域名安全防护检测, 它的核心目标是什么？说白了, 就是要确认现在的这个域名, 有没有存在那种被劫持、被仿冒、或者证书失效、再加上解析出现异常之类的安全风险。一旦发现了问题, 就要去把加固工作给做完。
要进行一次完整的检测, 就得去覆盖DNS解析、SSL证书、注册信息、WHOIS隐私以及DNSSEC等等这五个维度的事情。接下来, 就是那个标准的操作流程了。
第一步：DNS解析安全检测
登录到域名注册商这边的管理后台去,一项一项地来核对这个域名的A记录、CNAME记录和MX记录域名安全防护检测, 看看这些记录是不是跟业务那边实际部署的情况是保持一致的。
要重点去排查一下, 看看到底存不存在那种没有经过授权的、新增加的解析记录, 比如说出现了指向了不太清楚的IP地址的A记录, 或者新增了的那种CNAME指向。
如果这个域名是用云DNS服务的话, 还需要同步地去把所有子域名的解析规则都检查一遍, 防止那些子域名被没有经过授权的人创建以后, 被拿去干一些钓鱼或者是分发恶意内容的事情。一旦发现存在异常状态的记录, 就应当立刻执行删除操作, 并且需要对用于管理DNS系统的密码进行修改。
第二步：SSL/TLS证书状态检测
你可以使用在线版的SSL证书检测工具, 举个例子比如说SSL Labs这样的, 然后你输入那个完整的域名, 目的是为了确认三项关键的信息, 第一项是看看这个证书有没有处在它自己的有效期里面, 第二项是看看签发这一套东西的机构, 是不是一个大家心里都信任的CA机构, 第三项是看看证书的域名范围, 能不能把所有的、实实在在的在用子域名都给覆盖住, 要知道, 证书要是过期了, 或者是域名对不上号儿了, 这就是让用户的访问直接中断并且弹出安全警告的那两个最普遍的原因, 所以对于这件事的建议就是,把那个证书快到期了的提醒功能给打开域名安全防护检测, 让它能够设置成在过期之前的30天就自动发出信号, 好让自己有充足的时间去完成整个续签还有部署的操作。
第三步：域名注册信息与WHOIS隐私检测
你可以使用专门的WHOIS查询工具, 然后输入你要查找的域名。这样做能查看到很多的字段, 比如注册的时候用的邮箱是什么, 管理联系人是谁, 还有注册商当前的锁定状态怎么样等等。
假如发现系统里记录的注册邮箱已经不是你在使用的地址, 或者是你所在的团队无法控制的邮箱的话, 那么这个域名就有非常大的风险会被别人转移或者被强行锁定。在这样的情况出现之后,你需要马上联系提供域名服务的注册商部门灵音心图, 必须去走那种通过身份来验证的流程, 以便能够把对域名的控制权拿回到自己手中。
除此之外, 你还得去确认一下这个域名的注册状态到底是不是处于“ok”这种正常的状态里面去, 千万要小心那些突然出现的、并不在预期之中的锁定标记的情况发生。你可以在gname.xin的域名管理页面里面, 通过一键操作来完成注册信息的核验工作。
你也可以在这个地方检查邮箱绑定的状态, 并且查看域名的锁定状态是什么情况。具体的操作路径是这样的, 你先登录到你的后台系统里面去。接着你点击进入域名列表, 然后在列表里面找到你想要操作的那个目标域名。最后, 你点击安全检测就可以了。
第四步：DNSSEC签名状态检测
你需要去确认一下这个域名到底有没有把那个叫作DNSSEC的东西也就是域名系统安全扩展给启用起来, 要知道对于那些没有被签名的域名来说, 它们一旦碰上了中间人进行的某种针对DNS的劫持攻击, 那些搞破坏的人就可以乱改解析出来的结果, 而使用这些服务的终端用户却完全没法发觉出任何问题, 所以你在把相关权限管理后台里的DNSSEC功能开关打开的同时, 还必须非常仔细地把DS记录给配置得妥妥当当, 最后一定要拿着那种专门用来校验DNSSEC的工具去做一些验证工作, 你要做的就是从最上层的那个根域开始一层接一层的往下走, 直到彻底把这个签名链条的完整性质检查了一遍才算完。
万一那个签名链出现了断裂的情况, 那就需要把KSK这个密钥和ZSK这个密钥重新生成出来, 并且还要再次去提交DS记录。
第五步：仿冒与关联风险检测
在主流搜索引擎里面, 分别去搜索"域名名+仿冒"、"域名名+钓鱼"、"域名名+举报"这些关键词的组合, 排查一下, 是不是存在着那些用来仿冒的网站, 或者是那些钓鱼的页面, 再或者是用户投送的投诉记录, 同步检查一下这个被检查的域名, 是否是已经被众多的大型的反钓鱼平台给做标记了, 若是发现确实存在还在正常运营状态的仿冒站点, 那需要立刻就通过注册商或者是ICANN投诉通道提交相关的证据内容, 并且要求对方关闭对应的IP节点。
巡检频率与记录要求
企业级用户需要把上面提到的那五个项目, 加入到他们每个季度的安全快速检查流程里去, 每一次进行检查之后都要搞出一份书面的记录出来, 这种记录还要保留超过12个月的时间长度, 以此来作为进行安全审计时的依据。个人用户的执行情况是, 至少要到每半年这个时候才能执行一遍完整的检测事情。
在进行检测的过程当中, 如果发现了有任何异常的项数存在, 就必须得在第一时间去修改域名管理的密码内容, 同时要开启那个叫做两步验证的功能步骤, 之后还得按照一定的步骤一个接一个地去进行修复动作, 这样做的目的是为了要防止在进行账号安全还没有完全恢复之前的阶段里, 就去随便进行配置方面的变更操作。
按照上述的五个步骤的顺序来进行执行, 如此操作就可以完整而且闭环地完成了对于域名安全防护方面的检测任务, 不需要去寻找其他种类的工具或者相关的文档资料。
