域名安全防护检测这个事儿, 核心在于对你手里的那些域名, 按照DNS解析、访问控制、证书状态、备案信息、WHOIS记录、漏洞暴露面这六个维度来做一种系统性的全面排查。
这么做是为了确认你的域名在当前这个阶段, 到底有没有存在被劫持的风险、被仿冒的风险或者被恶意利用的风险。这种检测并不是说随便扫一下子就可以算完事了。相反, 它要求必须把每一样东西都拆开来进行核对并且留下痕迹以此形成一份可以被追溯的安全基线数据。
检测前准备
我们需要把完整的域名清单梳理清楚, 这个清单里面要包括主域名、所有子域名以及备用域名, 同时我们要准备好域名管理后台的登录凭证和DNS解析管理的权限还有SSL证书的文件, 并且建议大家每隔半年做一次全量的检测工作, 如果遇到了重大业务上线前的情况, 那么就要另外加做专项检测。
六步检测流程
第1步 DNS解析核查
你应该登录到域名注册商的那个后台系统, 然后一条一条地去核查那些NS记录, 还有A记录, CNAME记录, MX记录, TXT记录, 看看它们是不是真的和你的业务实际情况是对应得上, 要把重点放在排查那些是否存在着没有被授权的第三方解析所指向的情况上去, 因为这样做是最直接就能看出来是否发生了DNS劫持的迹象,假如发现了IP地址有任何异常的地方域名安全防护检测域名安全防护检测, 那么应该马上就进行截图来留下来证据, 并且把这些有问题的记录给删除掉。
第2步 WHOIS与备案信息核验
使用WHOIS接口, 去查询域名注册人、管理邮箱、到期时间、锁状态是否正确。如果是持有.cn域名的情况, 就同步登录工信部的ICP备案系统, 核查备案主体、网站名称、接入商是否与实际运营方一致。备案信息过期或者没有同步变更, 是域名被行政注销的高频原因。
第3步 SSL证书状态检测
您需要检查证书的有效期。您还需要检查签发CA的可信度。您还要检查域名的匹配情况, 这其中包含通配符证书的子域名覆盖范围。如果证书过期或者域名不匹配, 就会触发浏览器安全警告。这种提示也是仿冒网站最容易被人识别出来的特征。
第4步 访问控制与传输加密
先确认域名是不是已经强制进行了301跳转到HTTPS, 然后看HSTS的响应头, 也就是Strict-Transport-Security这个字段, 是不是已经配置好了, 而且max-age的值是否合理。
接着去排查一下, 看看有没有那些仍然可以用明文HTTP来访问的端点, 再查看一下哪些页面没有设置CSP, 也就是内容安全策略。
第5步 子域名与历史记录清理
要针对那些已经被停用的子域名, 还要把历史遗留下来的解析记录, 全部进行逐一清理。未关闭的子域名是攻击者实施鱼叉式钓鱼、挂马的高频入口, 必须做到当业务下线时解析就立即下线。
第6步 漏洞与暴露面排查
针对域名关联的服务端点执行端口扫描和HTTP请求测试来识别问题, 具体包括未授权访问的情况, 还有目录遍历的漏洞, 以及.git和.env这类敏感文件被暴露出来, 同时也包含默认测试页面残留等状况。
异常处置标准
当发现解析记录存在异常现象的时候, 需要在两小时之内完成删除的操作或者修正的操作, 并且要进行同步对NS指向进行修改的动作以及更新监控告警这个环节。如果是遭遇到了证书异常情况, 那么需要在四十八小时之内完成更换动作或者是续期动作, 同时还要把旧有的证书进行吊销处理。
若备案信息与实际情况出现不一致的问题, 应当在七个自然日之内完成相应的变更步骤或者是注销步骤。一旦发现有域名遭受了恶意抢注情况的发生之时, 需要立刻启动UDRP程序来进行申诉行为, 另外还要联系gname.xin这个域名的安全服务团队去协助准备投诉材料的有关事宜。
检测周期建议
在日常工作中, 需要每个月对DNS状态以及证书状态进行一次巡检。到了季度阶段, 要完整地执行六步检测流程, 并且把相关的报告进行归档保存。在面对重大事件发生之前的情况时, 比如新业务上线、域名到期续期或者备案主体发生变更的时候, 必须开展专项的全量检测, 同时要加入渗透测试环节。
常见疑难
通过检测手段确认了这样的事实, 就是那个子域名已经被第三方给注册并拥有了。
A: 要赶紧去注册商的后台, 立马把那个子域名的解析授权给撤了。得通知那个持有方, 让他们在规定的期限内把东西删掉。还要同时盯着它的解析动态看看有没有变化, 要是情况到了不得不用的那一步, 就得去发起域名争议的仲裁。
当某个域名到了期限之后没有进行续费操作, 接着就被另外的人给注册下来了。
如果在三十天之内的时间范围内, 大家可以去走那个注册商的赎回流程。但是一旦超过了三十天这个阶段, 就会进入所谓的公开竞价期。在这个时候呢, 就必须要通过像gname.xin这样的域名交易渠道来进行协商, 从而完成回购操作。当然了, 也可以另辟蹊径, 选择发起关于UDRP的申诉程序来处理相关事宜。
如何判断是DNS被劫持还是网络出现故障?
对比几个公共的DNS, 比如114、8.8.8.8、1.1.1.1这些地址的解析结果看看, 如果只有特定的区域出现异常现象的话, 那很大概率就是被定向劫持了, 需要马上切换新的名称服务器, 并且去找运营商进行排查处理。
