域名黑名单检测, 是保障网站访问安全、维持搜索引擎收录水平, 以及履行网络安全合规义务的一个核心底层的操作动作。
当服务器IP地址或者注册域名被国际反垃圾邮件组织、安全厂商或者主流搜索引擎给标记上了之后, 会直接触发终端的设备拦截、导致流量变成零, 还会造成业务的中断。为了能够高效地完成风险的排查工作, 请严格遵循下面给出的标准化的操作流程路径和处置规范。
一、通过那些具有权威的检测渠道,并且依据相应的判定标准来进行。
用户需要查询域名是否在黑名单里域名黑名单检测, 这种情况下得依靠不同来源的数据进行交叉比对才行。
因为仅仅使用单一的数据源是有可能出现错误报告的, 所以官方建议大家采用一种叫做三维校验的方法来做验证工作, 这个方法包含了三个方面, 第一个方面是使用本地的DNS解析, 第二个方面是利用第三方的安全接口, 第三个方面则是抓取搜索引擎的结果。
1. 这是一份国际上的权威名录, 大家可以通过访问MultiRBL.valli.org这这个网站来查询相关的事项。主要的目的, 是看清楚域名的PTR记录是否已经被列入了各种反垃圾邮件数据库里面。这些数据库包括了像spamhaus还有spamcop这样的机构所建立的名单。
2. 把国内安全厂商库给用上, 去调一下国家互联网应急中心（CNCERT）威胁情报平台的接口,好核实域名关联的恶意代码特征到底存不存在。
3. 关于搜索引擎的收录状态域名黑名单检测, 大家要搞清楚在百度、搜狗上使用site指令来检索这个事儿, 要是返回了“未找到相关结果”或者提示“涉嫌违规”, 那么就说明确实存在收录限制的风险。
在日常的监测工作当中, 专家是建议把自动化扫描这个服务接入进来的, 比方说能够经由叫做gname.xin的那个平台去执行对批量域名的健康度进行巡检的这个动作, 这样做的话是可以实时的就把安全评分报告给输出出来的, 这样一来就可以替代掉人工去逐条核对的那个工作内容了。
二、把标准化检测操作流程给进行清楚并且明白。
在进行执行的检测工作的时候, 需要遵循最小的权限要求以及数据脱敏这样的原则, 然后按照相应的步骤来逐步推进这项工作。
第一步是资产梳理, 这一流程需要你导出当前所有正在生效的主域名, 同时也要把子域名列出来, 并且要包括备用解析IP, 最后把这些信息汇总起来, 以建好台账。
第二步, 接口请求这一步要进行。具体的做法是向目标检测API发送HTTP GET请求。发送的请求里面包含域名主体与协议头作为参数。通过这个操作获取JSON格式返回码。
第三步: 结果比对。将返回的状态码和白名单规则库进行哈希匹配的处理。如果状态码是0或者是200, 那么就代表是正常的。如果状态码是403, 或者状态码是429, 又或者包含有恶意的字段, 那么就要判定为高风险的。
执行第四步骤, 对日志进行归档处理。把用于表示检测结果发生时刻的时间戳记录到审计日志中去, 并且要把这些记录保留下来, 保证时间长度不低于一百八十天, 这样是为了能够在未来遇到合规性检查的时候, 能够随时提供相关的资料供查验之用。
三、常见拦截成因与解封规范
域名的名称会被加入到黑名单那里, 通常是因为存在技术上的缺陷, 这种缺陷主要有三类情况。第一类情况是服务器被僵尸网络给感染住了, 然后从里面向外发出DDoS攻击, 或者是传播勒索软件这一类的行为。
第二类情况是网站里的内容违反了相关的法律和法规, 涉及非法的交易或者没有经过备案的跨境服务。第三类情况则是反向DNS解析的配置出现了错误, 具体来说就是PTR记录指向了无效的主机名。
解封这个事儿, 必须老老实实地按照那个监管流程去一步一步地执行。首先第一步, 要把所有的恶意脚本清除掉, 同时也要把那些后门文件给清除干净, 并且必须要修补掉代码里面存在的注入漏洞。
其次第二步, 要向原来下发的那个机构提交一个申诉工单, 同时附上关于漏洞已经修复的证据证明, 还有安全渗透的报告内容。最后第三步是申请重新爬取索引。千万不要去使用跳板机去伪造IP地址来试图进行绕过操作, 因为一旦出现这种行为的话, 就会直接触发二次封禁的结果。。
四、要把常态化防护这一件事给做扎实, 把合规建议这件事也给理清楚。
为了彻底阻断黑名单再次复发的情况, 必须建立起一个具有纵深层次的防御体系。首先是要部署Web应用防火墙以此来过滤那些异常的请求, 同时开启智能回源策略用以隔离真实的源站。
其次需要定期更新SSL及TLS证书, 并强制实行加密传输。运营团队应当每个月都执行一次基线核查工作, 以确保备案信息和实际主体保持一致, 并且关闭那些不必要的远程登录端口以及弱口令账号。
这个方案已经涉及了从识别危险情况直到恢复上线运行的每一个关键步骤, 只要按照规定去执行这些标准, 就可以让用于访问网络的域名资源一直满足安全管理的各项条件, 进而防止因为服务中断而导致的经济亏损。
