这个叫域名安全防护检测的事情, 它的主要目标就是要在实际攻击真正发生之前, 能够把那些注册信息被修改的风险、DNS解析被人劫持的风险, 还有证书出现异常这样的风险给找出来。
下面提到的这5个步骤, 它们一起构成了一个完整的检测循环, 建议大家每个季度都做上一次, 如果遇到重大的变更情况, 比如更换了注册商, 或者修改了DNS设置, 那么就一定要在变更后立刻就去执行。
注册信息完整性核查
你需要去登录那个域名注册商的后台控制台, 然后把注册人的名字或者是机构的名称、还有联系用的邮箱地址、电话号码, 以及所在的详细地址, 一个一个地拿出来进行核对工作。你要确认这些东西是不是都和现在正在办理备案的那个主体的信息保持了一致的局面。
在这个过程中, 你要重点地去排查一下最近的60天之内, 有没有出现过不是由你自己亲手操作的谁is更新记录。一旦发现信息被篡改的情况发生, 就要立即通过域名注册商提供的工单通道这个入口上去发起账户冻结与域名锁定的申请工作以此来防止出现二次篡改的现象。
DNS解析与NS记录核验
请在终端里运行那个命令, 也就是用代码框框起来的那个 dig加短然后跟着空格还有 NS yourdomain.com, 用来看看现在到底是哪个在当权威的DNS服务器, 然后要把结果拿过来, 跟注册商那边后台填上去的NS记录一个一个进行对比。
同时呢, 还要再用另外一个代码框里的命令大城群众说事，dig加短然后是A yourdomain.com, 把这个跑一跑, 好确认一下IP地址是不是真的指向了那个目标服务器。只要发生未经授权的NS变更记录, 这就可能代表DNS解析链路遭到劫持。所以需要马上回滚操作。同时还得排查入侵路径。
SSL/TLS证书有效性检查
用户在访问域名的时候, 需要去查看一下浏览器地址栏上面的那个锁形图标是什么样的状态。接着请点击这个图标, 来确认颁发该证书的机构名称, 还有证书的有效期以及证书所覆盖的域名范围这三项内容, 是否真的和实际的情况相匹配。
另外, 用户还需要使用在线的SSL检测工具, 对服务器的证书链完整性进行验证, 同时也检查一下OCSP响应是什么情况。如果发现证书已经过期了, 或者被替换成了自签名证书, 又或者出现了异常的页面重定向操作, 这些都是中间人攻击正在发生的典型信号表现。
WHOIS与注册局状态确认
通过ICANN认可的WHOIS查询入口域名安全防护检测域名安全防护检测，确认域名Status字段是否包含 clientTransferProhibited、clientHold 等保护标记。
如果状态码出现了异常, 或者是根本没有显示出来, 那就说明域名正处于可能随时被转移, 或者被强行挂起的一个非常脆弱的局面里, 这个时候必须抓紧时间立刻去到那个域名注册商的后台管理系统里去把锁定期重新给开启起来, 并且也要把转移保护功能重新激活一遍。
注册商账户与API密钥审计
我们需要去检查注册商的后台登录日志, 以此来排查是否有异常IP地址出现, 以及是否有人在非常规的登录时段进行访问。如果之前曾经开启过API接口, 那么必须确认密钥没有被泄露出去, 如果有必要的话, 要立即对密钥进行轮换处理。
同时, 要确保账户绑定的手机号码和电子邮箱始终处于有效且可用的状态, 并且强制开启双因素认证, 也就是2FA, 这样做的目的是为了降低因为凭据被批量撞库攻击而被攻破的可能性。
高频疑难与应对
检测到系统发现注册商被篡改了, 但是用户没有办法登录那个后台。所以应该立即拨打注册商官方的客服电话, 去走人工紧急通道进行操作。同时要同步联系对应的顶级域名注册局, 例如.com或者.cn这些, 然后提交一份关于域名的紧急挂起申请, 以此来彻底阻断转移这个动作已经完成的可能。
这个情况是, 证书明明显示是正常的, 但是页面那边仍然会弹出一个“不安全”的提示, 出现这样的问题大几率是因为HSTS响应头里面还残留着以前的内容, 或者是CDN边缘节点那里缓存了旧的证书信息, 这时候需要进行的操作是把CDN的给清理掉完成刷新之后再去重新检查核实一下, 要是还是不行那么在最后没办法的情况下只能让浏览器去强制忽略掉那一条HSTS相关的记录了。
当企业手里握着好几个域名的时候, 就得搞批量管理这一套动作。具体的做法, 可以通过那个注册商的API接口, 把whois状态一次性全都拉取出来。
也可以接入由gname.xin提供的那个域名安全监测服务, 把异常变动的实时告警给设置好, 这样就能把原来人工做的一次季度巡检, 升级成全天候七乘二十四小时的自动监控模式了。这一来, 漏掉检查的风险就降下来很多。
执行与留存建议
将上述5个步骤固化为内部SOP文档, 并且指定明确的责任人, 每一次检测的截图、命令输出、告警记录留存不少于180天, 作为安全审计与事件追溯依据, 对于域名资产超过20个的企业, 建议优先部署自动化监测平台, 把风险发现窗口从90天压缩至分钟级。
