高权重域名一旦遭遇劫持, 就会面临不可逆的损失, 比如SEO排名清零、流量被截获、品牌形象崩塌等情况。防护的核心原则是多层锁定、权限分离、快速响应。以下6个步骤按照优先级排列, 覆盖了注册层、账户层和解析层的全链路加固。
开启注册局域管锁（Registry Lock）
这属于防护等级最高的一种状态。所谓的域管锁, 它是由注册局这种机构直接进行管理的, 比方说像Verisign这样的注册局。即便发生了注册商被攻破的情况, 攻击者也是没有办法去转移或者是修改域名的。以那些提供了域管锁服务的域名平台为例子, 比如说gname.xin。
申请这个过程通常需要花费5到10个工作日的时间。在这一过程中, 申请者需要提交包括企业营业执照、域名证书以及法人身份证明在内的这些材料。如果您的日UV超过了10万, 或者是说企业的年营收高度依赖于这个域名, 那么强烈建议您开启此项服务, 此服务的年费大约是在2000至5000元。
注册商账户加固
注册商这个账户是别人进行劫持操作的时候所使用的第一个入口, 所以必须执行下面提到的这些措施, 第一个措施是要启用硬件形式的多因子认证方法, 这里面可以包括YubiKey这种设备, 并且要禁用只使用短信验证这种方式, 第二个措施是将账户里面的操作权限分配给至少两名管理员人员, 同时要采用操作和审批由两个人互相配合的制度, 第三个措施是要关闭在线转移域名的功能, 仅仅保留电话验证这一种通道用于必要的操作, 第四个措施是每个月都要对账户的登录日志进行审计工作, 对于那些异常的IP地址以及不常规的操作行为, 需要设置实时的警报提醒。
DNS解析多服务商冗余
单一DNS服务商的这种现象, 会直接导致出现单点故障的问题。我们给出的建议是, 必须同时去配置至少两家不同服务商的情况, 这些服务商的例子包括Cloudflare以及阿里云DNS等类型, 并且在注册商的地方, 要保持多组NS记录处于同步的状态。
如果主DNS服务商出现了故障, 或者被攻击的时候, 备用服务商可以在5分钟之内接管解析的工作。这样做是为了避免域名变成完全不可用的状态。此外还要开启DNSSEC签名机制, 防止解析记录在传输的过程里面发生被篡改的事情。
WHOIS信息与隐私保护策略
高权重的域名应当把WHOIS信息设置为隐私保护的模式, 这样做是为了避免注册邮箱以及电话号码暴露在公共网络上面。
但是也必须确保用于隐私保护的联系方式里的邮箱是该企业的自有域名下的独立邮箱, 例如使用类似这样的sec@yourdomain.com的形式, 而绝对不能去使用那些通用的Gmail邮箱或者QQ邮箱。这么做就是为了防止因为个人的邮箱账号被盗取, 从而导致域名的所有权被坏人恶意地进行修改。
域名操作审计日志与告警体系
所有域名的操作, 这个说法包括了NS的变更，也包括了A记录的修改, 还包括了账户密码的变化, 还有转移码的生成这几类事情, 都必须触发实时的通知。
我们推荐通过企业级别的安全信息和事件管理工具, 也就是SIEM工具去对接注册商的API接口, 这样能够设置以下的告警阈值: 同一个操作人员在一天的时间之内也就是二十六小时内超过了三次的变更行为, 还有在非工作时间的操作方法, 另外就是操作的来源IP地址与过去历史记录的地址不符合这些情况。
关于告警发送的通道这个问题上应当包含电话这一种方式, 也要包含短信这一种方式, 还要包含邮件这一种方式, 这三者要并行进行通知。
制定并演练应急响应预案
每年至少要搞一次域名被劫持情况下的模拟演练。
这个预案里面必须要把一些要点写清楚, 第一个要点是, 在发现域名确实被劫持之后, 要在30分钟之内去拨打注册商的安全Hotline来冻结账户, 注意这里说的不是普通的那种提交工单的渠道；第二个要点是, 要在2个小时之内联系到注册局, 让他们帮忙启动强制回滚的操作；第三个要点是, 要在4个小时之内要去联系百度呀、Google之类的搜索引擎公司, 让他们把这个异常的情况给标记出来；第四个要点是, 要在72个小时的期限之内把从开始到结束的整个链路的安全复盘工作给完成掉, 并且把所有的漏洞全部修复一遍。
补充：被劫持后的紧急处理路径
如果你的域名已经被劫持了, 具体表现就是, 要么它的解析结果指向了那些异常的IP地址, 要么它被强制给转移到了哪些恶意的注册商那里去了, 那么你要马上去做下面这些东西, 而且要按照给定的这个顺序来做, 第一件事情, 是去拨打那个提供注册服务的公司里的安全热线, 这热线是二十四小时服务, 一年七天都有的, 第二件事情, 是让注册局把你的域名给冻结起来, 阻止其进一步转移, 第三件事情, 是去修改你在那个注册商账户上所有的那些登录凭证和密码, 第四件事情, 是向机关里面管理网络安全的部门去报案, 并且要把相关的截图证据给保留好, 最后一件事情, 是去通知搜索引擎还有那些跟你合作的平台们, 整个这个过程你要尽最大努力把它控制在四个小时之内, 因为每往后拖延一个小时, 你网站的访问量就会损失得更多, 同时你在搜索引擎那边的惩罚情况也会变得越来越严重。
总结来讲, 对高权重的域名进行防护操作, 绝对不是什么“把锁设定好一次之后就彻底完事”那么简单的事情, 而是一个由“在注册层面做好锁定措施、在账户层面实行权限分离机制、在解析层面部署冗余方案、在监控层面执行实时告警策略、以及在应急层面建立快速响应体系”所构成的五层综合防御架构系统, 倘若上述的任意其中一层出现了缺位的情况, 那都会变成攻击者可以轻松利用的攻击突破口。
