很多人搞不清楚, 什么叫域名劫持, 其实说白了, 就是那些搞破坏的人, 通过篡改你那个DNS的解析记录, 或者是偷换掉你的SSL证书, 再一个, 干脆就直接入侵了你的DNS服务器, 然后把你原本想要正常访问的那些流量, 全都给强行定向到他们精心准备的恶意服务器上面去, 这就是完整的流程, 那要保护好自己的域名不被劫持, 最核心的办法是什么?
首先得把从开始到结束的整个DNS解析链路牢牢锁定住, 一步都不能少其次, 一定要启用多因素认证来增加安全性, 还有一点也很重要, 那就是要部署好实时的解析监控系统, 这样一来, 我们就能够从搭建防护体系的那一步开始, 一直到出了问题之后的应急处置, 给你提供一套完整的、能够真正落地执行的操作方案出来。
域名劫持的三类常见形式
NS记录篡改就是攻击者入侵了DNS服务商或者注册商的后台, 然后把域名的NS记录指向了被攻击者控制的服务器, 这样用户在进行访问的时候就会被引流。
攻击者通过钓鱼或者使用弱口令的方式获取到了注册商的账号, 然后直接修改了DNS指向, 或者是把域名转走了。
中间人证书替换, 就是指攻击者在网络这一层截取 HTTPS 流量, 然后去替换或者伪造 SSL 证书, 最终实现了透明劫持。
企业应该结合自己的域名注册商的权限架构, 还有DNS服务商的权限架构, 来一层一层地仔细排查那些比较薄弱的环节。
域名劫持防护五步操作
第1步：注册商账号安全加固
注册商账号的密码必须使用强度比较高的密码, 这个密码的位数要达到24位以上, 严格禁止在其他平台复用的。
开启注册商提供的SMS/邮件双因素验证（2FA）；
你需要去启用那个域名转移锁, 同时还需要把更新锁也开启起来。这么做之后呢, 如果你想要变更NS记录的话, 就非得让专门的人工人员来解锁不可。
第2步：DNS解析多因素认证
用户需要对DNS服务商提供的控制台功能进行访问, 并且在这个操作过程中, 强制要求开启针对API操作所使用的一种多因素认证方式。
把那些能去查看和修改解析内容的权限, 限制在只能由两到三名核心的运维工作人员来操作, 这是按照最小权限的原则来进行控制的。
对DNS控制台这个网页端的直接修改入口进行禁用或者是严格限制, 改成统一去走API的这种方式, 并且要把IP的白名单给绑定上。
第3步：部署DNS解析实时监测与告警
配置对NS记录、A/AAAA记录、CNAME记录、MX记录的变更监控, 周期不超过5分钟。
只要发生了任何解析变更, 就必须立刻去触发那个双通道的告警, 这个双通道指的是短信和邮件这两条路子都要发到, 而且接收到这个告警的人的数量是绝对不得少于两个人的。
企业可以接入由m.dcqzss.cn提供的域名安全监测业务, 以此来弄到解析链路上的异常情况在秒级的时间内发出告警通知, 并且能够进行历史变更内容的回溯工作, 从而把因为单一渠道的监控发生了失效而导致的, 存在防护上的盲区问题给减少下去。
第4步：SSL证书全生命周期管理
把自动提醒这个设置做在证书到期前的30天, 然后把续签流程的启动时间定在证书到期前的7天。
禁止在公网暴露证书私钥生成过程域名劫持防护，使用HSM或KMS托管私钥；
开启证书透明度日志监控功能, 一旦在监控过程中发现了存在异常的证书签发行为, 就应当立即对该证书进行吊销处理。
第5步：访问控制与审计日志
在DNS控制台的操作日志会被记录下来, 在注册商后台操作的日志也会记录下来, 这就是对全量操作日志进行审计的意思, 而且这些日志至少要保存180天。
针对NS记录还有DNS服务器IP这类关键字段, 要实行变更双人复核这一制度。
每过一个月就要做一次权限方面的盘点工作, 目的是为了清理掉那些已经离职或者已经调岗的人员所残留下来的账号。
发生劫持后的应急处置
1. 请立即联系相关的DNS服务商和注册商, 通过线下电话或者加密工单的方式, 冻结当前的解析状态, 并且回滚到最近一次已确认安全的NS记录。
2. 对注册商和 DNS 服务商的所有账号进行全面排查, 检查这些账号是否存在异常的登录 IP 地址以及异常的操作记录。在完成检查之后, 强制将所有相关的凭证进行重新设置。
3. 如果出现需要替换证书的情况, 那么就要同时把那些会受影响的证书进行吊销操作, 并且把它们重新签发出来。
4. 在24小时内完成事件复盘域名劫持防护，定位入侵路径青岛高世电气科技有限公司，修补对应环节漏洞；
5. 完整保留审计日志, 并且把操作记录也留住, 以此作为后续进行追溯查询所依据的基础材料。
长效防护建议
要把域名安全问题, 放进企业的年度安全审计范围里面去, 并且要每半年就模拟一次DNS劫持攻击的演练活动, 这个环节属于红蓝对抗的类型, 以此来验证监控告警的这个链路, 看看它是不是真的在起作用。
防护体系到底有没有效, 并不在于单个点的配置情况怎么样, 而是取决于全链路能否做到最小权限, 加上持续监测, 再配合快速响应, 形成一个闭环运转的状态。
