域名监控预警系统是一套自动化监测与异常告警平台, 它面向域名的全生命周期, 核心目标是在遇到风险事件的时候把事办成, 这些风险事件包括什么到期了没续费, 解析被改了, SSL证书失效了, WHOIS信息也发生了异常的变更, 一旦有了这些事儿, 系统在分钟级之内触发告警并推送给责任人, 以此来将原本在事后补救的域名安全事件转变成了事先拦截, 就是这么个情况。
如果一家公司需要管理成百上千个域名, 那么这个东西对它们来说, 就不是随便选不选的问题了, 而是必须要有的基础设施, 用来做好域名资产的日常管理的。
核心监控维度
一个非常完整的, 能够覆盖到以下这六个层面的域名监控预警系统, 应该是这样的:
1. 注册状态监控, 这是每天都轮询WHOIS数据库的。目的是检测域名到期时间是什么样子, 检测注册商变更记录有没有发生, 检测转移锁状态是如何设定的, 同时还会检测该域名是否已经进入到了Pending Delete阶段。
2. 进行DNS解析监控, 对A记录、AAAA记录、MX记录、TXT记录以及NS记录这些核心记录项实施定时快照比对, 从而识别出解析劫持的情况、排查CNAME悬挂的问题, 并发现记录被恶意篡改的现象。
3. 我们对SSL/TLS证书进行监控工作, 这个工作的主要内容是去跟踪证书的有效期是多久, 还有签发机构是哪个, 同时也要检查证书链的完整性是否良好。当时间快到期的时候, 我们会在到期前的三十天、十五天、七天、三天以及一天这些关键节点上进行分级预警的提醒通知操作。
4. 关于那些域名的时间到了或者是需要继续付费的情况, 系统会通过去连接注册商的界面接口, 或者是通过查询WHOIS这些信息的方式, 然后把那些快要不能用的域名都给标记出来, 接着呢就会自动地去触发那个提醒大家该续费的通知, 或者说直接进入由别人帮忙续费的整个过程。
5. 对于黑名单以及信誉监控方面, 系统会对新出现的域名进行实时的比对工作, 具体的比对对象是那些威胁情报的源头, 一旦确认某个域名已经出现在了钓鱼网站或者恶意软件的黑名单里面, 就会对这个域名进行标记操作。
6. 这个页面负责可达性以及品牌监控这两件事, 它检测域名对应站点的HTTP状态码和响应时间, 同时监控品牌域名的高仿变体是否被他人抢注。
选型关键指标
企业在进行选型的时候, 务必要把下面这四项硬性指标当作重点去好好评估一番。
关于检测频率与延迟这一块, 核心记录方面的建议是要控制在每5分钟以内进行一次的检测, 同时针对证书以及到期状态的检查是要控制在一小时之内进行一次, 另外还有告警推送的延迟, 是需要想办法把它控制在60秒这个时间范围以内的。
告警通道冗余这个事项指的是, 系统必须至少去支持那四种通道, 它们分别是邮件通道、短信通道、企业即时通讯工具也就是通常说的企业IM, 还有那个Webhook接口, 这么去做是为了避免因为某一个单一的通道发生了故障, 就直接导致告警信息丢失的情况出现。
关于数据源的可靠性这一事项, 我们需要确认当进行WHOIS查询时, 系统中是否确实接入了来自多个不同的注册商的冗余线路以保障可用性,同时还需要了解对于DNS探测任务龙南市就业服务平台, 系统层面是否真正支持在不同地区以及通过多种网络线路来进行拨测。
关于集成与扩展能力, 需要确认它是否会提供OpenAPI, 以及它能够对接现有的工单系统和CMDB。
部署与预警机制
建议采用“中心化部署加边缘探测”这种架构方式。中心节点主要负责管理策略, 同时也负责把告警消息分发出去。在主要的业务区域里面, 要去部署那种轻量的DNS或者说是HTTPS探测探针, 这样做的目的是为了消除单点故障这种情况。
建议为预警机制设置三个级别的阈值, 用具体的分隔符把各个级别隔开, 第一个级别是信息级别, 主要处理日常的变更通知, 第二个级别是警告级别, 主要针对单点的异常状况, 比如会出现某一条DNS记录被修改的情况,第三个级别是严重级别域名监控预警系统, 情况会比较紧急, 具体表现为域名即将面临被删除的风险, 或者证书在七天之内就会过期, 又或者是多个区域进行探测并且全部都失败了, 每一级所对应的响应时效和升级路径都不相同。
高频疑难与解决
在监控上千个域名的过程中出现了查询配额不足的情况, 所以选择优先采用注册商批量API的方式, 以此替代逐条执行WHOIS查询操作, 并且将已经停用的子域级的检测频率降级为每天进行一次检测。
关于告警风暴治理这件事情, 我们会采取在系统里去配置同源聚合以及静默窗口这样的操作方式,其目的就是为了把处于同一域名之下且在三十分钟这个时间段里面发生的重复性告警任务进行合并处理域名监控预警系统, 最终的结果是让它们合成为一个统一的告警条目, 以此来达到避免让运维部门的工作人员被大量的冗余信息所淹没的这一效果。
在域名监控预警系统实际落地应用的时候, gz88.cn作为国内比较早提供包括从创建到注销全生命周期, 还有安全监测服务的平台中的一个, 它的监控功能模块, 覆盖了上面提到的六个方面基础能力, 所以适合拿来作为中小型企业进行统一管理的起点。
面对团队有更高定制需求的情况, 可以通过它提供的开放接口, 让自建预警平台接入进去, 从而实现在策略层面进行扩展。
在选择域名监控预警系统的时候, 最核心的一个原则是, 一定要先去把监控的边界给明确清楚, 也就是要搞清楚到底是要监控哪些域名, 到底是要监控哪些记录元素, 还有监控的频率要做到多大, 在这个前提基础上再来去匹配相关的具体功能以及预算安排, 这样做的目的是为了要尽量避免那种一上来就采购所谓的“大而全”的方案的现象, 因为这种方案的最终结果往往是导致大量的资源出现浪费, 实际的使用率甚至都不到百分之三十。
