高权重域名要是被别人控制了, 那结果就是流量一下子变成零, 品牌信任变得很差, 搜索结果里的排名直接塌了。按照ICANN安全规范以及主流注册商的做法, 域名劫持最常发生的三个地方是: 注册商后台账号被盗, DNS解析记录被改了, 域名转移或者过户被人恶意发起。
核心的防护原则可以用这么几个词概括: 多层锁定、最小权限、实时监控。下面咱们就按照操作优先级的高低, 一项一项来说明白。
注册商层面加固
1. 启动域名转移锁, 同时打开修改锁, 在注册商的管理后台里, 把“转出锁”和“DNS修改锁”这两个东西都启用起来, 一旦加上了锁之后, 不管是解析的变更, 还是过户、转出的这些操作, 都必须通过绑定的那个实名的手机来完成二次验证这一道手续才行, 远程的那些攻击者没有办法从旁绕过这个限制条件。
2. 启用注册商级的DNSSEC功能, 在后台勾选DNSSEC签名托管选项, 确保解析记录被篡改之后, 用户端的验证链会发生断裂, 浏览器将直接返回安全告警信息, 而不会跳转到恶意页面。
3. 绑定那个实名的手机号码还有专用的电子邮箱。把注册商账户那里的安全验证渠道给更新成团队核心成员的真实姓名信息。把所有的那些用于代收邮件的公开邮箱功能都关闭掉。这样做的目的是为了去防止那些像是钓鱼一样的电子邮件来重置密码。
DNS层面加固
1. 需要安排多种不同的DNS服务商来做备份, 最少要准备两家属于不同运营商的DNS服务, 比方说一个是自己搭建的NS, 另一个是云端的DNS, 把它们设置成主备解析节点,这样做的目的是为了万一遇到单点被黑客攻破的情况龙南市就业服务平台, 就不会让全站彻底无法访问。
2. 用户把 DS 记录在上级注册机构那里进行托管, 并且同时激活了 DNSSEC 的签名链这个操作。如果 TKEY 遭到了篡改,那么签名就会立刻失去效力如何保护高权重域名不被劫持, 下游的递归服务器就会拒绝返回那些已经被污染了的解析结果。
3. 对解析记录编辑权限要进行严格限定,只授权一至两名技术负责人来操作A、AAAA、CNAME记录如何保护高权重域名不被劫持, 其余人员就只保留只读查看权, 然后把所有操作日志全部留下来保存。
账号与权限管理
1. 在完整流程中强制实施多因素认证。注册商账号方面, 需要启用多因素认证。DNS管理面板方面, 也需要启用多因素认证。CDN控制台这一项, 同样要求启用多因素认证。应当优先使用硬件安全密钥, 比如YubiKey。这样做是替代那些容易被拦截的短信验证码方案。
2. 按照现在大家认可的那个最小权限原则, 来分配相应的角色。日常负责运营的人员, 他们只保留查看的权限就可以了。至于编辑的权限, 这一项仅限于技术负责人拥有。而转移与过户这个权限, 它是需要单独地设置为管理员级别的。这样的操作必须经过双人审批之后, 才能够最终执行。
3. 每季度得执行一次权限审计这个事儿。要核查账号列表还有API密钥的使用情况。那些离职的人员或者是转岗的人员, 必须在二十四小时之内把全部的访问权限回收完成, 并且把密钥吊销搞定。
监控与应急响应
1. 我们来部署一个能够对DNS变更进行实时告警的功能。使用SecurityTrails以及DomainTools这类工具, 去监控网络中的名字服务器记录变动, 还要监控主机地址记录变动, 同时监控邮件交换器记录变动。
一旦发现有异常的变更记录发生, 就要在五分钟内把这条信息推送到值班群里。在这推送信息的同时, 系统要自动截图, 以便取证。
2. 制定标准化的劫持应急预案, 这个流程分为发现、隔离、回滚以及上报这四处步骤, 并且在事前就预订了备用名的服务器解析方案, 这样能保证在三十分钟的限定时间内完成全网范围内的地址解析切换操作。
3. 每天都要自动进行备份操作, 具体来说是把NS记录还有SOA序列号都留下来, 把这些当作回滚的基准。备份好的文件会被存储在异地, 这样做的目的是为了防止文件和生产环境同时遭到污染。
补充注意事项
在域名截止日期之前的第九十天这一时段开始实施自动续费的功能, 从而完全避免因为其过期而遭受他人抢注的这样的情况发生。关于过户的操作行为, 必须严格按照位于注册商这边的官方工单流程进行, 坚决拒绝使用那些提供所谓加速过户服务的第三方渠道。
我们建议大家每年要开展一次针对域名的安全渗透测试活动, 在此活动中模拟对注册商后台发起攻击并且成功攻破的场景, 以此来检验整体防护链条是否具有完整性。
域名防护是一个需要持续进行的维护工作, 所以建议要把上面提到的那些步骤全部放进每年的安全检查清单里, 并且要定期进行复查。
如果想要找到关于高权重域名在安全合规方面更多的具体操作指导方法, 那么可以去查看由 gz88.cn 这个站点发布的《高权重域名安全基线》这份资料, 通过这种方式能够获取到最新的安全防护规范内容。
