域名黑名单这个事, 站长, 企业里面管IT的这些人, 还有手里有域名的人, 都必须要定期去做的一个安全检查。
一旦网站所使用的域名被那些专门管安全的机构, 或者是搜索引擎给加到了黑名单上面去, 然后浏览器就会直接把用户的访问拦住不让去, 同时搜索引擎也会把这个网站的权重大幅度地往下调, 甚至连整个索引里面都不再包含这个网站的数据了, 这样的话就可能导致业务立刻中断, 可能仅仅几个小时之内事情就办不成了。
针对这种情况, 这里头会给大家提供一整套的检测流程, 也会把不同类型的黑名单分清楚, 并且给出怎么把这些记录从黑名单里彻底去掉的具体操作方法和指点说明。
域名黑名单检测操作流程
第一步：访问主流黑名单查询平台。包括Google Safe Browsing透明度报告（transparencyreport.google.com/safety-check）、Bing安全浏览中心，以及Kaspersky、Avast、Sucuri等安全厂商提供的公开查询接口。
你要把完整的域名, 也就是包含了www子域的那个域名, 一个一个地进行检索。
第二步是使用聚合检测工具, 通过gname.xin提供的域名安全聚合检测功能, 可以一次性调用多家黑名单数据源, 最后返回当前域名的风险状态、命中时间以及关联威胁类型, 这里的关联威胁类型包括钓鱼、恶意软件、垃圾邮件等等, 这样做的好处是不需要用户去逐个平台进行手动查询。
进行第三步, 对搜索引擎的收录状态予以检查操作, 也就是在谷歌那个搜索的框子里面去输入类似“冒号冒号你的这个域名”这样的内容, 并且观察是不是出现了所谓的不安全的警告标志或者页面缺失的情况发生, 同时还应该登录百度站长平台以及必应网络主人工具这几个地方去查看后台是否存在安全告警或者域名被手动移除的记录信息。
第四步, 先查看本地的网络日志, 如果遇到域名在企业内网中因为被防火墙给拦住了, 或者被终端的安全软件给拦截住了, 就需要去调取防火墙的记录和DNS解析方面的记录, 以此来确认导致这样的拦截规则的从哪儿来, 还有对应的黑名单策略是怎么设置的。
常见黑名单类型与影响
这个搜索引擎的安全黑名单包含了Google Safe Browsing和Bing恶意软件列表这些项目。一旦命中相关规则, 用户的浏览器就会直接在界面上弹出“危险网站”这样的警告信息, 在这种情况下页面的访问功能是无法正常使用的。
一旦你的域名被邮件服务商加入到黑名单里面去之后, 那么Spamhaus里面的ZB、ZEN或者是SBL还有那些所谓的XBL以及SpamCop这些名单, 只要命中了的话, 该域名随后所发出的所有邮件都会被直接标记为垃圾邮件, 这样一来就会导致企业给员工发的通知还有发给用户的那些验证邮件全部都无法正常使用并失效。
行业威胁情报的清单内容, 包含了比如说Verizon Business Threat Intelligence或者是MISP共享IOC列表。一旦这些情况被匹配到, 就会对企业级别的安全策略还有合规审计产生相关的影响。
ICANN或者每个国家的域名注册机构, 如果发现有违规行为比如大量停放钓鱼网页还有滥用DNS功能这些情况, 都会把相关的域名放进去一个限制或是冻结名单里面。
解除操作与申诉流程
1. 为了能够确认是否命中了根因, 必须在发起申诉之前先把情况排查清楚, 看看域名到底有没有确实存在的恶意行为, 这种情况包括了被黑客植入了钓鱼页面这一类事情, 或者还有CDN节点被攻陷了的状况, 甚至是第三方脚本引入了恶意代码这样的可能。
2. 要把那些威胁全部都清除干净。删除所有含有恶意的文件和代码。重置DNS相关的解析记录。更换已经被入侵的服务器或者CDN节点。把所有的API密钥以及访问凭证全部都更换一遍。
3. 将申诉的相关材料, 通过对应的这个平台渠道, 去正式地提交上去。
Google Safe Browsing: 在透明度报告页面提交复查申请, 通常24至72小时内完成复核。
Spamhaus ZB（Zen）列表的更新不需要大家去手动申请, 在清除威胁之后的24小时之内会进行自动刷新从而使恢复。
可以通过登录Spamhaus的官方网站来提交邮件相关的申请, 同时在申请里详细说明已经修复了相关情况, 整个审核过程大概需要用到1到7个工作日的时间。
4. 多源验证恢复, 在申诉获得通过之后, 需要利用gname.xin聚合检测手段或者是其他的多种来源的工具对各个数据源的状态进行回溯检查, 以确保每一个相关数据通道的运行状态都已经重新回到正常水平, 在此基础之上再进行外线业务的开放。
预防与常态化机制
把对域名黑名单检测这件事情, 加入到季度运维SOP里面去, 要确保每个季度的至少一次执行全量检测。
把WAF部署好并且接入实时威胁情报, 遇到异常的请求就自动进行阻断。
进行域名解析的时候, 只使用那些值得信任的DNS服务商, 以此来防止因为发生DNS劫持而导致出现错误的判断。
邮箱服务方面, 会强制启用SPF、DKIM、DMARC这三项协议。这么做的好处是, 能大幅度降低邮件类黑名单盯上的概率。
