这个域名安全防护检测行为, 它的核心目的是什么? 其实就是去确认一下这个域名, 在注册信息、DNS解析、传输加密, 还有访问控制这四个维度上边, 是不是存在那种可以被利用的安全风险。
只要任何一个环节没守住防线, 那这个域名就处于高风险暴露的状态了。这样的情况会非常容易遭受解析劫持、仿冒钓鱼和恶意注入。下面我们要从检测项目、判定标准、整改路径这三个层面来给出一个完整的操作指引。
一、必查检测项目
1. 注册信息与安全锁定
我们要去核查那个联系人的邮箱是不是能通, 是不是真的能找到人；同时得确认转移锁定还有管理锁定这两个功能都已经打开了开关；最后还要验证一下现在管这个域名的公司手里有没有ICANN给的认证资格。因为如果那些锁没有打开的话, 坏人就可能把域名转走或者乱改内容。
2. DNS解析这个事儿, 还有相关的DNSSEC技术。
需要检查DNSSEC DS记录是不是已经下发给上层注册局了, 并且通过校验。然后要一条一条去比对A记录和AAAA记录, 确认它们是否指向可信的IP地址。MX记录必须指向合法的邮件服务商, 这是为了防止有第三方伪造发信域名, 用来实施钓鱼攻击。
3. HTTPS与传输加密
验证证书是否在当前有效的时间范围内, 确认通用名称和备选名称与实际使用的域名是否存在匹配的情况, 同时确认服务器端只允许使用传输层安全协议1.2以及该协议的更新版本进行连接,接着检查超文本传输安全响应头这一字段内的内容域名安全防护检测, 确保该安全策略已经正确配置, 并且最大年龄过期时间的数值设置属于合理范围。
4. 对访问进行控制, 同时避免内容被暴露出来。
对默认管理目录是否允许外部访问的情况进行检查, 具体包括检查路径是带斜杠的/wp-admin、带点/.env以及无空格/phpmyadmin这些地方；确认当前的站点是不是已经安排了Web应用防火墙的部署操作, 或者是接入了内容分发网络防护层进行保护；把所有已经解析成功的子域名都逐一列举出来, 并且要排查一下, 看是否存在那些没有得到授权的调试接口或者是被暴露出来的测试环境。
二、判定标准
评定为合格, 这意味着在全部四个维度里面, 那些属于子项的内容全都已经通过了审核, 整个过程中没有出现任何具有较高风险性质的暴露点情况。
这种情况属于低风险级别, 具体表现是只有一个维度存在单项不通过的问题, 比如说HSTS未配置的情况, 要求在72小时之内完成修复就可以了。
如果出现以下情况, 那么被定级为高风险等级: 存在两个或更多的维度里面有不通过的情况, 或者注册锁定了, 或者是缺少了DNSSEC技术的支持, 对于这些风险, 必须在四十八小时之内把整改的事情做完,并且还要进行复测的工作。
三、常见整改操作
注册锁定这个功能并没有被开启大城新闻网, 你需要登录到用来管理后台的地方, 同时去把那个叫 Transfer Lock 的东西和那个叫 Admin Lock 的东西都打开, 还要把联系人更新为一个有效的、可以用来管理的电子邮件地址。
DNSSEC目前的状态是还没有启用, 你可以在注册商的后台控制台那里去生成KSK还有ZSK这两个密钥对,然后把你得到的对应的DS记录提交给那一个上级的注册局域名安全防护检测, 之后需要耐心等待二十四到四十八个小时, 让全球传播完毕并且生效。
证书有过期现象, 或者发生了协议降级, 要通过gname.xin的在线检测工具查询证书的剩余有效期。在到期前30天完成续期部署；服务器端强制禁用TLS 1.0, 还要禁用TLS 1.1, 仅保留版本为1.2及以上的版本。
敏感路径暴露的问题在于, 如果在Nginx或者Apache的配置中对于上述路径进行统一处理并返回403状态码, 那么在进入生产环境之后就会移除一切调试端点和默认的测试页面。
四、检测周期与合规留档
在新域名进行上线操作之前, 我们必须要完成全部四项检测工作, 并且要出具相应的检测报告。
在正常运行期间, HTTPS与访问控制会被每月检测一次, 注册信息与DNSSEC会被每季度复核一次。
发生重大变更之后, 这些变更包括更换注册商、修改NS记录以及更新证书等事项, 系统会在24小时之内触发全项复测这个流程。
检测报告还有整改记录这两样东西, 必须保存起来, 而且时间不能少于6个月, 这样的话, 在安全合规审计的时候, 就有备查的依据了。
