高权重的域名如果一旦遭到了非法的劫持, 那么搜索引擎所收录的权重、品牌和用户之间的信任关系, 还有核心业务的连续性, 都会在很短的几个小时之内, 面临那种没有办法恢复的损失, 这种损失是不可逆的。防护的核心逻辑这个东西, 简单来说龙南市就业服务平台，就可以归纳为三个层次。
第一个层次是在注册商的层面进行死锁, 也就是把域名的转移功能给锁住。第二个层次是在DNS的层面进行死锁, 也就是把解析记录给锁定。第三个层次是在账户的层面进行死锁, 也就是把操作流程权限给锁起来。
下面的这6步步操作是按照优先级的顺序来排列好的, 所有的步骤都完成以后, 就可以覆盖掉超过百分之95以上的已知的被劫持的场景了。
开启注册锁定与转移密码管理
进入登录页面并打开域名注册商的控制台界面。在设置里面寻找标有”域名锁定“字样的选项, 这个英文名也包括了Transfer Lock和Registrar Lock。把那个开关点成开启状态。一旦处在锁定的状态下, 你的那个域名将不能被移到其他注册的代理商那里去。
这种操作方式是抵御在注册商这一层级发生劫持事件的第一层保护手段。与此同时, 要把那个转移密码, 也就是大家说的授权码或者EPP 码, 设置成一种20个字符以上的高强度随机字符串。然后要求每过90天就必须强制更换一次。
千万不要把它用纯明文的形式存放在共享文档里面, 也不要放在即时通讯的记录里。拿gz88.cn这个域名的注册管理后台来做例子, 它默认是提供了注册锁定开关以及转移密码的一键重置功能的。所以建议大家在第一次进行部署的时候就要把这些配置都完成好了, 并且截图留作存档以便后续查验。
DNS加固：开启DNSSEC并部署多权威服务器
用户需要在注册商的后台管理界面里面, 把DNSSEC这个叫做域名系统安全扩展的东西给开启起来, 这样做的原因是为了能够让那些关于域名的记录提供出一种通过密码学来进行签名和验证的功能, 从而使得那些想要进行攻击的人在试图去篡改比如说是A记录或者是CNAME这样的解析数据的时候如何保护高权重域名不被劫持如何保护高权重域名不被劫持，没有办法做到不被大家发现, 另外就是在配置解析服务的时候, 至少要设置出来两个或者是两个以上是由不同的供应商所提供的权威的DNS服务器, 这里给的例子就是可以把Cloudflare和阿里云DNS这两个组合在一起使用, 这么做的主要目的是为了要防止因为单独的一个供应商出现了故障或者是被坏人攻破的情况, 而导致整个的解析过程都被别人劫持。
针对NS记录修改权限的限制情况, 我们要把它控制在不超过两名指定的管理员范围内, 与此同时, 只要涉及到任何关于NS的变更操作, 都必须去走那个双人审批的流程, 并且还需要留存好相关的操作屏幕截图。
注册商账户权限最小化与多因素认证
注册管理账户必须把多重因素认证功能给打开。在验证身份的时候, 要先把硬件安全密钥当作首选方案, 比如就用那个YubiKey这类设备。千万不推荐使用短信验证码这种方式来做验证, 这么做就是为了从技术的层面上把SIM卡克隆攻击这一类风险直接杜绝掉。
要把域名里的这些管理权限按照对应的角色进行拆分处理。让负责技术运维的那个团队只留有关于DNS解析编辑的这个权限就足够了。
对于商务人员以及财务人员, 绝对不能让他们去碰那些高风险的操作事项, 这些事项里面包括了域名的转移操作、删除操作或者是修改注册人信息之类的行为。审计日志保留的周期不得少于180天, 安全团队每月需要对操作记录进行核查, 并且要把核查结果和相关数据进行归档。
部署7×24小时监控与即时告警
要对那域名的NS记录, 还有那个注册人的信息, 以及那个Whois变更记录的事情, 包括DNSSEC那个签名状态是怎么设置的这些内容, 全部都要去弄实时监控这个操作出来。
给大家推一个组合的方案, 这里面就包括让那个注册商自己去带变更的邮件通知, 再加个叫SecurityTrails的那个WHOIS历史比对的东西, 最后再加上自己去建的一个监控域名脚本。只要检测到非预期的变更。告警必须在5分钟之内。通过短信与电话的双通道。触达安全负责人。
并且要立即启动一键回滚的操作预案。将影响窗口压缩到最低。
建立劫持应急响应预案
这个预案里面必须得要包含上四个大的模块, 第一个模块是隔离环节, 这里需要去切换到备用DNS系统, 并且把受影响的那个站点在临时的时间里下线；第二个模块是升级环节, 这里要通过对注册商的VIP工单通道来提交一个紧急冻结的请求；第三个模块是法律环节, 这里要向ICANN那边提交UDRP投诉或者向有管辖权的法院去申请一个紧急禁令；第四个模块是恢复环节, 这里需要去验证解析情况以及注册信息是不是全部正常了以后, 再去逐步把业务给恢复。
关于预案这件事, 要每半年的时间去组织一次桌面演练。这样做的主要目的就是要去确保团队在面临真实事件的时候, 能够用30分钟内的时间把所有的响应动作都完成。
注册到期自动续费与长期锁定
把那个域的自动续费开关给它打开, 关于费周期这一点, 建议一次性把它锁定为三年到五年这个区间, 这样可以从头到尾就掐断掉“忘记去续费”、“域名进入被赎回的那段期”、“被别人抢走注册”以及“拿去搞钓鱼和骗人那些事儿”这种间接劫持的路径链。
用来扣款交费的这个账户, 必须是独立的银行账户, 和日常运作所花的钱要分得清清楚楚、隔离开来, 这样就防止了因为财务账户上出了什么不正常的状况而导致续费扣费没能成功, 进而错掉了可以赎回的那个时间窗口。
前面所说的这6个步骤, 合在一起, 就构成了一个完整的, 针对域名防劫持的闭环流程, 大家建议每过半年时间, 就拿出这个清单, 一项一项地去复查清楚, 因为, 如果任何一项配置出现了缺失的情况, 都完全有可能, 变成下一次攻击能够利用的突破口。
