域名安全防护检测这个活动, 现在是保障网站核心资产安全的一个关键环节。一次完整的检测必须都要覆盖到DNS配置、注册信息、SSL证书、解析记录以及访问控制这五个维度。任何一项如果不检查到, 都可能会成为一个攻击入口。以下的内容将从检测标准、操作流程、风险应对这三个层面出发, 给出一个完整的指引。
一、五大核心检测维度
1. DNS配置检测
需要确认DNSSEC这个功能是不是已经处于打开的状态, 如果它没有被启用, 那么就会发现域名的解析过程有可能存在被人恶意篡改的风险情况。还要检查授权服务器, 也就是NS记录的数量, 这个数字应该在2台到4台这个范围中间, 一旦配置出现了异常, 就容易遭到DNS劫持攻击的侵袭。
同时要对TTL值进行验证, 看它设置得是否合理恰当, 如果这个数值过短的话, 就会给查询带来很大的压力被放大, 但是如果这个数值设立得太长的话, 又会延误故障修复恢复的速度。
2. 注册信息检测
我们需要去核查一下在世界卫生组织WHOIS信息中所包含的管理邮箱情况, 看看这个邮箱是不是有效的并且是可以被自己控制的专用类型的邮箱, 同时还需要注意避免使用那些已经离职了的人员个人的电子邮箱。
除此之外还要确认该域名是否已经开启了注册商所提供的锁功能也就是所谓的注册商锁, 以及转移锁功能, 因为如果域名没有进行锁定操作的话它就有可能被恶意地进行转移。最后还应该检查一下自动续费相关功能是不是处于开启状态, 以此来防止由于未及时进行续费而导致域名被他人抢注的情况发生。
3. SSL证书检测
先验证那个证书颁发机构到底是不是一个权威的CA, 同时要看清楚这个证书当前的状态是在有效期内还是已经过期了, 再去检查一下被绑定的那些域名, 看看它们有没有把所有的子域都给完整地覆盖上了, 最后还得确认一下HSTS响应头这个东西到底有没有部署上去, 以此来防止那种协议降级攻击的情况发生。
4. 解析记录检测
对全部A记录、AAAA记录、CNAME记录以及MX记录、TXT记录实施审计操作, 以此来排查那些未被使用的僵尸记录。还要核查一下是否存在指向已知恶意IP地址的可疑解析情况, 以此防范域名被挂马的风险。另外也要验证SPF、DKIM、DMARC这类邮件安全记录是否已经配置完整。
5. 对访问控制相关的情况进行检测。
用户需要去确认那个域名管理后台已经把多因素认证给启用了, 还要去检查注册商账户和解析服务商账户是不是同一个主体, 以此降低发生单点泄露的风险, 并且要定期去导出域名的操作日志, 认真核查有没有发生非授权变更。
二、标准检测流程
第一步是进行信息收集, 你需要导出域名当前的全部WHOIS信息, 还有DNS解析记录, 同时要获取SSL证书详情, 最后还要导出后台操作日志。
第二步就是把工作进行逐项地进行比对, 把数据拿出来和五大维度的标准一个一个地对照着看, 然后标记下来所有存在问题的异常项。
进入第三个步骤, 这个阶段叫做风险定级, 需要按照高危、中危、低危这三个级别来进行分类, 在这里我们所说的项是指可以被子直接利用的那些漏洞, 也就是高危项。
第四步, 也就是对整改进行闭环管理, 对于高风险项目要立即加以处理, 对于中风险低危项目则要纳入到七十二小时之内的整改计划里去, 并且要进行复查和验证。
在实际操作里面, 可以拿来用gname.xin提供的那个域名安全检测工具。然后你就批量地去做上面说的这些步骤。你把域名输入进去以后, 系统就会自动地把各个维度当中的状态还有风险评分给输出出来。这样就能够比较明显地把人工去检查所花费的时间给缩短掉。
三、高频风险与应对措施
为了防止域名被他人恶意占取, 你需要去把自动续费这个功能给打开, 然后还要专门设一个在截止时间前的30天来收到提醒通知的机制。针对那些价值非常高的域名, 建议你同时去注册好几个不同后缀的版本, 以此来建立起一套保护体系。
DNS遭到篡改了, 所以你要启用DNSSEC, 让解析服务商去开启操作审计与告警功能, 并且要把修改解析的权限限制到最小必要人员的手里面。
对于证书存在被滥用的情况, 推荐大家将重点放在优先使用有效期限为90天的证书上面, 并且要配合自动续签的功能来开展工作, 以此避免在使用长期有效证书的过程中一旦出现泄露问题以后就无法及时完成吊销操作。
注册商账户会被盗走, 所以要让注册商和解析服务商分别设定不同的密码, 必须要强制开启多重身份验证功能, 还要定期去审查那个登录的IP地址以及使用的设备。
在把一次完整检测做完之后的时候, 建议每隔一个季度的时间段就会去重复执行一回这样的操作，并且当遇到像域名快要到期了、或者更换了服务提供商、还有团队里的人员发生了变动这种关键节点的时候, 要去触发那种临时的检测动作, 这样子的做法是为了能够一直维持住安全防护手段在那一段时间里的持续有效性状态。
