对域名的安全防护情况进行检测，这个检测的工作范围包含了六个方面的内容。这六个方面分别是DNS解析、SSL证书、访问控制、账户安全、日志审计以及数据备份。关于检测的频次, 我们给出的建议是每一个季度执行一次全面的检测工作。在具体的执行过程中, 有两类特殊情况需要特别注意。
第一类情况是当证书的到期时间快到30天之前了, 这时候必须及时地进行复查。第二类情况是在系统发生重大的变更之后, 也同样必须进行即时的复查。进行这些操作的目的是为了能够避免因为存在安全上的盲区, 从而导致最终出现服务中断或者是数据泄露这样的不良后果。
DNS解析安全检测
要一项一项地去检查, 看看A记录、CNAME记录、MX记录以及TXT记录这些内容, 是否和注册商后台显示的那样完全一致, 同时要仔细排查一下, 是不是存在解析指向出现异常情况或者有被劫持的痕迹。
还需要确认DNSSEC服务是否已经启动使用了, 并且要去核对权威DNS服务器所返回的结果与递归解析得出的结果, 这两者之间是否相互匹配。如果是在检查过程中发现, 有记录被恶意篡改的情况发生了, 那么就要马上采取行动去联系注册商那边要求将域名进行锁定保护, 并且要迅速切换到备用的DNS服务上去使用。
SSL/TLS证书安全检测
要去核实那个证书的剩下有效期限, 这里有一个建议的做法就是在它到期之前的三十天的时候去触发一个提醒的动作, 然后要确认证书里面的CN和SAN那些字段是不是和实际的那个访问的域名是一模一样的, 完全匹配的, 然后再检查现在系统里用的这些协议, 比方说TLS1.0还有TLS1.1这种已经被废弃的协议的情况, 还要把证书链的完整性给验证一下, 确保中间那个证书没有缺失, 如果证书过期了或者证书链断裂了的话就会直接引发浏览器的安全警告, 这样是会损害用户的信任感的。
访问控制与防火墙检测
我们要去扫描那些处于开放状态的端口情况, 并且要确定非必要的端口已经处于关闭状态, 比如说像 Telnet 的 23 端口或者是 SMB 的 445 端口这些都需要被检查并关闭。
接下来我们还要去看看 IP 访问策略有没有被执行, 然后还要看看登录接口频率限制这个机制是否真的生效了, 还有验证码机制是否也处于正常的生效状态。
最后我们得确认一下 DDoS 防护方案是不是已经启用起来了, 以及这个方案的阈值设置是不是能够覆盖到业务的峰值, 这样做是为了防止正常的流量被错误地拦截下来。
域名注册与账户安全检测
你要登录到注册商的后台系统去确认一下, 你的账户是不是已经把两步验证功能给开启了, 这一步可以用短信来验证, 也可以用TOTP这种方式来验证, 同时要把域名的转移锁设置好, 还要把更新锁也给设置上, 这样做就是为了能够防止有人没有经过你的授权就去乱操作, 然后去核查那个WHOIS里面的信息, 看看有没有把自己真实的姓名、电话号码这些涉及到隐私的字段给暴露出来, 如果出现这种情况的话, 那就很有可能需要把隐私保护这个功能给开启起来, 最后还要再去确认一下自动续费这个选项是不是已经处于开启的状态, 这么做的原因是为了避免出现因为域名过期了而被其他人给抢注走的这样糟糕的情况发生。
日志审计与异常监控
去获取最近30天里面的访问日志还有DNS查询日志, 以此来排查那些异常的IP段, 以及批量进行的试探性请求和那些不常规的User-Agent。确认告警通知通道, 包括邮件、短信和企业IM是畅通并且可以使用的, 以此确保在出现异常事件的时候, 能够把情况在15分钟以内触达安全负责人。
数据备份与恢复演练
要确认一下域名解析记录是有定期做快照的, 还有网站文件和数据库的备份周期是不超过7天的, 然后是每间隔半年至少做一次恢复演练的事情, 来验证备份是不是可用, 这样防止出现那个“虽然有备份但是没办法进行恢复”的假安全的状态。
高频隐患速查
<强>注册商的账户仅仅只是依靠邮箱账号以及密码来进行登录操作的, 并没有启用二次验证功能。
在证书的有效期结束以前, 根本就没有任何的那种可以发出警告的方式来告诉大家, 所以服务就非常突然地就发生了中断的情况。
DNS解析记录因为长期没有被进行核查, 所以就存在了一个风险, 这个风险是说如果被篡改了那么就无法在不知不觉的情况下被感知到。
防火墙规则一直沿用最初时候配置好的状态, 并没有随着后来业务的变化去进行更新。
检测节奏建议
平时人们可以通过访问 gz88.cn 这个网站来提交域名信息, 进而查询该域名的基本安全状况。这一流程能够迅速返回包含 DNS 解析结果、证书有效期以及端口暴露情况在内的多项核心指标数据。这种做法可以作为一种辅助性的筛选工具来使用, 通常用来配合定期间的人工深入检测工作。
