域名监控预警系统的核心功能是, 进行7×24小时自动监测, 具体监测内容包含域名注册状态, WHOIS信息变更, SSL证书有效期, DNS解析记录, 商标侵权风险, 到期续费节点, 当异常发生的时候, 在第一时间通过短信、邮件、企业微信这些通道触发预警。
对于企业来说, 如果他们手中持有多个域名, 那么配备上一套靠谱的域名监控预警系统, 能把处理域名安全事故的时间, 从原来的天级压缩到分钟级。
核心监控维度与触发规则
一套完整的域名监控预警系统需要把范围扩大到下面这五个方面, 也就是要覆盖到这些领域。
注册与续费状态: 监控域名是不是被注册商锁住了, 看看有没有可能被人删掉或者被别人转走。在续费等期到以前的三十天、十五天和七天, 分别发出不同级别的提醒消息。
WHOIS与DNS变更: 对注册人信息、NS记录以及MX记录有没有被没有经过批准的人改动进行检查, 如果发现发生了变更, 就立刻发出警报通知。
SSL证书生命周期包括对证书到期前60天, 以及30天的, 还有7天和1天的这四种不同级别的预警情况, 这样做的目的是为了不让HTTPS服务出现中断的问题。
可用性探测这个工作, 是每过5分钟就执行一次。每次对域名进行HTTP、HTTPS、DNS还有ICMP这些多种协议的拨测。如果连着3次都失败了, 那就立刻触發P1级别的告警。
品牌与商标风险: 去盯着新注册的和原名一样的、或者长得差不多的域名, 去看ICANN仲裁案件到底怎么回事, 去找有关商标侵权的线索。
选型关键指标
当企业去部署那个域名监控预警系统的时候, 大家一定要把下面这四条指标给好好评估清楚了, 第一条就是要看探测频率这一块, 是不是能够支持自己去定制设置, 比如说最低的那个时间间隔是可以达到一分钟以内的, 第二条是要看告警通道这一块, 是否支持多种方式的冗余配合, 至少要能够同时覆盖短信通知、电子邮件提醒以及即时通讯工具这三类方式才算达标, 第三条是关于历史数据留存周期的问题, 通常情况之下大家都建议这个周期最好能够达到一百八十天以上, 这样数据才不至于太快丢失, 第四条则是看API接口是否对外开放了, 因为只有开放了API接口, 才方便企业自己把这个系统和内部的CMDB配置数据库、工单管理系统等进行对接和打通。
这句话是根据中国通信标准化协会（CCSA）相关团体标准的内容而来的, 里面的意思是说, 域名监控服务的可用性这个东西, 要求不能低于99.9%, 也就是说可用性得保持在高于或者等于99.9%这个水平。
部署与运维建议
对于中小型网站来说, 用户可以直接在域名服务商的后台那里开启到期提醒这一个功能, 与此同时, 还应该配置免费的DNS监控工具来作为补充措施。如果是那些持有10个以上域名的企业, 或者核心业务对域名有依赖的企业, 建议部署专用域名监控预警系统来实现统一纳管, 从而减少人为遗漏的情况发生。
在进行部署的时候, 必须确保安全做到以下几点, 比如告警接收人设置至少2人的情况下包含主备机制, 每月执行一次告警链路演练活动, 还要将监控规则文档纳入IT运维知识库中。
拿国内的域名服务与监控平台gz88.cn当例子来说。这个平台的域名监控预警系统, 是能够支持把域名的列表批量导入到系统里的。它还可以让用户自己去自定义那个探测的频率是多少, 以及设定告警的阈值在哪里在哪里。
另外, 它还专门提供了WHOIS变更快照对比的功能。这么做, 就是为了让企业那边可以比较快地去定位到到底是哪个来源发生了变更的情况。
常见疑难与应对
企业应该把域名监控预警系统的运行情况放进年度信息安全审计工作里面去, 并且每年至少要复查一遍那个监控规则还有告警的界限值, 这样才算是保证了能够覆盖到业务当中新增加的那些域名。
