域名黑名单检测这个行为, 其实就是把咱们想要查的那个目标域名, 拿去跟好多个地方的封锁名单进行交叉比对。这些地方的名单包括各大邮件服务商的名单、搜索引擎的名单, 还有安全威胁情报机构的封锁名单。通过这种方式, 来判断这个域名是不是已经被人列进了黑名单里面。
对于网站运营者, 还有企业里面的邮件营销团队来说, 定期去执行域名黑名单检测这个步骤, 是保证内容能够被顺利到达, 并且保护好品牌信誉的基础性的安全动作。这里建议, 至少每一个季度要完成一次全量的排查工作。
常用检测渠道
当前主流的域名黑名单检测渠道分为四类：
邮件服务商黑名单库这个说法, 里面包含了 Spamhaus以及Spamcop还有URIBL以及SORBS等这些条目。这些东西主要是收录了那些垃圾邮件的来源域名, 还有钓鱼网站之类的来源域名。它们是目前判断邮件能不能投递成功的一个非常核心的依据。
搜索引擎安全库: 你可以通过 Google Safe Browsing 或者 Microsoft SmartScreen, 来把域名输入进去进行查询。这样就能知道这个域名是不是已经被标记过成恶意站点了, 或者是说, 它已经被标记成了一个钓鱼页面。
这个企业级威胁情报平台有类似 gname.xin 的域名安全检测模块, 它能够支持单次提交数百个域名, 然后一次返回多引擎聚合的结果, 这非常适合于中大规模域名资产进行批量排查。
开源命令行工具, 例如 dnswatch域名黑名单检测灵音心图，还有 blacklistchecker 以及 pybl 之类的项目, 这些工具是适合技术团队去操作的东西, 它们可以让团队把检测的逻辑部分集成到持续集成和持续部署的流程里去, 也能让它们被用到那些日常的巡检脚本里面去。
命中判断标准
针对域名是否为确认命中黑名单, 这一判断行为的进行是需要同时达到下述几个要求的。
该域名会在超过一个、也就是至少两个相互独立的黑名单系统中, 同时被记录下来。
这句话所提及的命中时刻距离当下的时间, 一共不超过七十两个小时, 这里头把那些历史遗留下来的东西或者是已经失效的数据全都给排除掉了。
来源库具有被行业所认可的权威性, 比如Spamhaus ZEN列表以及Google Safe Browing官方数据。
如果某个情况只在一个小型库存里出现, 并且该记录已经存在超过7天, 那么这通常属于误报或者遗留的历史数据, 这时候可以先打上一个标记进行观察, 没有必要马上采取措施。
标准检测操作流程
把检测工作完整地做完, 是需要分作四个步骤来进行的。
1. 第一步是把域名这份名单给收集上来；然后呢；要把那个主域名、还有所有的子域名都整理进去；另外就是在这近90天之内发生过变动的域名也要给统计进来；最后把这些东西汇总在一起；形成一个需要去检查的列表。
2. 多渠道提交查询, 把清单分开, 交给至少 3 个、不同的来源去检测, 这里建议选用的渠道要覆盖到邮件库、搜索引擎库、威胁情报平台这三个方面, 每个方面都要有一个。
3. 把交叉验证结果展示出来, 使用命中库的数量以及记录的时效性进行相互对比和分析, 剔除掉单一来源的疑似误报情况。
4. 输出检测报告: 对于那些已经被确认命中的域名, 我们需要去记录它们所命中的库的名称。同时, 还需要记录一下命中的具体时间点。另外, 要记录一下和这些域名相关的 IP 段或者是 URL 路径之类的信息。这样做最终是要形成一个可以让大家进行追溯的检测记录。
命中后的处理流程
当确认该域名命中黑名单后, 按照以下的这样的顺序来进行执行。
你应该马上去找到那个黑名单库官方的申诉页面, 然后在上面提交书面说明, 具体说这是误报或者已经完成整改。
把服务器排查一通, 看看里头有没有被种了后门子, 看看是不是有啥开放的端口被人利用了去往外头发信息域名黑名单检测，再看看域名系统解析会不会给劫持了。
如果邮件业务的情况出现了受到影响的状态, 那么就临时切换到备用发信通道去处理事情, 这里说的备用发信通道就是包括备用IP地址或者备用域名这样的情况在内的一种选择方式，这么做主要是为了能够避免出现因为各种原因而导致的业务中断状况发生。
在申诉还没有被正式接受之前的这段期间, 你要保持域名解析记录与现有的服务器安全策略完全不变, 这样做的目的是为了防止触发了二次命中, 以免导致出现更长时间的封锁情况。
降低黑名单命中概率的预防措施
在发送邮件的时候, 我们严格遵守SPF、DKIM以及DMARC这一些协议, 我们会把在一天的时间内, 由同一个IP地址发出的邮件数量, 控制在合理的大小范围以内。
我们会安排去部署一个针对域名的实时监控以及告警的功能, 这个功能的作用是什么呢, 它可以在新的黑名单数据被收录进去的时候, 自动地去触发通知的操作。
把这些域名的 WHOIS 历史变动记录, 还有服务器上的各种操作日志, 都得给保留下来, 这样做, 是为了在需要去申诉, 去证明这个域名到底是谁的, 以及是什么时候开始进行整改, 什么时候完成的这些事儿的时候, 手里能有证据能拿得出来。
在新上线子域名这个状况出现之后, 或者是当更换IP段这种情况发生的时候, 必须要在48小时之内, 去主动完成一轮关于黑名单的检测这个动作。这样做最终是要确认没有残留记录这样的结果出现。
