保护高权重不被劫持, 其实质是需要在"注册层""DNS层""访问层""监控层"这四个关口同时上锁。现在以下5个步骤是按照优先级的顺序排列的。如果在全部执行完毕后, 域名被劫持的概率是可以降至接近于零的。
第一步：启用注册商域名锁定（ClientHold + Registry Lock）
你需要先登录到你用来注册那个域名的服务商的后台,然后找到域名管理那一页如何保护高权重域名不被劫持,把那里的“Transfer Lock”如何保护高权重域名不被劫持, 也就是通常说的注册锁给打开, 等你把它启用了之后, 这个域名就变成谁都不能随便转走的状态了, 其他的人或者公司没办法把它移送到别的地方去, 别的第三方也没办法来搞抢注这一套事情, 要是你手里握有的是那种权重很高的域名, 我建议你再往前多走一步, 去向你的注册商要申请一个叫作“Registry Lock”的东西, 一般大家管这个叫注册局锁定, 这个事儿你得写个书面申请交给注册商, 如果你成功拿到了这个状态, 那可就更严格了, 不仅没法转移, 就连修改DNS记录这种小操作都会被冻结住, 谁都不能动, 只有得到了你们那个注册商的同意和授权之后, 才能够把这个锁给解开。
第二步：DNS服务商加固与多因素认证
需要把域名里的NS记录, 切换到那些支持双因素认证, 也就是2FA的DNS服务商那里去, 这样的服务商包括AWS Route 53以及Cloudflare等, 并且要在账户级别上把2FA功能强制开启, 针对所有的NS变更操作, 都必须通过控制台来完成这个动作, 同时要把telnet以及HTTP明文接口给禁用掉, 多组DNS服务商所对应的凭据必须相互独立开来, 绝对不允许共用同一个密码。
比如, gname.xin公司在把它核心的业务域名给部署上去的时候, 是拿了一个什么样的方案来用, 就是主和备这两个DNS服务商加上那个独立的硬件这个双因素认证这样的方案, 这样一来, 从单纯的那个入口层面上看的话就是把解析被改掉的可能性给彻底拦住。
第三步：WHOIS隐私保护与账号安全
开启WHOIS隐私保护服务。这样做可以隐藏管理者的真实邮箱和电话号码, 从而收窄社工攻击面。注册商账号需要启用硬件级双因素认证, 举例来说就是用YubiKey或者安全密钥之类的东西。
一定要禁用纯短信验证。密码要用密码管理器生成。密码不能跨平台复用。每季度要审计一次登录日志。一旦发现异地登录的情况, 必须立即冻结账号。
第四步：SSL证书绑定与CDN源站隐藏
将 SSL 证书绑定到这个权重比较高的域名上, 然后启用 HSTS, 也就是 HTTP Strict Transport Security, 以此来防止中间人篡改跳转。
如果是接入了 CDN, 比如 Cloudflare、Akamai 这样的服务, 那么在 CDN 这一侧要锁定 Proxied 状态, 这样真实的源站 IP 地址就不会对外暴露出来, 同时将 CNAME 记录指向 CDN, 而不是指向源站, 这能够进一步收窄攻击面。
第五步：持续监控与应急响应预案
需要对域名状态进行监控,使用的工具包括DomainTools和SecurityTrails龙南市就业服务平台, 针对NS变更、MX修改以及SSL到期等事件来设置实时的告警。
同时需要编写一份名为《域名劫持应急响应SPO》的文件, 其处理流程是发现异常后先联系注册商申请冻结, 接着切换至备用DNS服务, 然后通知下游的业务方参与协作, 最后在48小时之内完成对根本原因的详细分析。
SOP文档被存放在至少两个独立的渠道上面, 具体来说就是包含在企业知识库里面, 同时还有加密的离线备份这种方式存在, 这样做是为了确保在出现紧急情况的时候, 这些文档仍然可以被拿出来调用。
完成上面提到的这5个步骤之后, 拥有高权重的域名会在注册这个方面形成闭环防护, 同时也会在网络解析这个方面形成闭环防护, 而且还会在用户访问这个方面形成闭环防护, 最后也会在后续监控这个方面形成闭环防护, 这样的防护体系可以覆盖掉DNS被劫持这种情况, 也可以覆盖掉域名被人抢注的情况, 还可以覆盖到注册商账号被盗这一类主流的遭受攻击的路径情况。
