNS Security thành một workflow có thứ tự: ownership → access → transfer → DNS state → DNSSEC/CAA → monitoring → subdomain → TLS lifecycle → incident readiness.

Nhóm 1: Bảo vệ quyền sở hữu Domain và Registrar

1. Xác định Domain Ownership và Registrar

Biết registrar của từng domain quan trọng.
Gắn business owner và technical owner.
Không để ownership phụ thuộc một mailbox hoặc cá nhân duy nhất.
Ghi expiry date, billing owner và renewal state.
Lưu kênh support/escalation chính thức của registrar.

Nếu chưa có baseline này, bắt đầu từ Domain Security là gì?. Nếu đang điều tra dấu hiệu mất quyền kiểm soát tên miền, xem Domain Hijacking là gì?.

2. Bảo vệ Registrar Account

Dùng credential riêng, không reuse password.
Bật MFA cho mọi admin account.
Ưu tiên phishing-resistant MFA khi provider hỗ trợ.
Review user, role, session và API token.
Bật login/security notification nếu có.
Áp dụng change approval cho thao tác blast-radius cao.

Workflow chi tiết: Bảo mật tài khoản Domain Registrar. Nếu cần triển khai theo playbook từng bước, dùng MFA, Registrar Lock và phân quyền cho tài khoản Registrar.

3. Kiểm tra MFA và Recovery Path

Recovery mailbox có MFA và owner rõ ràng.
Recovery phone còn thuộc tổ chức.
Backup authenticator/recovery code được quản lý như secret.
Có kênh recovery không phụ thuộc hoàn toàn vào domain đang bảo vệ.
Có break-glass process nếu domain critical.
Runbook recovery được review định kỳ.

Xem MFA & Recovery cho Domain Registrar.

4. Review Transfer Lock và Domain Status

Ghi EPP status hiện tại.
Xác minh transfer lock khi domain không cần chuyển registrar.
Biết ai có quyền unlock.
Quản lý AuthInfo như secret ngắn hạn.
Hiểu 60-day lock nếu domain đang bị restriction.
Relock sau transfer thành công.

Chi tiết tại Domain Transfer Lock là gì?.

Nhóm 2: Bảo vệ DNS Zone, DNSSEC và thay đổi DNS

5. Inventory Authoritative DNS

Biết authoritative DNS provider và nameserver.
Export zone làm baseline.
Gắn owner/purpose cho record critical.
Review A/AAAA/CNAME/MX/TXT/CAA/NS/DS.
Biết API token/user nào có quyền thay zone.
Có audit log và notification nếu provider hỗ trợ.

Framework tổng thể: DNS Security là gì?.

6. Audit DNS Record

Kiểm tra origin A/AAAA còn intended.
Kiểm tra CNAME target và external dependency.
Review MX/TXT theo mail/SaaS architecture hiện tại.
Review NS/delegation.
Kiểm tra stale, duplicate và conflicting record.
Snapshot trước remediation và read-back sau write.

Thực hiện theo Audit DNS Record.

7. Kiểm tra DNS Misconfiguration

A/AAAA không trỏ IP cũ.
CNAME không trỏ resource đã deprovision.
MX đúng provider và priority.
CAA không chặn nhầm CA hợp lệ.
NS delegation không stale.
DS khớp DNSKEY nếu bật DNSSEC.
TTL phù hợp operational need.

Xem DNS Misconfiguration để phân loại failure mode và remediation.

8. Review DNSSEC

Registrar và DNS provider cùng hỗ trợ DNSSEC.
Biết DNSKEY và DS đang được quản lý ở đâu.
Validate chain of trust sau activation.
Có runbook key rollover.
Có runbook DNS provider migration.
Không gỡ signing/DS tùy tiện khi có SERVFAIL.

Chi tiết kỹ thuật: DNSSEC là gì?. Nếu câu hỏi chính là có nên bật trên website hiện tại hay chưa, xem Website có nên bật DNSSEC không?.

9. Review CAA Record

Inventory CA đang thực sự issue certificate.
CAA chỉ cho phép CA intended.
Review issue và issuewild.
Kiểm tra subdomain inheritance/override.
Không để CA legacy không còn dùng.
Test renewal dependency trước khi siết policy.

Xem CAA Record là gì?.

10. Bật DNS Change Monitoring

Baseline nameserver và record critical.
Monitor privileged change ở registrar/DNS provider.
Theo dõi A/AAAA/CNAME/MX/CAA/DS quan trọng.
Correlate alert với change ticket.
Alert có before-state, after-state và timestamp.
Có owner/runbook triage.

Xem DNS Change Monitoring. Với thay đổi có kế hoạch như migration hoặc cutover, dùng DNS Change Management: TTL, cutover, validation và rollback.

Nhóm 3: Subdomain và TLS Certificate Lifecycle

11. Kiểm tra Dangling DNS

Inventory external CNAME và delegated NS.
Đối chiếu target với cloud/SaaS inventory.
Phân biệt target missing với resource claimable.
Không tự ý claim resource nếu chưa authorized.
Decommission DNS cùng resource.

Xem Dangling DNS là gì?.

12. Kiểm tra Subdomain Takeover Risk

Resolve CNAME/NS chain.
Xác minh resource owner.
Review provider claimability hiện hành.
Đánh giá traffic, brand và trust boundary.
Review cookie, CORS và OAuth dependency.
Chỉ gọi “confirmed takeover” khi có evidence tương xứng.

Xem Subdomain Takeover là gì?.

13. Review toàn bộ Subdomain Security

Gắn owner/purpose cho hostname.
Kiểm tra TLS certificate.
Review cookie Domain/Secure/HttpOnly/SameSite.
Review CORS allowlist.
Review OAuth/OIDC redirect URI.
Review delegated DNS và external service.

Workflow: Kiểm tra Subdomain Security.

14. Tìm Shadow Subdomain

Đối chiếu DNS với cloud/SaaS/CDN inventory.
Dùng certificate inventory/CT như nguồn discovery bổ sung.
Điều tra hostname không có owner.
Review staging/demo/vendor hostname cũ.
Decommission trust relationship cùng DNS/service.

Xem Shadow Subdomain Risk.

15. Quản lý TLS Certificate Lifecycle

Inventory certificate và service owner.
Review domain validation method.
Giới hạn DNS/ACME token.
Bảo vệ private key.
Tự động hóa renewal.
Monitor expiry/renewal failure.
Review CT và CAA.
Có process reissue/revoke/decommission.

CA/Browser Forum Baseline Requirements hiện hành đang rút ngắn validity của publicly trusted TLS certificates theo lộ trình, vì vậy automation và monitoring ngày càng quan trọng. Xem TLS Certificate Lifecycle Security. Với operating model từ inventory đến renewal/revocation/decommission, xem Certificate Lifecycle Management.

Nhóm 4: Incident Readiness và Evidence

16. Chuẩn bị Incident Runbook cho Domain & DNS

Runbook tối thiểu nên trả lời:

Ai có quyền liên hệ registrar/DNS provider?
Evidence nào cần capture trước remediation?
Baseline nameserver/DNS ở đâu?
Cách revoke session/token?
Cách khôi phục record/domain state?
Cách verify website, email, API và certificate sau recovery?
Khi nào cần escalation sang incident response đầy đủ?

Nếu phát hiện nameserver, registrar state hoặc DNS record đổi ngoài change plan, dùng playbook Domain hoặc DNS bị thay đổi trái phép để xác minh, giữ evidence và xử lý ban đầu.

17. Evidence nên lưu sau mỗi lần kiểm tra

Domain/hostname.
Registrar/DNS provider.
Owner.
Timestamp.
Before-state và after-state.
Audit log/change ticket.
Finding severity/confidence.
Remediation và rollback.
Read-back/service verification.

Ưu tiên xử lý finding theo thứ tự nào?

Ưu tiên trước cho takeover/unauthorized change, registrar compromise, DNSSEC validation failure, nameserver drift và dependency claimable có impact cao. Sau đó mới tới stale record, governance gap và hygiene issue ít impact hơn. Severity phải dựa trên evidence, không dựa vào tên control.

Checklist nhanh 20 điểm

Registrar owner rõ.
MFA bật.
Recovery an toàn.
Transfer lock phù hợp.
Auto-renew/billing được review.
Authoritative nameserver đúng.
DNS admin least privilege.
Zone có baseline.
Record critical có owner.
Không có stale/dangling dependency chưa xử lý.
DNSSEC state được xác minh.
CAA phản ánh CA thực tế.
DNS change được monitor.
Subdomain có inventory.
Không có shadow hostname critical chưa owner.
Cookie/CORS/OAuth trust được review.
Certificate có owner.
Renewal được monitor.
Incident runbook tồn tại.
Mọi remediation có read-back.

Nguồn kỹ thuật tham khảo

Kết luận

Domain & DNS Security tốt không đến từ một control đơn lẻ như registrar lock, DNSSEC hay SSL. Nó đến từ một chuỗi control có owner, inventory, evidence, monitoring và lifecycle rõ ràng.

Dùng checklist này để xác định gap, sau đó đi vào từng bài chuyên sâu cho remediation. Khi thay đổi registrar, DNS hoặc certificate, luôn snapshot trước, thay đúng phạm vi và read-back/service-verify sau write.