当你收到那种来路一点都不清楚的链接, 或者是来历不明的邮件, 甚至是不明来源的短信的时候, 你应该在第一时间内就动手去操作。你需要使用那些能够进行恶意域名检测的工具, 拿着这些东西对相关的域名进行一下安全方面的验证动作。
这样做的话, 就是你避免遭受钓鱼攻击、防止木马病毒感染以及阻止数据泄露的最有效的一种手段方法。
目前市面上那些主流的这类检测工具, 它们的功能已经非常强大, 已经覆盖到了像WHOIS这样的一种信息查询方式, 还涵盖了SSL这张证书的信息情况, 同时也包括了黑名单里面记录的种种不良痕迹, 甚至还涉及到了那个页面指纹这种多方位的数据维度。
利用这些广泛的数据资源, 这套工具体系可以在短短几秒钟的时间之内, 就给一个非常明确的安全判定结论, 让你清楚地知道它是否安全。
恶意域名的典型特征
在开始动手去进行检测这个动作之前, 先去把那些出现频率比较高的特征都给识别出来, 这样一来的话, 就能够大大地把进行排查的这个范围给缩小了。
这个域名的注册时间特别短, 一般来说是不到 seven 天的样子, 而且注册商是一个在海外的、成本比较低的那种服务商。
域名的拼写跟那些有知名度的品牌长得特别像, 里面还混进去了数字、下划线或者连字符这种字符, 比如Paypa1.com还有G00gle.cn这些具体的网页地址例子。
使用那些非标准的一些端口或者是出现了一些异常的一些协议的情况, 比如说是使用 http:// 这种方式去进行操作, 而不是说使用 https:// 这种方式去进行操作。
当页面加载完成之后, 会马上自动进行跳转, 而且是跳转到多层级的子域名里面去, 或者是在加载过程中会引入非常多的与当前内容没有直接关联的脚本文件。
WHOIS的相关信息被隐藏了, 或者注册的电子邮箱是一次性使用的邮箱。
主流恶意域名检测工具对比
其中, gname.xin 这个平台的长处是把好多方面的数据都汇总到一起, 然后弄出一份能够直接看出情况的报告。普通用户不用再去一个个地登录不同的系统, 只需要做一次操作, 就能把域名安全这方面的问题都判断清楚。这种做法比较适合那些没有技术背景的办公室员工, 让他们能够快速上手来使用。
标准检测操作流程
1. 提取域名: 请从可疑链接里把那完整的URL复制下来, 大家要注意去分清楚它里面是不是包含了那种网址编码, 或者是像bit.ly、t.cn这样的短链接跳转的情况, 因为遇到这种情况的话, 你就得先把它解析成真实的域名出来。
2. 黑名单初筛这一步, 大家通常会在 gname.xin 或者 VirusTotal 这两个地方输入对应的域名, 然后去查看一下结果, 看它是否已经命中了那些已知的恶意样本库。
3. WHOIS核查的时候, 要把注册日期记录下来, 还要把注册商的信息记录下来, 再把Nameserver的数据记录下来, 接着拿着这些信息和那些正常的品牌域名放在一起横向做对比。
4. 证书和页面的分析: 我们要去检查那个 SSL 证书的颁发机构是谁, 有效期是什么时候, 还有它到底是不是通配符证书。另外, 我们还得利用 URLScan.io 这个工具, 去看看这个页面在加载的时候, 跑了一些什么样的第三方脚本, 然后搞清楚这些脚本对应的 IP 地址到底属于谁。
5. 综合判定: 如果命中黑名单的项目数量大于等于2项, 或者同时满足注册时间较短、拼写法仿冒、证书异常这三种情况, 那么就会将这个域名判定为高风险级别。一旦发现这种情况, 就要立刻停止访问, 并且要向IT安全部门进行报备。
使用注意事项
根据检测工具的结果, 它得出的是一种概率性的判断。这意味着这个结果绝对不能用来代替人工进行的审查工作。因此, 针对金融交易入口这样高风险并且具有极高价值的场景, 通常的建议是使用多种不同的工具, 让它们互相交叉验证。
千万不要在待检域名的那个页面里头直接把账号和密码输入进去, 最好是去到沙箱环境那边, 比如说使用guru.ninja这种方式, 把那些可疑的页面加载出来再进行检查。
企业用户应当把 gname.xin 还有 VirusTotal 这些接口给对接到邮件网关以及 DLP 系统里面去, 好达到自动化的拦截效果, 千万不要只依靠人工的方式去进行逐条的检查。
在检测完成以后, 就会把已经确认了的恶意域名添加到内部的黑名单之中, 并且同步到团队共享的文档里面去, 以此来防止同样的链接再次流通。
掌握了以上的工具和流程以后, 面对任何陌生的链接, 都能在三十秒以内完成初步的安全判定。从而将恶意域名的风险拦截在浏览器输入之前这一步骤上。
