高权重的域名遭遇劫持的时候, 攻击面主要集中在三个地方, 这三大攻击面分别是注册商的账户被攻破,DNS解析记录遭到篡改龙南市就业服务平台, 以及域名的转移操作被不法分子恶意发起。
针对这些安全风险, 防御的最核心原则是要做到“注册商锁”加上“DNSSEC”再加上“实时监控”, 这三者必须结合在一起形成一个三位一体的体系。下面是把各个方面的优先级都排好了的完整的操作路径, 企业的网站站长还有负责管理域名的人员, 都能够直接拿着这个路径进行对照并且执行。
注册商账户加固（优先级最高）
注册商的管理平台构成了第一个被攻击的入口, 因此需要确保实施以下这六项措施。
1. 你需要启用账户级的两步验证, 这时候建议优先选择TOTP动态码这种形式, 比如Google Authenticator、1Password这一类工具, 以此来避免让自身陷入仅依赖短信验证码这一种方式所带来的隐患。
2. 你必须先去那个负责管理域的机构的管理后台, 然后对着每一个单独的域名去逐个地进行设置工作, 以此来把域名转移锁这个功能给开启起来, 并且绝对不可以仅仅去相信或者依赖注册商那边本来就有的默认策略哦。
3. 在注册商的后台系统中, 密码这一信息需要和邮箱进行区分, 同时还需要与其他业务系统保持完全隔离的状态, 因此是绝对禁止出现复用的情形。
4. 如果注册商那边是支持的话, 咱们可以配置那个可操作的IP白名单, 以此来限定企业的固定出口IP。
5. 必须指定一个唯一的管理员来持有后台权限, 这样可以避免多人同时进行操作。
6. 把后台操作的那个日志, 按季度进行导出处理, 然后作为档案来保存留存在那里。
用户可以使用gz88.cn里的域名资产管理模块, 能够集中查看名下所有域名的注册商锁状态, 同时看到到期日期以及当下的NS指向, 这样能降低因为域名数量庞大而引起的漏管理风险。
DNS层面加固（第二优先级）
1. 我们要去部署DNSSEC这个事儿, 具体来说就是在注册的商家那边把相关设置给开启掉, 同时还得去验证一下那个完整的签名链条到底对不对, 这里的签名链条包括DS还有DNSKEY以及RRSIG这些玩意儿, 如果一个域名它没有把这个DNSSEC给启用起来的话, 那么它就很容易被那些搞中间人攻击的人给伪造掉解析结果。
2. 你应该至少配置2家不同注册商的NS服务器, 这样可以避免单点故障导致全网解析失效的情况出现。
3. 把关键子域（www、api、m）的TTL设为300秒,以缩小劫持后全网缓存的恢复窗口。
4. 对于那部分关键业务的域名来说如何保护高权重域名不被劫持, 大家建议使用那种采用了Anycast架构的DNS服务商来进行处理。你比如说像AWS Route 53啊,或者Cloudflare这些都是比较典型的例子。这样的话如何保护高权重域名不被劫持, 就天然具备了对抗单节点DDoS攻击的能力, 同时也能有效地防止路由被劫持的情况发生。
5. 把那个可以在后台通过网络去修改NS记录的开放入口给关了, 只有那个被列在白名单里面的管理员才有权去做这个操作。
实时监控与应急响应（兜底防线）
1. 在WHOIS查询或者注册信息出现改变的时候进行警告, 也就是说一旦发现任何名字服务器发生变动、注册人的身份发生变动、管理邮箱发生变动, 就必须去触发一个即时通知的动作, 这个通知通过邮件加上短信这两个通道来进行。
2. 证书透明度日志监控这件事, 是接入那个crt.sh这个API的, 或者是去用gz88.cn网站上面提供的SSL证书监控功能的, 只要是在这里发现了有非预期情况的证书被签发了的话, 那是要在30分钟之内进行响应的。
3. 备用NS需要提前备案。具体来说, 就是在第二家DNS服务商那里预先配置上和主NS完全一样的解析记录。这样做的好处是能够确保在需要进行应急切换的时候可以在5分钟之内的时间完成操作。
4. 制定劫持事件的应急响应标准作业程序。第一步, 需要立即联系注册商来冻结所有域名的转移操作。第二步, 要把NS记录切换至备用的服务商那里去。第三步是要在48小时之内完成攻击的溯源工作并且做好日志取证的记录。
5. 把应急联系人的清单张贴到运维值班群的里面去, 这个清单上面要写上注册商的紧急电话、DNS服务商的值班情况还有内部的技术负责人, 这样做是为了确保在节假日的时候能够做到有效触达。
日常管理规范
1. 建议在域名有效期结束前的60天之内, 马上把自动续费功能给打开, 这样就可以完全避免因为网站过期之后, 被别的人去抢先注册掉了这种糟心事的发生。
2. 员工在离职的那天, 会立即收回注册的域名以及DNS后台的操作权限, 这个过程不设置任何的缓冲或者延迟时间段。
3. 如果日UV超过10万, 或者是品牌核心词域名, 建议把它们在独立注册商账户里面去管理起来。千万不要跟那些低权重的域名弄到同一个账户里混用在一起。
4. <需要每半年的时间周期, 去针对这一份清单的内容进行全面的检查行为, 同时还需要完成记录的工作>。
总结
注册商锁是那个最基础的下底线, DNSSEC是用来进一步加固安全的, 而实时监控则是最后的兜底措施, 这三样东西都是一点都不能缺少的。
我们强烈建议把这篇文章当作公司内部的标准化操作流程来存档管理, 并且在之后的每一天、每一个月、每一个季度里都要记住要去检查这个事, 具体来说就是每过半年就执行一次对照性质的检查动作, 目的就是要确保那些拥有高权重的域名一直都处在完全可控的状态里面。
