Waarom een infrastructuurinventaris belangrijk is (en wat je moet bijhouden)

Je kunt een asset waarvan je niet weet dat hij bestaat niet beveiligen, verlengen of monitoren. Een infrastructuurinventaris (een volledig, actueel overzicht van elk domein, elke DNS-zone, elk certificaat, elke server en elk IP-adres waarvoor je verantwoordelijk bent) maakt van reactief brandjes blussen voorspelbaar beheer. Zonder zo'n inventaris zijn storingen en beveiligingsincidenten terug te voeren op dezelfde oorzaak: iets wat niemand bijhield.

Dit is geen theoretisch probleem. In CIS Critical Security Controls v8 is "Inventory and Control of Enterprise Assets" Control 1, de allereerste van 18 controls, omdat elke andere control ervan uitgaat dat je al weet wat je beschermt. CM-8 (System Component Inventory) in NIST SP 800-53 en Requirement 12.5.1 in PCI DSS v4.0 bestaan om dezelfde reden: je kunt geen asset patchen, afschermen of auditen die niet op een lijst staat.

Wat er gebeurt als assets niet worden bijgehouden

Onbekende of vergeten assets zijn een van de meest voorkomende oorzaken van vermijdbare downtime en datalekken, en het patroon herhaalt zich bij teams van elke omvang:

• Een domein verloopt ongemerkt omdat degene die het registreerde het bedrijf heeft verlaten, en een concurrent of domeinkaper pikt het op tijdens de redemption-periode. Lees onze gids over een verlopend domein bemachtigen om te zien hoe snel dat kan gaan.
• Een subdomein verwijst nog naar een uitgefaseerde cloudresource, waardoor er een dangling DNS-record ontstaat dat rijp is voor subdomain takeover.
• Een certificaat wordt verlengd op een server waarvan niemand meer weet dat hij bestaat, de verlenging mislukt geruisloos en de storing wordt pas opgemerkt als klanten klagen.
• Shadow IT-servers die voor een proof-of-concept zijn opgezet, blijven jarenlang draaien, ongepatcht en buiten elk monitoring- of backupbeleid.
• DNS-records die zijn overgebleven na een migratie sturen ongemerkt mail of verkeer naar een plek waar het niet hoort.

Elk van deze situaties is een beschikbaarheids- of beveiligingsincident dat wacht op een aanleiding. Er is geen geavanceerde aanvaller voor nodig, alleen tijd en verwaarlozing.

WarningDangling DNS-records (een CNAME- of A-record dat verwijst naar een resource die je niet meer beheert) zijn een goed gedocumenteerde aanvalsvector voor subdomain takeover. Faseer je een server of clouddienst uit, verwijder het DNS-record dan in dezelfde wijziging, niet "later".

Wat je echt moet bijhouden in een IT-inventarisatie

Een bruikbare inventaris is meer dan een spreadsheet met domeinnamen. Houd minimaal het volgende bij:

De rode draad in alle zes is eigenaarschap en vervaldatum: de twee dingen die geruisloos misgaan. Een record zonder vermelde eigenaar is een record dat niemand opmerkt als het stukgaat.

Waarom één centrale bron beter werkt dan losse spreadsheets

De meeste teams raken niet alles in één keer kwijt; ze verliezen het overzicht geleidelijk, doordat domeinen bij verschillende registrars staan, DNS over meerdere providers is verdeeld en servers terechtkomen bij de cloud die dat kwartaal het goedkoopst was. Cloudleveranciers hebben hier hun eigen oplossingen voor gebouwd (AWS Config en Systems Manager Inventory, Azure Resource Graph, Google Cloud Asset Inventory), maar die dekken alleen assets binnen één provider. Een echte infrastructuurinventaris moet registrars, DNS-providers en clouds tegelijk omvatten, want zo werken moderne teams nu eenmaal.

Dat is het gat dat een centraal dashboard dicht: in plaats van vijf registrar-accounts en drie cloudconsoles af te gaan om te beantwoorden "wat hebben we in bezit en wanneer verloopt het", heb je één plek die alles bijhoudt. Met domeinbeheer van InfraNest zie je vervaldatums en eigenaarschap van alle registrars in één overzicht, en DNS-beheer doet hetzelfde voor records bij alle providers. Zo valt een verouderde of dangling vermelding op voordat het een incident wordt, niet erna.

Wil je snel controleren wat er momenteel live staat voor een domein? Haal het door onze gratis DNS lookup-tool: een snelle manier om een record te vinden waarvan je niet wist dat het er nog stond.

Zo begin je met een inventaris als je er nog geen hebt

Je hebt op dag één geen perfect systeem nodig. Begin klein en breid uit:

1. Maak een lijst van elk domein dat je organisatie bezit, inclusief domeinen die zijn gekocht voor campagnes, merkbescherming of oude producten. Noteer per domein de registrar en de vervaldatum.
2. Haal elke DNS-zone op en leg het doel van elk record vast. Verwijder alles wat niemand kan verklaren.
3. Breng certificaten en hun vervaldatums in kaart, los van de servers waarop ze staan, omdat certificaten en hosts vaak onafhankelijk van elkaar verhuizen.
4. Maak per provider een lijst van elke server en cloudinstance, met per stuk een toegewezen eigenaar. Geen eigenaar betekent dat het een kandidaat is om uit te faseren.
5. Leg een reviewritme vast. Elk kwartaal is een redelijk startpunt; maandelijks als je infrastructuur vaak verandert.

Zodra de inventaris er is, houdt automatisering hem actueel. Lees onze gids over DNS-, SSL- en servertaken automatiseren over providers heen om te zien hoe je stopt met dit elk kwartaal handmatig opnieuw te controleren.

Begin door je domeinen en DNS samen te brengen in één overzicht met het domein- en DNS-beheer van InfraNest. Dat is de snelste manier om te ontdekken wat je eigenlijk allemaal draait.