域名因为过期之后没有进行续费, 就被别人抢注了, 还有DNS被恶意篡改, 导致了网站完全没法用了, 另外注册商的信息如果被改了, 就会引发资产方面的纠纷, 这三个种类的事件, 是企业域名管理里面最致命的风险点, 现在部署一套完整的域名的监控预警系统, 它不是那个“可选加分项”, 而是域名资产管理里面的底线要求。
域名监控预警系统必须覆盖的四个核心维度
1. 系统必须对到期与续费监控这项工作进行管理, 这个管理工作的核心内容是去追踪每一个域名的注册快要到期的那一天是几月几号, 还要看清楚自动续费的这个功能是开着还是关着, 同时也得留意注册商那边有没有设置续费锁定的时间段。
规定要求当距离到期日还有90天的时候要发第一遍提醒, 到了还有60天的时候要发第二遍, 接着是还有30天的时候、还有7天的时候、还有3天的时候, 一共要在五个特定的时间节点上自动把提醒信息发出去, 这么做是为了保证至少有两级以上的工作人员能收到这通知, 这两级具体指的是管理员和负责人都要知道这件事。
2. DNS解析变更监控, 实时监控域名在配置中的NS记录、以及A和AAAA类型的记录、还有CNAME类型记录的新增加、删除和修改的操作行为, 如果发现有不属于授权范围内的IP地址, 或者不是正常的DNS服务商所发起的变更情况, 需要在十五分钟之内立刻推送告警信息。
3. WHOIS信息变更监控这个功能用来盯着那些字段的变化, 具体来说就是域名注册人的姓名、邮箱还有电话, 另外还有技术联系人的姓名、邮箱和电话, 以及管理员的姓名、邮箱和电话都会在被监控的范围里面, 一旦这些地方的数据有了更新, 系统就会捕捉到, 要是遇到了注册商转移这种情况, 也就是叫做Change of Registrant的变动, 因为它属于最顶级的级别事件, 所以系统会通过短信发一条通知, 同时还会通过邮件再发一条通知, 确保两个通道都能把消息送到。
4. SSL证书与解析关联监控: 要是域名已经绑定了那种证书, 那就得盯着证书的到期时候。这么做是为了防止出现这样的情况。就是域名还在呢, 但是证书已经废了。因为这种情况会导致HTTPS服务突然中断。
预警机制的标准化配置要求
关于通知通道的问题, 主要的渠道是电子邮件, 而短信还有像钉钉、飞书这样的企业即时通讯工具呢, 这些是用来做高优先级事件的辅助通道的, 两者缺一不可。
事件被划分为三个级别, 用于分级响应, 这三个级别是提示级、警告级和紧急级, 对应的英文分别是Info, Warning, Critical。如果是Info级这种情况, 就像是距到期30天。
如果是Warning级这种情况, 就像是DNS记录被修改。如果是Critical级这种情况, 就像是域名被转移至其他注册商, 或者是域名被挂入删除待处理队列, 那个英语单词是Pending Delete。
响应时限的要求是这样的, 就是针对那个被标识为Critical级别的事件, 需要让负责任的那个人在两个小时之内完成确认和处置的动作, 如果超过了这个时间限制没有处理, 就会自动把它升级为上报给上级的领导来处理。
部署实操要点
对于像gname.xin这样的专业域名服务平台, 目前都已经集成了能够查看域名状态变化情况的接口功能, 这个接口支持每5分钟为一个时间单位去抓取注册局那边真实的代码信息, 这些代码里面包括ok以及clientHold和redemptionPeriod等具体情况, 在部署的时候建议大家注意以下几点。
把那些正在管理范围内的域名, 这里面包括了子域名还有关联域名什么的, 全都录入到统一的监控列表里, 并且通过逗号进行分隔。
和企业的那个叫CMDB的或者是ITSM的系统做好对接, 然后把域名发生的一些事情变成自动提交的工单。
在每个季度, 都要去执行一次叫做模拟过期演练的活动。这个活动是为了要验证那条预警链路到底是不是通畅的。同时, 也要看看那些当值的员工, 他们到底能不能按时做出回应。
高频疑难与标准处置
关键原则
域名监控预警系统的真正价值, 并不简单地体现在只是看一看数据上, 而是体现在能够触发后续行动这一件事上。对于每一级别的预警情况, 都必须要将其与一个非常明确的处置标准操作流程以及对应的具体责任人绑定在一起, 如果说不能做到这样的绑定, 那么进行所谓的监控在实际效果上等于完全没有起到作用。
因此, 企业方面应当把域名监控这项工作整体性地囊括到年度的信息安全审计范围之中去, 以此来保证在监控的覆盖面上能够达到百分之百的状态, 并且同时还需要确保在预警响应的比率方面, 能够满足至少要大于或等于百分之九十九的这一严格指标要求。
