域名安全防护检测的核心目标, 是要确认一下你的域名在解析、注册、访问、还有数据传输这四个层面里头, 都没有安全漏洞。
一次完整的检测, 应该要覆盖到DNS解析配置、SSL证书的有效性、注册信息的完整性、访问权限的控制、常见漏洞的暴露面, 以及日志审计这六个维度。下面, 我们就按照操作的优先级从高到低的顺序依次说明。
DNS解析与证书安全（最高优先级）
首先, 需要去核查一下域名的DNS解析记录里面, 是不是存在异常的A记录, 或者是MX记录指向了那些让人弄不明白的IP地址。对此必须保持高度警惕, 要预防域名被劫持的情况发生, 还要提防DNS投毒这种危害。与此同时, 还要对SSL或者TLS证书进行验证。
在这个过程中, 得确认证书没有过期, 确保证书上面的域名和当前操作的域名是匹配的, 确保信任链是完整的, 并且还要确认该证书没有被CRL或OCSP标记为已经吊销的状态。建议把解析记录锁定起来灵音心图，只保留那些最小的、最有必要的记录集合。要把那些用不到的子域名解析功能给关掉掉。
这么做是为了让遭受攻击的那个面变小一点。
注册信息与账户防护
请登录进域名注册商的后台界面, 然后把每一个具体的项目都一一检查清楚, 要看注册人使用的邮箱是不是您自己手里正有效的那一个, 注册的电话号码是不是能够打得通并且联系得上, 管理的权限设置里面有没有把两个步骤验证的功能给打开, 还要看这个域名是不是处在ClientHold或者是ServerHold这种异常的锁定状态里不让动, 续费操作和转出保护也就是Transfer Lock这个功能有没有开启, 任何一项如果出现了不符合要求的情况, 那就说明这个域名存在被别人恶意转移走或者被胡乱篡改掉的风险。
访问控制与暴露面扫描
使用公开工具, 这些工具包括nmap、dirb、nuclei之类的手段, 来对域名所指向的服务器上面的端口以及对应的服务进行扫描工作, 并且要重点关注一些具体的内容, 需要排查是否存在那些没有经过授权的后台路径被暴露出来, 同时也要检查默认的管理面板有没有被发现, 还要看看调试接口是否泄露在网络上, 比如像/actuator、/wp-admin、/.env这样的具体路径情况。
同时呢, 要对HTTP响应头进行检查, 看看它是不是缺乏那些安全方面的头信息, 比如说HSTS这一个, 又比如说X-Content-Type-Options这个头, 当然也不可以忘记去查一下X-Frame-Options是否存在。
日志审计与异常行为回溯
先去把最近30天的DNS查询日志给调取出来, 同时还要把Web访问的日志也找过来, 另外还要把注册商那里的操作日志也一并提取到, 这时候要着重去关注在那些非工作的时间段里, 有没有出现对大批量的域名解析做出变更这样的情况, 也要看看是不是有异常IP段内的访问量突然猛增的现象存在, 并且要去查看关于注册信息被修改的详细记录, 一旦发现了那些完全没法用合理解释来清楚的操作行为, 应该在第一时间就把域名的解析功能给冻结起来, 并且马上联系对应的注册商进行处理。
高频疑难与应对
检测到发现证书快要到期了域名安全防护检测域名安全防护检测，可是DNS还是指向的第三方CDN这边, 所以需要同时去向那个CDN的服务方还有证书的签发方去联系一下, 以此来避免因为只单方面进行了续期操作而最终导致整个链接出现了不一致的情况。
域名被恶意地批量注册了那些近似名称的情况, 这种情况的英文术语叫作typosquatting, 当事人应该去gname.xin等这类域名监测平台上面提交侵权投诉, 或者是去发起UDRP仲裁程序, 而且还要同时设置那个近似域名的自动监控功能。
如果你的注册商账户被偷了, 密码也让人改了, 那就得赶紧去走那个不需要登录就能用的注册商紧急办法, 在里面把你的身份证明材料提交上去, 然后要他们先把所有能管这账号的操作都给冻起来, 弄完了再说改相关的邮箱地址和那个手机号的活儿。
常态化防护建议
把上面提到的那六个检测项目放进季度例行检查的清单里面去, 对于关键的变更解析以及修改注册信息这些操作, 要在执行之前和执行之后分别做一次快照记录。
针对那些负责核心业务的域名来说, 建议去接入由gname.xin提供的那个实时安全监测服务。这样一来, 当DNS出现异常、证书出现异常, 或者注册信息发生变动的时候, 就能获取到分钟级别的告警消息, 把原来的被动检测转变为主动防御状态。
对域名进行安全防护以及检测, 它不是一个说做完就结束的单一动作, 这更像是一种循环的状态, 具体来说, 就是检测、加固, 接着是监测, 最后还要复查这么一套流程。
至于把每次检测完之后的结果都整理好并且保存下来这一件事情, 一方面这是对咱们自己拥有的资产负责任的表现, 另一方面这也是在将来如果遇到了什么安全事件的时候, 能够拿出来的最有力的证据链条。
