域名安全防护检测这个事情, 它的本质含义就是对域名的相关环节进行全方位的安全性检查, 这些相关环节包括了域名注册、域名解析、证书管理以及访问链路等等方面的全部过程, 它的主要目的就是为了在风险尚未真正发生之前就把一些问题给找出来, 这些问题具体是指DNS劫持或者恶意解析或者是证书异常或者是注册信息泄露等等状况, 所以一次完整的检测工作是需要对五个核心的维度进行覆盖的, 只要按照正确的顺序来执行上述流程就可以了。
DNS解析记录检测
登录域名注册商管理后台, 逐项核对A记录, CNAME, MX, TXT等解析值是否与业务实际配置一致, 重点关注三类异常情况, 其中一类是A记录IP指向非己方服务器, 另一类是CNAME被篡改至未知第三方域名, 还有一类是NS记录被替换为攻击者控制的DNS服务器, 同时检查是否存在异常的TXT记录被植入。
一旦你确定解析值是被没有在授权范围内的人给改动了, 那么你就应该在最短的时间里去联系注册商, 向他们提交工单来冻结域名, 同时还要同步地去做后台登录密码的重置工作。
SSL/TLS证书检测
通过 openssl s_client -connect 域名:443 这样的命令, 或是借助于某些在线证书查询工具, 咱们可以对证书的有效期、究竟是哪个机构颁发的, 以及该证书是否已经被吊销了这类情况, 进行一番认真的核实工作。
一旦证书过期, 或者是遭遇了中间人攻击导致证书被替换, 这绝对属于域名安全性领域里经常出现的问题和隐患, 而这一现象在那些使用了自签名证书的网站上表现得尤为突出, 所以我们需要对证书链的完整度进行更加额外的严格验证, 以确认没有那些来历不明、异常的自签节点混杂其中而造成任何问题。
DNSSEC验证
请先去注册商管理的后台界面, 或者是那些查WHOIS信息的网站页面里, 确认一下DNSSEC当前的状态究竟是怎样的。要是屏幕上显示出了被双引号括起来的单词"Signed", 那就说明签名是好使的且有效的。
可如果显示的是被双引号括起来的单词"Unsigned", 这就代表着这个域名还没有真正激活并启用DNSSEC这项功能, 因此解析出来的结果很有可能会被别人进行篡改的风险是存在着的。
所以咱们强烈建议你要到那个注册商的系统后台里面去把DNSSEC给打开, 并且要对DS记录这个内容做出正确无误的配置设置, 以此来把安全防护的等级提升到一个可以进行校验的层级上去。
WHOIS注册信息检测
核对注册人的邮箱地址和联系电话, 看是不是属于本人或者属于本企业的, 排查是否存有未经授权就进行代理续费的人, 或者陌生的联系方式, 域名因为信息泄露而被攻击者利用社会工程学的办法发起转移的话, 会造成业务中断。
子域名与泛解析排查
如果发现域名下面配置了类似*.gz88.cn这样的通配符解析情况, 那么就需要把一个又一个子域名单独拿出来检查, 看看每个子域名是不是都解析到了大家期望的那个IP地址上去, 以此把那些被坏人恶意利用或者指向了不知道是哪里的地址的情况给排除掉,毕竟泛解析的范围要是太大的话域名安全防护检测, 会让攻击面变得非常大, 显著增加安全风险, 所以建议大家要根据实际业务需要去把解析范围收紧一些, 对于那些暂时不用的或闲置的子域名, 要及时把它们下线处理。
检测频率建议
在一般的时候, 我们建议每个月都去执行一次完整的检测工作。
然后, 当域名快到期的时候, 还差30天的那些时间阶段里,或者SSL证书快要到期了域名安全防护检测, 还有15天的剩余时间的时候, 又或者当你更换了DNS服务商的这个操作之后的时候, 以及进行了系统升级这个动作之后的这些情况中, 那就必须得马上去执行专项检测这个任务了,这一点是绝对不可以被跳过的龙南市就业服务平台, 没有任何回旋的余地。
发现异常后的处置流程
在发现解析出现异常以后, 需要按照下面的这个顺序去进行处理, 第一点是截图把当前的解析记录保存下来作为证据, 第二点是联系注册商来申请暂时锁定域名, 第三点是重置注册商后台以及关联邮箱的密码, 第四点是排查服务器是否存在入侵的痕迹, 第五点是恢复正确的解析之后持续监控七十二个小时, 确认没有其他二次篡改的情况发生。
只要把上面那五行步骤全部做完, 就可以对目前所在的那个域名的安全状态作出一个完整的判断了, 对于那些手里边拿着好几个域名的团队来说的话, 就建议去借用一下那些个能够自动进行巡检用的工具, 然后隔上一段时间再去弄出一个关于安全的报告出来, 这样就能够在萌芽的这样一个阶段里面去把那个异常的风险情况给控制住了。
