一旦高权重域名遭遇劫持的情况, 那会导致一个非常严重的后果, 那就是业务彻底停止运行, 用户大量流失, 还有搜索引擎优化方面的权重直接降为零, 这种情况是不可接受的。
那么要想保护好这个高权重域名, 不让它被劫持去伤害咱们的系统业务的话, 其核心的保护逻辑路径其实是由几个步骤构成的, 具体需要锁定权限控制权、启用DNSSEC技术防护机制、收敛操作流程入口、建立监控响应措施以及定期审计备份方案这一系列操作内容。这五步共同作用可以形成一个完整的闭环体系。
接下来我们将对每一个步骤的具体操作要求展开进行说明叙述解释给大家听清楚是怎么回事。
第一步：启用域名锁定与转移密码保护
需要在域名注册商的后台管理页面里, 去把那个叫作“域名锁定”, 并且用英文表示为“Domain Lock”的功能给开启起来, 这样一来就能禁止掉那些没有经过合法授权的所谓的域名转移行为, 与此同时还要专门去设置一个强度非常高的转移密码, 这个转移密码的位数至少得是16位长这样才符合要求, 而且密码里面还应该同时包含大写的英文字母和小写的英文字母以及数字还有特殊字符这些元素都混在一起, 最后还需要注意的一点就是, 要把这个转移密码和主账户所使用的密码在存放的地方把它们完全分离开, 不要放在一起。
建议把高权重域名的状态设置为clientTransferProhibited, 这个状态可以在Whois里面查询到如何保护高权重域名不被劫持，也可以由注册商来验证。
第二步：配置域名DNSSEC
DNSSEC也就是域名系统安全扩展这个东西, 它是利用数字签名的这种机制, 从而来防止DNS解析的内容被人篡改。
具体的操作流程应该是这样的, 第一步要在域名注册商那边的控制台上把DNSSEC给启用起来, 然后生成DS记录并且下发到上级域名服务器那里去, 第二步是要在权威DNS服务商那边去添加DNSKEY和RRSIG这些记录, 等到配置工作全部完成之后呢, 就可以通过那个叫dnssec-analyzer的工具来验证签名链到底是不是完整的。
那些还没启用DNSSEC技术的域名, 一旦遇到了DNS劫持这样的状况, 是没有办法被快速地识别出来的, 所以安全防护的效果就会被大打折扣。
第三步：收敛管理权限如何保护高权重域名不被劫持，优选注册商
把管理域名的账户人员限定在最少必要的几个人里面, 开启多因素认证功能, 坚决不要使用共享的密码。
在选择域名注册商的时候, 优先找那些支持域名锁定制度的服务提供商打个比方说gname.xin提供的这种企业级域名管理服务, 他们的账户能够绑定硬件密钥用来做多因素认证, 而且具备转移冷却期这个机制, 这样能够有效地降低因为人为误操作产生的风险以及恶意转移出现的风险。
同时需要确认一册商这个地方, 他们是不是支持Whois隐私保护这个功能, 还有账号出现异常登录的时候，是不是可以发出告警通知。
第四步：建立监控与应急响应机制
我们要去部署域名状态监控, 这个操作要把NS记录变更、域名到期日、注册商账户登录异常这些项目都给包进去, 建议监控频率不低于每小时一次。
还要预设应急响应流程, 发现异常之后, 要在三十分钟之内完成域名紧急锁定, 在两个小时之内通知注册商进行冻结账户操作, 在四十八小时之内完成事件溯源。把应急联系人信息更新至注册商备案那里去, 这样就确保非工作时间也能触达。
第五步：定期审计与本地备份
每季度都要执行一次域名管理权限的审计工作, 这个工作会去核查所有的操作日志, 还有那些子账户的权限变更记录。要把域名的注册信息、DNS配置、SSL证书、解析记录这些东西都给完整备份到离线存储的设备上。
在域名到期之前的60天就要设置好自动续费, 同时还会触发多种通道的提醒, 这些多通道提醒包括短信还有邮件以及企业微信的方式这么做是为了避免出现因为管理上的疏忽而导致域名有过期的情况被他人抢注。
前面所说的这五个步骤合起来就是一个完整的保护过程, 缺少了任何一个部分都不行。对那些很有影响力的域名进行防护的事情, 根本就不是某一种单独的技术操作手段。
它实际上是一个系统方面的工程工作, 这里面包含了权限的管理内容、技术层面的加固动作以及流程上的响应措施这三块内容。建议大家把这事儿放到企业整体信息安全的每年例行审计检查清单里去。并且保证每一年至少要回来重新分析评估一次这个情况。
