一旦高权重的域名受到了劫持, 就会立马让品牌的流量停止, 会让用户的信任全部消失, 甚至会造成资产的损失, 所以核心的防护思路就是要把注册商的操作权限锁住, 把DNS解析的配置也锁住, 再把域名的所有权转移的过程给锁死, 然后再加上实时的预警机制, 接下来就要从怎么去识别威胁一直到最后怎么去做具体的配置, 把所有操作的步骤都讲清楚。
域名劫持的四种主要形式
1. 这种情况属于注册商篡改型。攻击者利用社工手段或者内部漏洞, 登录到注册商的后台系统。然后修改域名的指向, 或者把域名转移走。
2. DNS解析劫持这个事件的情况是这样的, 就是有人入侵了DNS服务器或者递归解析节点,然后吧域名解析指到了恶意的IP地址上面。
3. 获取用于域名转移的密码如何保护高权重域名不被劫持, 也就是所谓的EPP或者是Auth密码之后, 会去找其他的注册服务商, 然后发起转移操作, 这就是转移密码被盗取或者窃取的情况。
4. 这种行为被称作是证书盗用型的攻击, 它利用的是域名管理邮箱遭到攻破的漏洞, 攻击者可以直接替换SSL证书, 或者重定向配置。
核心防护设置（按优先级排序）
第一层：注册商侧锁定
开启“ClientHold”与“ClientTransferProhibited”状态锁, 以禁止未授权转移。
在注册商的后台里面, 去设置那个管理域名的密码, 这个密码要跟主账号的密码分开, 另外还要开启双因素认证的这个功能, 比如说可以用TOTP这种方法, 或者使用硬件密钥那种方式。
如果域名在gname.xin这类型的第三方解析平台上, 配置了CNAME记录或者A记录的话, 必须在注册商的后台系统里, 把这些域名的DNSSEC签名状态同步进行锁定。这样做的作用是把该域名的DNSSEC签名给锁住, 其目的就是为了防止这些已经配置好的解析记录, 会被外部的不明来源给擅自篡改掉。
第二层：DNS解析侧加固
把负责域名解析的DNS服务器限制在最多两组内, 这里每组包含的两台机器加起来是总共的四台, 通过这样做能够把可能受到攻击的范围缩小一点。
你要去启动那个叫做域名系统安全扩展的东西, 也就是大家常简称为的DNSSEC。然后呢, 你需要跑到你的那个域名注册商所提供的那个管理后台或者控制台里面。在里面找到相关的设置项目, 要把那个DS记录给托管上去, 也就是完成对这个记录的管理和保存工作。
需要使用那些支持 rdns 验证的解析服务商, 而且所有关于解析内容的变更操作, 都需要通过管理员邮箱进行二次确认才算是完成。
第三层：所有权与邮箱防护
域名注册所使用的电子邮箱、WHOIS信息管理的电子邮箱、还有SSL证书签发的电子邮箱, 这三者的作用是相互独立的, 在操作和保管上绝对不会存在混用的情况。
把全部邮箱的SPF和DKIM还有DMARC这些策略都开启起来, 目的是防止邮箱被人假冒掉, 别让人拿这个来对域名做验证操作。
必须把每年的审计工作做到至少一次, 要通过这样做来确认那些联系信息没有被人偷偷改掉。
被劫持后的应急响应流程（48小时窗口）
1. 一旦发现异常, 就应该立刻和注册商进行联系, 并且要求冻结该域名的所有操作行为, 通常情况下是可以实现远程增加ClientHold这个状态的。
2. 同步通知DNS服务商锁定解析变更通道。
3. 对域名证书链实施检查操作, 一旦发现SSL证书存在被替换的情况, 就应当立刻将其吊销掉, 并且马上进行重新签发的处理工作。
4. 在48个小时这个时间期限里面把事件溯源的事情给做完, 然后把所有相关连的密码以及密钥都进行更新。
5. 你应该向ICANN或者对应的注册局提交域名争议的相关备案材料, 这适用于UDRP流程的情况。
日常维护节奏
每个月的时候要做一件事, 这件事的具体内容是去检查一下WHOIS那边的信息是什么样的,还要看看那个DNSSEC的签名状态究竟是怎么回事如何保护高权重域名不被劫持, 最后还得去翻一翻注册商那边的后台操作日志都有些什么。
在每个季度的时间里,把管理域名的密码和那些被称为API密钥的东西进行轮换更新。
你需要每年都对DNS服务商的安全性进行重新评估大城新闻网, 并且确认解析记录里面没有出现异常的子域名。
完成上面的设置, 然后去验证一下, 这时候域名被劫持的实操成本会变得很高。这个成本是指攻击者需要同时攻破注册商内网、DNSSEC签名、管理邮箱这三重防线。实际上这个成功率是趋近于零的。建议大家把全部配置文档存档在离线介质里面。这么做的目的就是为了避免单点遗忘。
