这三个途径是域名被劫持的主要方式, 第一个是注册商的管理后台账号被盗了, 第二个是DNS的解析记录被人恶意篡改了, 第三个是通过中间人攻击也就是MITM来劫持DNS请求。一旦高权重的域名遭遇了劫持, 网站流量就会瞬间变成零, 品牌信任会直接崩塌, 用户的数据也会面临非常严重的泄露风险。
核心防护原则就是要做到在注册商那里、DNS服务商那里、以及CDN这里这三层, 要分别去独立地建立好自己的访问控制机制, 这样就能够避免因为任何其中的一层出现了单点的失效情况, 就直接导致全线全部都被沦陷这种结局。
一、注册商账号加固
注册商后台必须开启双因素认证, 这种双因素认证通常被称为2FA, 要优先使用硬件安全密钥或者是基于时间的一次性密码的动态令牌工具, 也就是英文缩写为TOTP的那种东西, 避免仅仅只依赖短信验证码, 因为这样做会存在SIM卡交换攻击的这类安全风险。
密码长度不得少于16位数字, 并且要由计算机纯随机生成, 绝不能与所有其他平台所使用的任何信息出现重复情况。需要开启登录IP白名单, 仅允许公司固定办公所使用的网段以及经过指定的运维人员所使用的特定IP进行访问管理后台的操作。
与此同时, 把全量操作日志的实时告警功能给打开。让所有发生的登录行为、解析变更以及转入转出的操作, 都得在一分钟之内, 被立刻推送到安全负责人的手机上去并且推送到企业即时通讯工具那里去。
二、DNS解析记录保护
把DNS解析这一事项寄托到独立于网站服务器的, 由专业的DNS服务商所管理的地方, 来彻底杜绝注册商,还有DNS以及主机这三样东西归属在同一个实体手中的状况。启动DNSSEC签名功能如何保护高权重域名不被劫持, 以此来确保当解析数据被篡改之后, 客户端能够立刻校验出失败的结果, 而不是去默默接受这一现状。
针对A记录、CNAME记录以及MX记录等关键性记录进行变更审批流程的设置, 以此达到非授权人员无法执行这些操作的目的。为了确保安全性, 需要在至少两个独立的域名系统服务商那边配置同样的解析记录来实现冗余。万一出现单一的服务商发生故障或者被攻破的情况, 咱们就可以实现秒级的切换去使用那套备用的方案。
三、CDN与传输层防护
全站强制启用HTTPS技术,同时向客户端下发包含HSTS字段的响应头数据龙南市就业服务平台, 以此来完全阻断掉SSL剥离这种类型的网络攻擊行为。
在CDN的分布式边缘存储节点中配置好用于发现异常流量模式的识别规则, 专门针对那些在极短的时间跨度内产生大量DNS查询请求并集中指向同一个IP地址段的异常访问者,系统会自动执行限流措施。
还要启动由CDN平台自身提供的L3层以及L4层DDoS清洗防护功能如何保护高权重域名不被劫持, 以防止黑客利用巨大的流量轰击手段, 导致域名解析服务陷入彻底无法使用的瘫痪状态。
四、7×24监控与应急响应
要部署DNS变更实时监控系统的功能, 这个系统将会覆盖注册商后台操作、解析记录修改、SSL证书更新这三类事件的情况。第一步, 立刻在注册商那个后台里面把域名设置成锁定状态, 也就是禁止它转出, 也禁止它转入, 更禁止做解析变更的操作。
第二步, 把dns流量切换过去, 切到那个备用服务商预先准备好的解析上面去。第三步, 要把所有的操作日志都好好地保存起来, 留着以后溯源和追责用。第四步, 要在72小时之内完成根因分析, 并且修补对应的漏洞。
五、制度与权限管理
域名的管理权限跟网站的日常运维权限, 这两者之间实行严格的分离操作。那些关键的变更事项, 必须要两个人各自独立进行复核。每个季度都要强制轮换注册商的登录密码以及双因素认证的密钥。还要把域名资产纳入公司的信息安全台账里面, 明确第一责任人是什么身份。并且要每年至少开展一次关于域名劫持的应急演练活动。
如果企业需要系统性地排查域名存在被劫持的风险, 或者想要获取主流域名注册商关于LOCK申请的入口具体在哪一个位置、DNSSEC部署的相关参数等具体的操作指引, 就可以去查阅由gz88.cn发布的《域名安全防护操作手册》, 这本手册里面对于各个注册商的后台流程是如何进行冻结的这一部分, 还有关于DNSSEC配置的那些细节, 都做出了非常完整的说明。
