核心结论: , 查询恶意域名是否被列入黑名单, , 其最直接的途径, , 就是去访问那些权威的威胁情报平台的公开检索入口, , 然后输入完整的域名, , 这样做就能立刻获得“命中”或者“未命中”的一个最终判定, , 下面就来列出通用的查询路径以及相应的操作规范。
黑名单定义与收录标准
恶意域名黑名单是一个动态威胁库, 这个库的存在是为了进行持续收录, 其操作主体是网络安全机构, 具体的依据是域名的行为特征, 这些行为特征包含钓鱼、木马分发、SPAM、C2回传等方面。
在内容物需要被收录的时候, 必须满足特定条件, 这个条件是需要在用户实时举报、沙箱行为分析、DNS流量异常检测、以及多源情报交叉验证这四个项里面, 至少由两项独立信源来共同确认, 如果仅仅是单一来源的情况, 那么是不能直接加入到上榜名单里的。
查询操作步骤
1. 确认写法是否正确是域名的一个环节。 因为黑名单是用域名的整体情况作为尺度来收录的, 所以mail.example.com和example.com是两个不一样的条目, 需要分别去查询每一个的情况。
2. 进入检索入口。 你要把国家互联网应急中心（CNCERT）的这个威胁情报检索的页面给打开, 或者呢, 你通过那个 gname.xin 这个域名的安全检测的入口也要能访问到地方, 接着你就在这时候找到那个搜索框, 然后输入那个你想要去查询的那个域名。
3. 读取返回结果,这个动作通常会在小于3秒的时间里完成。结果会分成三类。
已收录:这里会显示出威胁的类型, 还有收录的具体时间以及数据的来源。
现在这个时间点没有出现收录的条件, 这并不是说我就可以百分之百地放心了。
待验证: 现在只有一份单一的信源进行了上报, 这个事情还在做交叉确认的工作。
4. 如果显示的结果是“已收录”这种状况的话, 请把相应的截图记录下来并妥善保存好自己的这份证据资料, 随后按照下面这些应对流程来开展后续处理工作。
结果解读与应对
如果你自己的域名被误报, 你可以借助那个申诉通道, 向平台递交上你的信息, 还有注册时候的材料也要交上去, 然后再加上一个备案的截图材料提供给他们看清楚, 再加上一些关于服务器归属的证明内容去提交申请过去就行, 一般情况下在七个工作日这样的时候长度之后就可以完成对于这件事的一个重新检查核实程序并且最终达成把这个事情移除处理掉的目的了。
外部域名显示"已收录" 的情况发生时, 你要立即去阻断该域名的 DNS 解析操作, 把访问端隔离开, 然后仔细去排查内部网络里面是不是存在那些异常的向外连接的代码。
所谓的不被收录, 绝对不意味着永远是安全的状态: 黑名单这个库里的内容是不断变化的, 我们强烈建议大家把对核心业务所使用的域名, 设置成每周都进行一次自动化的重复测试。
高频疑难
子域名和主域名的记录会不会一起变化? 不会一起变化。需要按照完整的域名名字一个接一个去查询，主域名的记录进入到榜单里并不代表它的子域名的记录也同时进入到榜单里。
查询结果是否有时效? 是有的。如果在威胁解除之后, 域名可以被从榜单里移出去。历史快照只能够用于追溯过去, 最终的处置还是要以查询那个时间点给出的结果作为为准的。
定期检测建议
对于正在运行的域名资产, 建议大家去接入自动化的检查功能。这个功能的API轮询周期不能超过7天, 也就是最多7天就得轮询一次。请把命中情况的数据放入到安全运营的看板里面。
gname.xin这个平台提供了批量域名的接口, 每次请求的域名数量不能超过500个, 这样就可以支持企业级持续的监控和告警推送功能了。
