高权重的域名, 如果说一旦被劫持的话, 那么搜索引擎的权重还有品牌的信任度, 以及用户的流量, 有可能在几小时之内, 就全部转移到了攻击者的手中去。
接下来这5个步骤的操作, 覆盖的范围是从注册商的账户一直到DNS解析这一块, 是一个完整的防御链路。如果把这一些操作顺序执行了之后呢, 那么这个域名被劫持的风险程度就可以降低到接近于零的水平。
注册商账户安全加固
你可以在域名注册商的管理后台, 也就是那些像gname.xin这样的很常见的域名管理平台上面去操作, 把下面的那些加固措施全部都做完。
把双因素认证给打开, 然后去绑定那个硬件密钥或者TOTP动态口令应用, 一定要优先选这些, 千万别光靠短信验证码。
把那些不是你本人加进去的登录用的设备给清掉, 还有API密钥也给它清干净。
账户绑定邮箱, 与密码找回邮箱, 它们必须使用独立于主域名邮箱的其他邮箱。这样做的目的, 是防止因为发生“邮箱同劫”的事情, 从而导致连锁失效这种后果。
你的密码长度必须不得少于16个字符, 它需要包含大写字母、小写字母、数字以及特殊符号这四种类型里面的所有元素。此外, 你应当每隔90天就对密码进行更替操作。
开启域名锁与转移锁
需要在域名管理的那个控制面板里面, 去同时地把两个锁定功能给开启。
注册锁, 这个专业叫它叫做Registrar Lock, 它的作用是明确禁止有人去修改WHOIS里的记录信息, 从而防止发起非授权的转移操作。
转移锁, 它的英文名称是 Transfer Lock, 只要任何 ICANN域名转移请求被提交上来了以后, 系统就会自动予以拒绝掉, 在这种情况下, 必须得由人工去把它进行手动解锁这样的操作出来以后, 才可以接着执行下去。
在这两项锁定措施正式生效并且确定好之后了, 虽然说是有可能让那种搞攻击的坏人把登录账号和密码给偷来了, 不过呢也是不可能让他们把域名转走或者是去改登记这个人的信息的。
DNS安全加固
将DNS解析切换至支持DNSSEC（域名系统安全扩展）的解析服务商，并在注册商处提交对应的DS记录（Delegation Signer Record）；
要把所有那些和业务没有直接关系的NS记录、MX记录还有第三方的CNAME, 给全部清理掉, 这样就能把攻击面给缩少。
将核心A记录的TTL值设置为小于等于300秒的范围, 同时把CNAME记录的TTL值也设置成小于等于300秒的范围。通过这种做法, 可以保证当出现紧急状况的时候, DNS服务进行切换操作之后, 可以在五分钟之内让全网范围都完成生效的动作。
启用由解析服务的提供方所给出的对于异常的变更内容进行实时的告警功能, 并且将这个产生的告警消息进行推送, 推送到的地点是独立存在的手机终端。
WHOIS信息与持续监控
你可以通过ICANN注册商这项服务, 去开启那个叫做WHOIS隐私保护的功能, 这样一来你的真实邮箱就能被藏起来, 还有你那联系电话也能不被看见。
建立单独的监控服务用来监测域名的状态, 这个服务不依附于主站的服务器去处理, 通过它来捕捉三种变化情况, 也就是注册商换了, 还有NS记录变了以及到期日调整了, 一旦发出警告, 接收短信通知的手机号码是直接绑定的, 这里完全不涉及使用电子邮箱的方式进行联系。
每到一季度就要人工地去核查那个WHOIS公示信息这件事, 把这个确认的事情做完去说清楚, 注册人、管理联系人这两个角色有没有发生不该有的异常变化, 最后把截取的图片保存起来作为存档用于以后的检查。
应急响应预案
先在注册商那里把“紧急联系人变更”申请这个模板给提交了, 同时把法人身份证明还有企业授权书之类的材料都准备好, 好确保能够在48小时内发起域名追回的程序。
你要去跟注册商的客服人员确认, 关于那个劫持事件到底要花多长的时间才能处理好, 还有需要准备哪些材料。同时, 你还要把客服给出的工单编号, 以及当时对接的人的姓名都存下来。
如果这个域名已经丢了, 你就得赶紧把UDRP仲裁申诉的事情, 交给ICANN那边去处理。同时呢, 你要让那个注册商, 把你的账户操作权限给冻结掉。也就是执行一个紧急锁定的操作。
在完成上述的5个步骤以后, 域名会在注册商这账户里头, 还有转移通道, 以及DNS解析这些东西方面, 包括信息公示与应急响应这五个维度上面, 形成一个比较完整的闭环防御。这里边建议大家每过半年的时间就复做一次全链路的检查动作, 以此来确认所有锁定和监控的状态没有被意外地解除掉。
