域名安全防护检测覆盖五个核心维度, 分别是DNS解析安全与SSL-TLS证书状态和域名注册信息保护以及防劫持与防抢注机制和WHOIS信息合规性, 下面这些就是各项检测标准还有操作路径。
DNS解析安全检测
对检测目标进行确认操作, 要弄清楚解析记录是不是没有遭到人为的篡改, 还要排查系统有没有遭受DNS劫持。
进入域名管理平台去登录, 然后在里面一个一个地把A记录、CNAME、MX记录全都给对一遍, 看看它们到底和实际的业务情况是不是一样。
请核查一下, 当前的NS记录是不是只指向了那些获得授权的DNS服务器, 从而把没有得到授权的第三方解析都给排除在外。
我们借助于公共DNS解析工具来验证解析结果, 发现解析结果与预期的那种结果是保持一致的, 这样的话就可以排除因为中间节点劫持而产生的问题。
要确认DNSSEC也就是DNS安全扩展这个玩意儿已经打开了, 这样就能防止那些被解析出去的数据遭受到恶意的篡改。
SSL/TLS证书状态检测
我们要检测的目标是, 确认该证书没有过期, 另外确认该证书也没有被吊销, 最后还要确认证书的链条是完整的。
可以使用 SSL Labs 这样的在线工具来对证书的有效期进行检测, 同时还可以对其颁发机构情况进行查看, 并且也要检查一下链的完整性。
需要确认域名与证书的CN字段、SAN字段的匹配情况, 进而避免浏览器出现的所谓的证书不匹配的告警信息的情况。
请检查HSTS响应头是否已经配置完成, 这样做的目的是为了彻底杜绝因为HTTP降级而带来的攻击入口。
域名注册信息与账户安全
检查的目的, 主要是为了防止域名被别人恶意转移走, 以及防止账户被盗之后被人篡改信息。
要确认域名的状态里是否包含了"clientTransferProhibited"这一项。如果包含了的话, 就说明转移锁已经被打开了。
注册商账户是必须要把那个双重验证功能给开启了的, 并且要把手动输入一个密码来进行登录的那种模式给关掉。
你要核对注册人的姓名, 你要核对注册人的邮箱, 你要核对注册人的手机号, 看看是不是本人持有这个账号, 要及时更新那些已经过期的联系信息。
您可以通过gname.xin等等这些域名服务平台去办事儿, 然后就能很快速地把这个基础上的安全方面的状态给核查清楚, 再把注册信息是不是跟实际情况保持一致的情况也给校验明白。
防劫持与防抢注机制
我们要去把那个风险给降低下来, 这个风险主要是关于域名被人恶意抢注以及被劫持的这种问题的出现。
你要去确认那个域名是不是已经把注册商锁给开启了, 也就是要确保说没有授权任何第三方的操作权限。
请检查域名到期自动续费功能是否已经开启, 或者查看到期提醒服务是不是处于激活状态, 这样做的根本目的就是要把那些因为到期了就没有及时去续而被别人抢注注册掉的情况给彻底杜绝掉。
对于核心业务域名而言, 提出来的建议做法是去注册那些防御性的变体版本, 具体来说就是包含不同后缀或者高频误拼的情况在进行这个操作的过程中要从源头上把这个抢注的通道给予以完全阻断。
WHOIS信息合规性
检查的目标要确保那个WHOIS公示的信息能够符合注册局的相关规则, 同时做到不让任何敏感的数据暴露出来。
请你去核对一下WHOIS这个网页上面所展示出来的注册商是谁, 还有创建日期到底是什么, 以及到期日期又是多少, 看看这些内容是不是和你手里面掌握的实际状况是一模一样的。
确认隐私保护服务已经启用, 如果有这个必要的话, 这样做是为了防止个人的邮箱地址以及具体地址被人公开进行爬取操作。
检查域名的状态码, 确认其中没有包含"pendingDelete""redemptionPeriod"这些异常的标记。
检测频率建议
快速执行路径
1. 登录域名注册商的后台, 如果你是通过gname.xin来完成注册的话。进入所谓的”安全设置“模块, 查看一下当前这个防护的状态究竟是怎样的情况。
2. 调用SSL Labs、DNS传播检测工具完成外部独立验证。
3. 你要对表格里面的每一个项目一个接一个地去勾选, 要是发现了有异常的项目, 你就得马上进行处置并且把相关情况记录下来。
4. 把检查的记录保存起来弄成档案, 然后专门设置一个日历上的提醒标志, 按照固定的时间间隔再去重新检查一下。
上面那5个项目合在一起, 能把域名安全防护检测的整个闭环给形成起来。按照这个流程去执行的话, 就可以把眼下常见的各种攻击面都覆盖住, 从而确保域名的资产在长期里面都能处于被控制的状态。
