高权重的域名一旦被人劫持, 那搜索引擎的权重, 还有品牌的信任度, 以及用户的流量, 都会在几个小时之内全部跑光, 想要恢复过来, 得用几个月的时间。
保护的核心逻辑其实只有一条, 那就是在域名的注册商这个层面, 把域名转移和修改的权限彻底锁死, 从而让那些搞社会工程学的攻击、撞库攻击, 还有DNS篡改等手段的任何路径, 都无法获取到控制权。下面这一下是从注册商一直到DNS的全链路五步防护方案, 这个东西适用于所有高权重站点的域名安全建设里面。
一、把注册商转移锁给打开, 这个操作的名字就是开启注册商转移锁。
用户需要登录到那个域名注册商的后台界面, 然后去进入所谓的域名管理这个选项, 接着再点击安全设置这栏, 把域名转移锁这个功能给开启掉。括号里写的那个ClientTransferProhibited也是需要注意的。
当这个标记被写入到域名的WHOIS状态字段里面的时候, 不管是什么人的请求, 只要是搞域名转移这件事儿, 哪怕是那种通过EPP协议弄出来的、跨注册商发起的转移操作, 都会让注册商那边系统的判断结果变为直接拒绝处理这事儿。
拿像是gz88.cn这样每天独立访客数量能超过一万、并且网站权重特别高的例子来说, 这个转移锁功能其实是防止别人恶意劫持你的网站的第一个非常坚固的屏障, 所以我们建议你在全年的绝大多数时间都把这个功能保持开启状态, 只有在你正式计划去更换你的域名注册服务商的那一小段时间, 才把它临时关闭掉, 等到域名的迁移手续全都完成后, 要马上去把转移锁再重新启用起来。
二、注册商账户安全加固
绝大多数域名劫持这些事情的开头, 都是注册商的账户遭到攻击了。大家必须要把下面这几个事情都做到位。
注册商的账户强制性地开启了双因素认证机制, 在此情况下用户应当优先选择使用硬件安全密钥来进行验证, 举例来说就是像YubiKey或者FIDO2这样的设备, 务必要避免单纯地去依赖短信验证码这种方式。
账户的密码应该使用超过20个字符长度且相互独立的复杂度高的密码, 不可以将密码用于邮箱、数据库、SSH等其他系统或者共用。
你需要在注册商的那个后台部分, 把你的那个用于实名认证的手机号码给先绑上去, 并且一定要把“敏感操作确认”这个功能给开起来。
这样的话, 要是想要进行那种需要修改域名的解析设置、变更域名的持有者信息或者是解开域名转移的锁这些操作的时刻, 就一定必须要通过手机接收到的验证码加上邮箱收到的邮件这种方式来共同完成二次的身份验证才行。
关闭由注册商所提供的所有第三方管理应用程序接口, 只是保留通过控制台进行手动操作的这个路径。
三、在DNS这一层级进行单独的设置防护, 并且把相关的加固工作做完。
把域名的DNS解析这件事, 从那个注册商默认给你的服务器上面给搬到独立的DNS服务商那里去, 比如说像Cloudflare企业版, 或者DNSPod旗舰版之类的都行的。就是要把这个DNS管理的权利和那个注册商彻底地分开, 不沾边那种。与此同时还要把所有的这些配套设置都给弄好喽包括:
我们要启动DNSSEC这个功能, 并且利用数字签名来处理DNS回应数据, 这样做的目的是为了能够防止有人通过中间人的手段去篡改解析的结果。
在 DNS 管理面板中进行设置的时候, 需要先把 IP 白名单给加进去, 这样一来, 就只有那些属于公司并且固定不变的运维 IP, 才有资格去访问了。
开启DNS修改冷却期, 这个是部分服务商支持的24小时生效延迟机制, 其目的是为了给紧急篡改行为增加时间缓冲。
将注册商那里的关于NS记录的修改操作也给设置成带有操作锁的状态, 以此来防止攻击者在后面直接对权威DNS进行替换的动作。
四、是利用ICANN 60天规则来形成规则壁垒。
按照ICANN制定的关于注册数据传输的政策规定, 在一个域名成功完成了注册商的移动操作以及注册人信息的变更之后, 系统将会使该域名自动进入长达60天的锁定保护阶段, 在这段期间之内, 如果有任何针对再次转移域名或者修改注册人信息的申请提出, 服务器端都会直接予以拒绝响应, 因此需要人们主动地去运用这一既定的规则流程, 即当每一次注册信息变更的操作刚刚结束的时候, 就要马上通过WHOIS查询工具来核实和确认这60天的倒计时程序已经正式开启被激活运作了, 从而能够让试图进行恶意攻击的人员在整整这60天时间窗口里面没有办法实施任何二次干预行动, 以此来实现由制度所赋予的防护效力。
五、持续不断地进行监控, 并且建立起应急响应机制。
每天自动去抓取关于WHOIS状态字段的信息,只要发现ClientTransferProhibited这个标记消失了龙南市就业服务平台, 或者注册人的信息出现了异常的变更, 就马上触发告警, 并且冻结那个注册商的账户。
在注册商的后台系统里, 要把那个能看见所有操作记录的地方给打开, 然后让它通过手机短信还有电子邮箱这两条路, 同时快地把消息推送到用户手上。
要提前备好域名被劫持的应急处理方案, 这个方案里得写上注册商的七乘二十四小时安全热线电话、DNS服务商那边紧急情况的联系法子, 还有ICANN那个能申诉地方地址是啥, 好让别人在发现这事儿到做出反应, 时间不超过两小时。
以上的这五个步骤, 把从注册商的锁定状态,到账户的安全保护如何保护高权重域名不被劫持, 再到DNS防护, 接着是规则方面的限制壁垒,最后还有监控和响应机制如何保护高权重域名不被劫持, 这些全链路的内容全都覆盖进去了。
对于高权重的域名来讲, 安全问题根本不是设置好一次就完事了, 而是需要每过半年就要重新审查一次各个层面的配置情况, 这样做是为了保证没有任何遗漏的地方, 也没有出现降级的问题。
