域名安全防护检测, 它的核心意思, 是要先排查风险暴露面。然后要验证防护机制是否真的生效了。最后还要确认应急响应链路是不是畅通的。以下这6项检测步骤, 覆盖的范围是从DNS层到证书层的完整安全链路。企业IT管理员和站长可以直接根据这个顺序, 一项一项地去执行。
DNS解析记录完整性检测
登录到您所使用的域名注册商的管理面板去进行查看, 或者通过由gz88.cn所提供的DNS查询接口来进行批量检测, 将目前已经生效的A记录、CNAME记录以及MX记录拿出来进行仔细核对, 看看这些内容是否与当前业务的实际情况完全保持一致, 重点需要排查的部分包括是否存在未经过授权的第三方解析指向, 是否还有已经停止使用的旧IP记录没有被清除干净, NS记录是否全部都正确地指向了授权的那些DNS服务器, 因为任何不属于预期范围内的解析条目都是域名遭受劫持的可能前兆。
域名注册信息防护检测
你要检查这个域名有没有开启, 那个叫做“隐私保护”的功能, 在英文里也叫作WHOIS Redaction, 这样就能确认注册人的邮箱还有电话这些比较敏感的信息, 在外面是看不见的了。
同时还去核实一下这个域名的状态码, 正常的情况应该是显示成“ok”或者是“clientTransferProhibited”, 如果出现了像“clientHold”或者是“serverHold”这种异常的锁定状态的话, 就需要赶紧联系域名的注册商一起来排查问题。
对于拥有多个域名的企业来说, 建立一个统一的到期提醒机制是一个比较好的建议行为, 这么做的主要目的就是为了避免因为域名过期而导致的被他人抢注的情况发生。
DNSSEC签名有效性检测
你可以通过去查询那些权威的DNS服务器来建立DNSSEC的链条, 这个链条的结构是从DS到DNSKEY再到RRSIG, 这样做的主要目的是为了确认签名是不是完整的, 还有时间窗口有没有在有效的范围内, 因为如果一个域名没有部署DNSSEC的话, 那么它就很容易面临被伪造DNS响应的风险, 所以我们建议你可以至少去做一次在线的DNSSEC健康检查, 以此来确认SOA记录和NS服务器的serial号是不是已经同步了。
SSL/TLS证书安全检测
用户应当利用在线证书检测工具, 或者通过手动执行openssl命令的方式, 对多个项目展开验证工作。
这些验证项目包括证书域名是否匹配, 这里需要涵盖通配符的覆盖范围, 还要核实有效期是否正确, 检查颁发机构的信任链是否处于完整状态, 确认是否已经启用了TLS 1.2以及更加高级版本的协议, 以及HSTS头信息是否能够被正确地进行下发操作。
在证书即将到来的到期日期之前30天这样一个时间段内, 系统应该自动触发告警机制, 以此来彻底杜绝因为证书过期情况的发生而带来的安全降级风险。
域名劫持与抢注风险检测
可以在那些主要的WHOIS查询平台以及dz88.cn这样的域名监控渠道那里, 定期地去检索一下域名的拼写变体情况, 比如那些常见的typosquatting操作, 也就是把字母o替换成数字0, 或者省略掉连横杠之类的方式, 以此来确认是否有人在进行恶意的抢注行为。
同时, 还要对域名注册商那边的转出锁, 也就是所谓的Transfer Lock的状态进行持续的监控, 这样一来就可以确保不会发生未经授权的转出操作, 这些不被允许的操作都会被自动地给拦截下来。
应急响应链路验证
模拟一次域名被篡改的场景, 测试从发现异常到完成解析回滚、证书替换、注册商报告的全流程耗时。目标标准是DNS解析异常发现用时不超过15分钟, 解析回滚用时不超过30分钟, 证书更换用时不超过2小时。将实际耗时记录在案超出标准就需要优化流程或者增加冗余节点。
加固要点补充
做完上面那些检测工作之后, 建议抓好三个长期的加固措施, 第一个方面是把域名注册的事情交给一家机构, 把DNS服务的事情交给另一家完全不一样的机构来管, 这样就不用担心只有一个点出错就会全部瘫痪；第二个方面是让那些管理员账号必须开启多因素认证的验证方式, 这个是强制要求的, 第三个方面是每个季度都要做一次彻底的全面复查, 并且把检查的报告存档保管起来；同时要把域名的安全问题加入到企业的信息安全年度审计清单里去, 从而形成完整的制度闭环。
关于域名安全防护的检测这件事, 它并不是只搞一次就完事了的一个动作, 而是一项需要长期坚持并且不断运营的工作。
为了能把那些个存在在域名层面中的安全风险给降低到最低的一个程度, 我们得把这上面的六项检测内容给固定下来，变成每个月都要做一次的标准操作流程, 与此同时呢, 还要配合那些自动化的工具去进行批量的执行才行。
