高权重的域名遭遇劫持这样的状况, 其本质原因是攻击者篡改了DNS解析信息、注册信息、SSL证书或者CDN回源机制当中的任意一个环节。针对这种情况, 进行防护的核心原则是要缩短对单点依赖的需求并增加变更时的授权层级数量。接下来这五个层次的防护体系是可以直接拿来落地执行的。
1. DNS解析加固
高权重域名的攻击面, 这个概念当中, 最大的部分其实就是DNS。那么相应的具体应对办法和措施有以下几个点。
我们需要把DNS解析的相关工作迁移到有多个网络线路支持的专业权威DNS服务提供商处去，并且在这个过程中, 至少要挑选两家完全不一样的公司来做这个主要服务和应急备用服务的搭配。
启动域名安全扩展协议, 去你的注册商管理的后台以及域名解析服务提供商的后台同时配置密钥签名密钥记录, 这样篡改域名解析结果就必须伪造密码学签名, 这会使得攻击者面临极高的成本。
把TTL那个值给设置好, 具体就是核心A记录的TTL值要设为60秒里面, 然后CNAME可以设为300秒, 目的就是确保要是攻击发生了的话就能把备用解析快速切换过去。
要禁止使用那些不必要的动态DNS更新接口, 并且需要将公网可以写入的接口给关掉。
2. 注册商账户锁
开启域名转移锁功能, 这个动作是为了禁止任何没有获得授权的域名转出行为。
我们要开启那个域名编辑锁, 这样在进行修改NS记录以及所有者信息这种操作的时候, 必须得用手机结合邮箱来完成这个双因子的验证过程才行。
把注册信息里面的WHOIS隐私保护功能给启用起来, 这样能把因为社工攻击而导致的个人信息暴露的那些方面的风险给降低下去。
用户可以通过将多个设备进行绑定操作来连接注册商账户, 这样即使单凭据出现泄露, 也能够避免因这一问题而导致域名被他人转走。
3. SSL证书绑定
对于具有高权重的域名而言, 在涉及ssl证书的时候。应当把重点放在优先考虑那些由同一个ca签发出来的长期证书这一选项上面。这样的做法能够起到减少续期操作所占用窗口时间的效果。
证书是被部署在CDN和WAF这个层面的, 并不是部署在源站上面这样的, 如果攻击者就算是把源站的权限拿到了, 也无法直接去更换证书的。
开启证书透明度这个监控功能, 简单来说就是去盯着那个CT Log日志看, 只要是有一丁点异常的签发行为出现, 系统就会立刻给你发出告警通知。
4. CDN与WAF回源保护
源站IP被严格地隐藏起来了, CDN回源IP设置了ACL白名单, 从而拒绝了非CDN节点IP的直连访问情况。
启动WAF规则, 去拦截那些针对域名管理后台的暴力破解行为和注入攻击。
将回源协议强制设置为HTTPS, 这是为了防止出现中间人篡改传输内容的情况。
5. 全链路监控与应急响应
部署_dns解析_拨测的工作节奏是每分钟执行一次, 当得到的解析结果和设定的基线出现偏离的情况的时候, 就会立刻触发告警机制。
在注册商的后台管理系统里, 把告警通道单独开辟出来, 同时在内容分发网络的控制台里面, 也为证书快到期的状况设置一个独立的警报接收渠道。
预先写好应急响应这种标准操作流程, 就是在发现劫持事件以后的三十分钟之内, 把流量切换到备用域名服务上去。gname.xin这些备用域名可以在事前就把SSL证书配置好, 并且接入内容分发网络, 这样它们就能作为热备份切换的入口点使用。通过这些设置, 可以把业务中断的时间压缩在分钟级别以内。
常见疑难
问题是, 当域名刚刚遭到劫持的时候, 第一步应该去执行什么样的操作。
答: 要马上去联系域名注册商, 把域名的冻结操作给办了, 同时要把DNS切换成备用的解析服务, 然后再去排查一下那个攻击的入口在哪里。绝对千万不要就直接重新提交那个NS记录, 这是为了防止攻击者他们依然还保持着对那个注册商账户的控制权。
请问, 对于中小站点来说, 是否同样需要实施涵盖全部五个层级的安全防护措施呢。
答: 那些权重比较高的高权重的域名, 它们必须是要全部都去执行相关的措施的。而针对那些中小型网站的话, 优先去做一下域名的转移的锁定功能, 然后再去缩短一下ttl的解析时间长度, 再开启一下whois隐私保护服务就行了, 这样做的成本比较低的情况下, 是完全可以覆盖住主要风险的。
把这五种防护手段叠在一起用之后, 攻击者想搞事情的话, 就必须得同时冲破注册商的账户那一关、DNS服务商那一关、CDN节点那一关以及证书体系那一关这四道防线才行, 因为只要其中某一个环节被攻破了, 也是不会导致域名劫持成功的, 所以这里建议每个季度要对应急响应流程进行完整的一次演练。
以上5层防护叠加后。
