所谓的域名黑名单检测这件事情, 其实就是把我们指定的那些域名给提交到搜索引擎、邮件安全机构、还有CDN服务商那边的公开黑名单数据库里头去, 然后查询一下看这个域名到底是不是已经被标记成了恶意的东西或者是垃圾的信息或者是高风险的状态了, 一旦是命中了这个情况的话, 那么我们的网站就很可能被搜索引擎搞得降权或者直接屏蔽掉, 发往那些主流邮箱的邮件也会被直接拦截下来, 页面可能没办法通过那个CDN来正常加载了, 这样一来业务的连续性就会受到非常直接的冲击。
必须执行检测的五种场景
在遇到以下几种具体的情况的时候, 需要立刻马上就开始执行关于域名黑名单的这样一个检测和排查的动作。
1. 网站的自然流量在短短的数小时之内, 发生了高达百分之五十以上的骤降, 与此同时, 近期并未出现任何与搜索引擎优化策略相关的变更。
2. 客户现在都集中在那里反馈网页这边打不开了, 还有邮件那边也收不到。
3. 当一个新注册的域名或者是通过收购获得的新域名, 在进行正式启用操作之前的那个时间阶段。
4. 在域名解析, 或者服务器IP地址, 又或者主机商发生迁移操作之后的48个小时之内。
5. 进行常规运营巡检这个事儿, 建议大家把频率保持在不低于每周一次的程度上面。
主流检测渠道与工具
当你在使用gname.xin的时候, 会把你要查的域名填写进查询框里, 然后提交上去, 这个时候系统会自动并行调用Google Safe Browsing、Spamhaus、Cloudflare等主流黑名单接口, 最后返回关于是否命中黑名单、命中来源在哪里、具体条目编号是什么、以及建议处理方式这四项结果, 这样就完全不需要你再逐个平台去手动操作了。
被拉黑后标准处理流程
1. 定位来源: 是根据检测报告, 来确认具体是由哪家机构标记的, 并且不同的来源, 是对应着不同的申诉通道的。
2. 把排查根因这一步要做完, 就是去全量地扫描一下服务器的文件还有访问日志, 确认那些地方是不是已经被植入了一些后门脚本存在了, 页面被改动过了没有, 看看有没有被改写成用来钓鱼的内容或者变成挖矿的载体了, 还有指定的IP段有没有遭到污染的情况发生呢, 或者是和其他那种黑产站点有没有共享的关系。
3. 清理与加固这一步, 需要删除掉那些有问题的文件, 同时修复对应的安全漏洞。在条件允许的时候, 更换IP地址段, 重新设置SSL证书, 还要对SSH入口进行加强保护。
4. 提交申诉：
Google：Search Console → 安全性事件 → 请求重新扫描；
Spamhaus这个平台的建议是, 大家可以去访问一下spamhaus.org这一个域名后面的斜杠query部分所在的地址, 然后按照那个页面上给出的指引说明, 来提交一下remove这样子的请求。
把其他邮件列入黑名单的做法是, 你去使用那些服务提供方给准备好的用于申诉的表单, 或者去使用它们提供的用来处理事情的工单渠道, 然后把相关的请求提交上去。
5. 复核验证: 在你提交了申诉以后, 需要耐心等待24到72个小时的时间, 接着再次执行检测结果确认的操作, 以此来确认相关条目已经成功移除；如果经过操作后仍然没有看到移除的效果, 那就联系对应的机构来申请进行人工的复核工作。
长期预防要点
在新域名启用之前, 必须要把这个活儿给全部检一遍, 不然的话, 很有可能会把以前那些不好的老毛病全都继承过来, 就像是在遗传基因里头留下了黑名单的那些坏东西似的。
在邮件业务这个方面使用的是独立子域, 并且还要定期地来对SPF、DKIM还有DMARC这些记录的效不有效进行检查和校验。
部署了WAF以及文件完整性监控机制, 从而防止子域名被第三方利用来注入恶意内容。
建立每月的检测标准操作程序, 并且对检测结果进行储存归档, 最终形成具备可追溯功能的安全记录台账。
