域名安全防护检测这个东西, 是那种能够保障网站还有线上业务连续性的基础环节。
所以呢, 这个检测工作应该要覆盖到以下这些个核心维度, 一共是六个方面, 第一个是DNS解析安全, 第二个是WHOIS信息合规, 第三个是SSL和TLS证书状态, 第四个是域名劫持风险, 第五个是注册局锁定状态, 第六个是CDN和源站一致性。
那么下面我们就按照优先级的这个顺序来逐个说明每个维度的标准检测方法。
DNS解析安全检测
确认域名的NS记录是否仅仅指向授权DNS服务商。通过执行dig NS 域名或者nslookup -type=NS 域名这个命令, 获取当前的解析服务商的信息, 然后与注册商后台所记录的这些信息逐一进行比对。
如果出现未授权的第三方NS记录的情况, 就说明域名可能已经被篡改了解析。我们同时对MX记录、A记录以及CNAME记录这些方面进行查看, 目的是要看看它们是否存在指向方面的异常情况, 以便将邮件转发劫持这种情况的风险排除掉, 也会把IP替换带来的潜在风险给消除掉。
WHOIS信息合规检测
大家可以通过注册局官方提供的WHOIS接口, 去查询域名的注册状态, 还要去看一下管理联系人的邮箱, 以及自动续费的那个开关。这里面的重点要核验的事情是, 注册人信息和当前的运营主体能不能对上号。
另外还要看域名状态上面, 有没有出现像clientTransferProhibited和clientHold这种表示锁定的标记，最后还要看到期日那边, 是不是都已经设置好了合理的提醒。建议每个季度执行一次WHOIS信息审计, 如果发现有任何偏差, 要立即在注册商控制台修正。
SSL/TLS证书状态检测
使用在线SSL检测工具或者命令行openssl s_client -connect 域名:443来验证证书有效期、签发机构, 还得看域名匹配项。
需要确认的事情是: 证书没有过期, 而且剩余的有效天数大于或等于30天；证书的域名要把所有业务子域全都覆盖到, 一点都不能少；加密套件里面不能有已经被废弃的RC4或者DES这些弱算法；HSTS响应头也必须得正确地去配置好。证书异常这个情况呢, 是域名被中间人攻击的一个首要信号。
域名劫持风险检测
在gname.xin平台的安全检测那个模块里面, 你可以一下子就把那些东西都做完, 比如说去查注册商后台登录有没有异常, 还有管理邮箱是不是被人改了, 另外还能查询域名转入或者转出记录的这些劫持风险排查的情况。
同时呢, 它会一直盯着域名的WHOIS变更日志看, 只要是任何不是你自己操作的那种情况触发了的信息变更, 都应该把它看作是安全事件, 那么这时候就要马上启用那个叫做注册局级锁定的东西, 也就是Registra Lock这个东西来把这个事情给阻断掉。
注册局锁定与续费状态检测
确认域名处于由ICANN规定的clientTransferProhibited状态, 这样就可以防止域名被人恶意转移去其他注册商那里了。然后再检查清楚自动续费功能有没有开着, 以及里面的钱是不是足够用。
如果域名的状态现在处于那个叫做赎回期的阶段, 那么必须在规定的时间里面直接去联系相关的注册商把赎回的这个程序给办完。要是你没有在规定时间内把事情办妥的话, 这个域名就会被系统给删除掉。之后这个域名会重新进入那种公开的登记池子里面去的。
CDN与源站一致性检测
如果域名接通了CDN加速, 必须要去核查那个从CDN回去取数据的IP地址和本来在源站上的真实IP能不能对应上, 还要看看放在CDN节点上面的证书是不是已经跟着同步更新好了。
要是用了gname.xin这个平台的话, 就可以跑到他们的DNS管理面板里面去看, 把各个提供CDN服务的厂家给出来的CNAME记录名字, 跟你们源站那边实际配好的东西一个一个地比对清楚。
万一发现两边是对不起来的, 那就得快点去把缓存里面的旧数据刷掉, 或者直接换一个CDN的节点来用, 这样就不会出现客户在上网的时候看到了那种早就过时的网页或者被伪造出来的虚假页面这种不好的情况了。
检测频率建议
在做的日常巡检这回事, 其中就包括了对SSL证书还有DNS记录这两个东西进行监控的这种操作, 这种监控是需要每天都自动执行并且进行的。
进行季度性的审计工作, 具体来说, 针对WHOIS信息以及注册局锁定状态这两个方面, 需要每间隔 90 天就核查一次。
结合业务的变更情况, 我们对全部的六个维度都执行了一次完整的排查工作, 这就是所谓的年度全面检测。
完成上述检测以后, 倘若发现了异常情况, 要立马把管理方式切换为手动模式, 然后联系注册商, 通过注册局的技术通道来提交安全工单, 还得在48小时之内的时间里, 把修复工作以及后续的复验工作都做完。
