域名监控预警系统将把企业名下的全部域名的注册状态、DNS解析记录、SSL证书以及NS服务器等关键参数作为监测对象, 并进行7×24小时持续不断的监测工作。
系统在运行过程中会实时查看上述各项信息, 一旦检测到数据出现异常波动或错误情况, 就会立即通过多渠道的方式向相关人员推送报警信号与预警通知, 从而能够把域名被抢注、DNS遭受到劫持攻击以及证书到期失效等各类潜在风险提前拦截下来, 确保此类威胁不会实际发生, 更不会对企业造成任何经济损失。
企业把那个系统真正落地的首要步骤, 并不是去挑选合适的工具, 而是要先把域名的资产状况彻底清点一遍, 并且要把关于这些域名到底是管理哪些范围、管理能到达什么具体的深度, 以及具体由谁来进行及时的响应, 这些情况全部都梳理得清清楚楚。
选型看三个硬指标
监控维度覆盖度的基础项目必须包括域名到期的倒计时情况, DNS记录的变更状况, NS服务器的漂移现象, SSL证书的有效期限, 以及WHOIS信息的变动细节；同时, 加分项目则涵盖了网站HTTP状态码的关注, CNAME链的追踪工作, 还有对BGP路由异常情况的检测能力。
预警响应时效的情况是这样的: 从异常情况发生开始算起, 一直到第一次发送推送通知这中间的这段时间。在一个成熟的方案里, 这个时间间隔应该被控制在60秒之内。另外还需要满足一个要求: 至少要支持下面这些通信通道中的两种。这些通信通道包括电子邮件、短消息短信、企业微信或者钉钉、还有Webhook服务。
横向扩展能力指的是, 当一个场景里的域名数量处于从五十个到五万个这样一个变化范围的时候, 相关的系统架构是不是能够进行水平方向的扩容操作, 同时, 其提供的应用程序编程接口是不是处于开放状态, 并且, 它是不是具备可以与已经在使用的配置管理数据库系统或者是信息技术服务管理系统的这些既有系统进行直接连接与对接这样的一种技术属性。
部署架构分三层
1. 采集层: 它可以通过进行ICMP探测, 或者通过ARP探测, 以及DNS递归查询, 还有使用WHOIS接口进行轮询, 也能够实施证书OCSP检查等这些方式, 针对目标域名来执行一次扫描行为, 而且执行的时间间隔设定为每5分钟到15分钟这样一个范围, 在执行策略方面, 它会优先采用增量的方式进行数据采集，只有在必要的时候才使用全量的方式来作为底线的保障手段。
2. 研判层这个地方是要把原始数据去和那个历史基准线做一个比对, 然后是通过规则引擎来输出告警等级, 这里有个例子就是当出现NS变更而且TTL数值还低于300秒的情况的时候, 就会直接把它标记成高危。
3. 处置层会按照设定的等级来自动触发通知, 如果遇到高危场景的话, 还可以跟工单系统进行联动, 或者是去执行自动化脚本, 比如说触发自动续费, 又或者是回滚DNS记录。
预警规则配置要点
进行到期预警的处理, 就是在注册期限结束之前的前九十天、六十天、三十天、七天以及最后一天, 这些时间点每一个都设立一个提醒节点。当时间进入到最后的七天以内, 预式的等级会提高, 变成电话通知和短信推送两种渠道同时使用。
当进行DNS变更操作的时候, 如果涉及到A记录、CNAME记录、MX记录或者TXT记录中的任何一项发生变更, 那么系统就会触发一级预警机制；另外, 如果是NS记录发生了变更的情况, 系统则会触发二级预警。
对于 SSL 证书的剩余有效期这个问题, 我们进行预警处理, 当剩余时间低于30天时发出提示, 若进一步降至低于7天, 则自动把状态升级为紧急程度。
如果出现因为连续进行了三次的HTTP探测都出现超时现象, 并且这里面的每次探测等待时间是三十秒这种情况的时候, 那就判断为疑似发生了宕机的状况, 接着触发针对那个页面的级别预警。
高频疑难与解法
建议把分散在多个注册商里面的域名, 通过聚合管理平台统一接入, 比如说, 把gz88.cn域名的管理后台域名监控预警系统域名监控预警系统龙南市就业服务平台，集中导入全部域名, 实现一处配置、全局生效, 避免逐家注册商分别盯守。
所谓的预警疲劳指的是, 针对同一个域名发出的同一类告警信号, 如果在24小时之内是相同的, 那就进行合并处理。同时, 这些告警还要被区分成“信息级”、“警告级”和“紧急级”这三个不同的推送等级, 到了只有当它属于紧急级的情况时, 才会通过拨打电话的方式来进行通知。
对DNS切换类告警增加二次确认机制, 间隔5分钟复查一次, 以便排除上游递归缓存导致的瞬时波动, 从而进行误报排查。
落地节奏建议
上线的这个工作, 是分着三周时间去推进的。在第一周的时间里, 要把资产盘点和规则配置这两件事给完成掉。到了第二周, 要进行灰度的运行, 并且对阈值进行调优工作。第三周的时候, 要实施全量的切换操作, 同时还需要把这个环节纳入到运维值班流程中去。
等上线完了之后, 要每个月都复核一次规则的实效性怎么样。每半年还要执行一次灾备切换的演练活动。这么做的目的, 就是为了确保监控体系本身, 不成为单点故障这种情况。
