一旦高权重域名遭遇了被劫持这样的情况, 那么在非常短的时间里, 比如几个钟头之内, 网站的搜索优化权重、使用者对公司的信赖程度, 还有业务的正常运作, 都会面临一种没法回头、没法改变的重大损失, 这些损失都是实实在在发生的。
关于防护的核心想法, 其实就是把对域名的控制权限拆分开来, 放到好几个单独的环节里面去管理, 这样一来, 那些坏人就没法只通过攻破某一个点来实现对全盘的劫持了。
下面讲到的5个特别关键的设置, 是按照重要程度从高到低排好顺序的, 只有把这些设置全部都做好、全部执行到位以后, 才能真正搭建起一个完整无缺的保护体系。
一、启用注册商域名锁定（Registrar Lock）
需要在域名注册商的后台里面, 去把那个“域名转移锁定”还有那个“域名编辑锁定”给打开。一旦进入锁定状态之后, 这个域名是没法儿转到别的注册商那里的。同时, DNS的配置以及管理权限的这些变更情况, 都会被冻结住。就以gname.xin平台上做例子来说。
你去操作的路线应该是这样的: 先到域名控制台那里去, 然后找到安全设置这一项, 再点进去找转移锁定。等把那个开关给开启好以后, 你是必须得通过用那个注册商绑定的邮箱去接收验证码, 只有这样才能把锁给解开。
如果注册商这个平台是支持那个把邮箱加入白名单的功能的话, 那么大家就建议只给那个公司的域名邮箱保留一个位置, 然后把那些个人的邮箱从里面全部移除掉如何保护高权重域名不被劫持灵音心图，不要留着。
另外, 对于那些权重比较高的域名, 最好是每年至少都要去做一次那种先锁定然后再解锁的完整的一遍这样的循环操作, 这样做的目的就是为了去验证一下那个应急的流程是不是真的是能够畅通无阻地运行起来的。
二、DNS服务器加固与DNSSEC
一定要去部署出至少两台归属不同网络运营商的权威DNS服务器, 比如可以使用阿里云DNS加上Cloudflare DNS这样的组合, 以此来避免因为某一个ISP出现故障或者被攻击而导致解析功能全部丧失这种麻烦事情的发生。
同时还得在注册商的后台把DNSSEC这个开关给开启起来, 这样做是为了给DNS响应附加上密码学签名, 从而防止解析结果被中间人给进行伪造。
每一次进行NS记录的变更工作之后, 必须将DS记录更新到DNSSEC中去完成同步处理, 目的是为了确保整个签名链条保持完整无缺的这个状态, 因为只要没有这么做的话, 那么DNSSEC验证的过程就会直接出现失败的情况, 最终会导致该域名变得完全无法被解析的现象发生。
三、注册商账号强认证
域名注册商的账号就像是一把总开关, 它直接控制在域名被劫持这件事的发生与否, 所以你必须把相关的规定严格地去执行下去。你要去设置一个密码, 这个密码的长度必须是一十六位以上, 并且要包含大写字母以及小写字母还有数字以及符号在内的混合组成的内容。
你要开启短信认证还要开启应用认证, 这就是大家所熟悉的二步验证机制。你需要关闭那个邮箱找回密码的功能通道, 或者说你对这个通道的访问要进行严格的限制措施。
注册商账号所使用的电子邮件地址, 和专门用来管理域名的那一個电子邮件地址, 必须是两个完全分开的地址, 这样才能杜绝因为同一个邮箱发生泄露而引发的那些连锁性的系统陷落的风险问题存在。
每个季度都要对注册商后台的那些操作日志进行认真的审查和分析工作, 要把在非正常工作时间段内出现的异常登录行为以及那些不当的配置变更情况给排查出来。
四、异常监控与预警机制
配置域名注册信息变更监控系统, 推荐使用像DomainTools或者WhoisXML API这样的工具, 针对域名注册详情、名称服务器记录以及域名系统解析内容的任何调整变化, 实现精确到秒级别的预警推送操作。
与此同时, 需要同步监控网络安全证书的有效截止时间点以及域名的续费状态情况, 并分别设置在到期日之前三十天、十五天和七天这三个时间节点上触发不同层级的提醒通知服务。
建议在预警消息的接收渠道方面, 同时覆盖企业即时通讯平台如飞书和钉钉在内的应用场景, 并且还要包含独立的电子邮件发送方式, 以此来避免因单一通信通道发生失效问题而导致无法及时接收到重要告警信息的风险隐患。
我们要每月去执行一次的活儿是那个域名健康检查的工作, 然后把NS记录下来一项一项地进行核对, 同时还要把注册商的情况、管理联系人的信息以及那些关于ICP备案的信息都拿出来, 看看它们之间是否具有一种叫作一致性的东西。
五、法律与合同归属锁定
在域名注册以及托管的合同中要进行明确约定, 其中要写清楚域名的所有权是属于谁这个主体的, 转让还有继承的操作流程是怎样的如何保护高权重域名不被劫持，发生争议时要由哪个仲裁机构来仲裁。
对于企业那些权重比较高的域名来说，建议把注册人登记为公司法人主体, 而不是个人。并且要指定至少两名具有操作权限的管理员。这样做的目的是为了消除所谓的单人掌握全部权限所形成的单点风险。
上面提到的五项内容组成了一个完整的防护闭环。前面的两项能够覆盖绝大多数常见的劫持场景, 比例在90%以上, 这属于最低限度的必须要去做的标准。
后面的三项构成了纵深防御层, 这一层能够有效降低高级持续性威胁也就是APT所带来的那个劫持成功率。我们建议要每半年复审一次所有的相关设置, 这个环节非常重要, 目的是为了确保不会发生任何配置漂移的情况也不会出现任何遗漏。
