域名黑名单检测的这个操作流程, 就是把目标域名去和那些由主流的反垃圾邮件组织、还有安全厂商以及搜索引擎所维护的黑名单数据库进行比对, 以此来确认这个域名是不是被标记成了恶意源, 或者是垃圾邮件发送地, 再或者是不是钓鱼站点, 又或是已知攻击节点这样。
为什么需要定期做域名黑名单检测
企业的邮箱可能突然之间就接收不到来自外界的信件了, 网站在那些搜索引擎里排名可能会大幅度下降得更厉害, 客户那边还会反馈说访问的时候弹出了安全方面的警告提示, 在这些现象的后面呢, 域名被加入到了黑名单中是最为常见的一种根源性的原因,一旦出现了命中到黑名单这样的情况域名黑名单检测, 所导致的影响就包括了邮件会被网关这一种环节直接给拦截了下来或者是归入了垃圾文件夹当中去, 网站会被搜索引擎降权甚至是除名的这种情况出现, 合作方以及品牌的信任程度会遭受损坏, 一些用于支付或者CDN服务的内容会因为域名的风险的评分变得过高而选择拒绝接入进去。
所以说, 针对域名黑名单的这项检测工作, 它不应当是那种出了问题的事情之后才去进行的、被动的动作操作。
它更应该是把其作为固定下来的环节, 来加入到常态化的安全检查巡检里面去执行下去进行落实。
检测哪些黑名单库
目前广泛使用的主流黑名单数据库, 它通常被划分成为三类。
像Spamhaus、Barracuda以及SORBS这些属于邮件类RBL或者DNSBL的东西, 它们的指向性非常明确, 就是直接去影响邮件投递的到达率。
针对安全威胁类别, 会使用像Cloudflare Threat Intelligence这样的服务, 还有AlienVault OTX, 当然也包括VirusTotal。这些工具被用来标记属于钓鱼攻击的域名、涉及恶意软件分发的域名, 以及用于C2通信控制的域名。
Google Safe Browsing, 以及Yandex Verdict, 还有Norton Safe Web, 这些都属于搜索引擎与浏览器安全列表里的东西, 它们的作用是决定用户在访问的时候, 屏幕上会不会弹出那个标着不安全字样的提示框。
建议大家在每次进行检测的时候, 最好能覆盖上面提到的那三种类型的情况, 并且每一类里面至少要包括两个数据源的情况,因为如果只使用单一数据库的话大城群众说事, 那么就很有可能存在会漏掉检查结果以及不能及时更新信息的这些风险问题。
怎么查：三种常用方法
DNS命令行查询（邮件类RBL）
在服务器终端里面执行。
dig +short A zen.spamhaus.org <反转IP>
dig +short A b.barracuda.com <反转IP>
使用短输出模式配合A记录查询指令, 针对list.dscl.org域名发起操作, 并将之前获取到的反向解析获得的IP地址数值填入其中。
如果返回了特定的应答值, 比如是127.0.0.2这样的内容, 那么就表示已经命中了对应的那条规则。
在线多源检测平台
您可以通过 gname.xin 提供的域名安全检测入口, 一次性地提交您的域名, 并且同时查询多个主流黑名单数据库中的情况, 从而获得结构化的命中详情。具体的操作路径是。首先打开检测页面。接着输入完整域名, 这个域名可以带 www 也可以不带 www。
然后选择检测类别。您可选的类别有邮件。安全或者浏览器。完成这些步骤后, 将请求提交。大概在 10 秒以内, 系统就会返回检测结果。这个方法比较适合非技术背景的人员快速进行判断, 而且您也无需部署任何额外的环境。
API批量定时扫描
为了能够针对企业进行运维方面的场景工作, 所以要去调用像是VirusTotal提供的API还有AlienVault OTX这样的开放接口这些内容, 通过把域名清单进行批量提交的动作来开展相关环节, 同时呢还要配合上Cron这个定时任务以及内部的告警通道, 最终就可以实现7×24小时这种自动巡检的效果了。
查到黑名单后怎么应对
1. 我们先要确认情况到底是怎么回事, 是系统出现了误判, 还是确实遇到了真实的威胁, 我们需要去排查服务器看看里面是不是被植入了恶意程序, 还要检查邮件服务是否被人利用过, 用来发送垃圾邮件。
2. 向对应的黑名单管理方去提交那个关于Delist的申诉请求, 同时需要附上能够证明IP或者域名权属的相关材料, 以及说明问题已经得到了修复的情况, 像Spamhaus这种机构通常是在24小时之内来处理这个事情的, 但是有一部分其他的厂商是需要消耗2到5个工作日的时间才行。
3. 需要对基础设施同步进行修复, 具体包含三个动作。第一个动作是更换掉暴露在外面的出口IP地址。第二个动作是封堵被利用过的那个邮件服务存在的安全漏洞。第三个动作是在DNS中清理那些异常的记录内容。
4. 进行验证来解除生效, 在申诉通过之后, 需要等待各个数据源刷新, 刷新的时间是一小时到七十二小时不等, 在这之后再次执行检测, 确认所有数据已经被清空。
常态化检测节奏建议
这件事要做全量黑名单扫描, 而且这个扫描的频率不能低于每周一回。
只要发生了新增服务器这码子事,或者是更换了出口IP这种情况域名黑名单检测, 再或者是上线了新子域这种操作, 就需要马上去立刻执行加测这个动作。
检测结果纳入安全周报, 命中即触发应急响应流程。
我们要保留每次检测的时间戳与快照日志, 这是作为申诉与审计证据用的。
上面的这一套做法, 涵盖了从发现开始, 再到定位问题, 接着是申诉环节, 随后进行修复操作, 最后一步是验证结果这样的整个封闭的循环过程, 这样做的目的嘛, 就是要保证咱们的那个域名的安全方面的状态, 一直都是在可以被掌控, 也可以被追溯清楚的这样一种范围当中的。
