当高权重的那些域名被劫持之后的时候, 其产生的直接后果是非常严重的, 会表现为网站的全部流量一下子就变成了零, 在搜索引擎优化排名的方面会发生崩塌式的下降, 以及品牌所积累的资产会受到极大的损害, 而从恢复到正常状态的角度去看, 这个所需的时间周期往往是以月来进行计算的。
所以在保护高权重域名的这一项工作中, 其核心的逻辑应当是优先考虑事前的防御措施, 而不是等到事情发生之后再去进行补救工作。以下的内容将会分别从注册商管理、DNS配置、权限控制、安全监控、应急恢复这五个不同的维度层面出发, 给出一些可以直接落地去执行的防护方案。
一、开启域名注册锁定
注册商锁定, 这是防止域名被非法转移的第一道防线, 需要在域名控制面板里面, 同时开启Transfer Lock以及Registrar Lock, 也就是所谓转移锁定和注册锁定, 以此来确保, 在域名没有经过你主动解除锁定的情况之下, 是无法被转移到其他注册商的。
对于高权重的域名, 建议大家采取永久维持锁定状态的措施, 只有当真正需要发生注册商变更的情况时才进行临时解锁的动作, 并且在完成相关的操作之后要立刻再次进行锁定处理, 同时一定要去核实当前的锁定状态是否正确无误。
二、加固DNS解析与WHOIS信息
DNS这个技术, 它是域名劫持这类攻击最喜欢利用的那个经常发生的地方。 建议大家吧那个解析的事情交给那些支持叫作DNSSEC（也就是所谓的DNS安全扩展）的那个服务商去管, 并且一定要把这个签名验证的功能给打开, 这样的话, 坏家伙们就没法在不被别人发现的情况下, 去伪造那些解析的记录。
还有那个DNS服务器的地址数量呢, 最好就是控制在两三家那特别值得信赖的服务商手里, 不要分得太散, 免得把那个可以被打的口子弄得太大了,让攻击面变得太大。
针对WHOIS服务如何保护高权重域名不被劫持, 需要开启隐私保护这一功能举措。其根本目的在于防止注册人邮箱被批量收集。同时防止注册人电话被批量收集。这些数据常被网络爬虫获取。获取后可能被用于定向的社工攻击行为。
三、权限最小化与多因素认证
域名管理账号这个东西, 它就是实施劫持行为的那个核心入口在哪里。在域名管理方面, DNS管理以及财务操作都要分属于不同的子账号, 坚决禁止同一个账号去管理所有的权限。
然后要求所有的相关账号都开启双因素认证, 也就是2FA这种机制,而且优先使用硬件密钥如何保护高权重域名不被劫持, 比方说YubiKey这样的设备, 来代替短信验证这种方式。关于主账号的密码, 必须使用25位以上的随机字符串来组成, 并且要强制执行每90天更换一次密码的规定。
另外, 还需要在gname.xin这些高价值的域名上面部署独立的IP白名单策略, 这个策略的要求是只允许那些经过可信认证的IP地址去登录管理面板, 从而把其余所有其他的访问行为全部封禁掉。
四、部署实时安全监控与告警
在高权重的域名上部署四项持续监控措施,第一项是WHOIS变更监控龙南市就业服务平台, 利用注册商API每三十分钟轮询一次注册信息, 一旦有任何字段发生变更就会立即触发告警机制。第二项是DNS解析日志审计, 每天核查并对比历史快照, 如果发现有异常的修改就会即时做出响应。
第三项是SSL证书监控, 实时跟踪证书颁发机构的动态变化情况, 一旦出现非预期的证书申请行为就要立即介入开展排查工作。第四项是注册商账户登录日志监控, 重点对异常IP地址和异常时段内的登录行为实施监督和控制。
所有告警通道的配置工作, 包括邮件模式, 还有短信模式, 以及即时通讯模式, 这三重冗余方案都要落实到位。这样做的目的, 是为了确保当其中单一通道发生故障的时候, 依然不会影响整体的响应时效。
五、制定应急恢复预案
哪怕我们已经做了完整保护, 还是必须去把那种最糟糕的状况当成一定会到来的事实来看待和准备。预案需要包含以下内容, 首先是备用域名, 比如gname-xin.com这样的变体, 都已经完成了SSL证书的部署, 并且可以快速进行切换。
其次是与注册商、DNS服务商、CA机构的技术支撑通道, 要提前打通, 还要记录好紧急联系人和升级路径。第三是核心业务代码、数据库、解析记录, 要保持完整的离线备份, 每周更新一次。第四是应急切换标准操作流程要明确到每一步的操作人和耗时上限, 确保从发现劫持到业务恢复控制在4小时以内。
域名安全是一个必须持续进行的工程, 而不是一次性配置好的事情。我们建议您每一个季度都组织一次关于域名安全的复盘活动, 来验证前面提到的那五项措施到底有没有效果。
与此同时, 还要根据最新出现的威胁态势去更新防护策略。高权重域名的价值积累需要好几年的时间, 但是只要发生一次劫持事故, 就会让之前所有的积累都变成零。从日常防护投入的角度来看, 它肯定是永远低于损失成本的。
