要找出那些危险的域名, 最主要的办法是去观察五方面的情况, 这五方面分别是注册的时候留下的消息、网址本身长什么样的结构、保护证书现在是什么状态、大家访问它时有什么样的行为表现, 以及来自威胁情报里的信息。
下面这些做法能帮忙你, 在你平时的上班干活过程中, 更快地看出来一个网站地址是不是带有很高的高风险特征。
注册信息异常
一般来说, 那些高危的域名注册时间往往非常短, 也就是少于7天的情况。另外, 注册这些人可能会使用匿名或者是隐私保护那样的服务, 并且完全没有真实的联系方式可以联系到他们。提供注册服务的商家通常集中在少数几个位于海外的、规模比较小的注册商那里。
有时候还存在一种现象, 就是有很多很多域名都是同一批次注册的, 而且使用的网页模板都是一样的, 这些都是非常典型的信号表现。人们可以通过使用WHOIS查询工具来获取相关的信息, 比如注册的时间是谁注册的还有域名的当前状态等等。在这个过程中, 我们要重点关注那些注册时间不足30天的全新域名。
URL结构可疑
正规的域名通常看起来十分简单清晰, 而高危域名则具备一些很常见的特征, 这些特征包括会使用数字和字母来进行混淆处理, 例如像paypa1.com这样的域名在模仿paypal.com的样子, 还可能是采用多层子域名伪装手段, 比如说出现类似bank-of-china.secure-login.com这样的组合, 或者在URL地址里面包含了数量很多且毫无意义的参数内容, 甚至可能出现主域名本身非常短小并且跟相关的品牌完全没有任何关联这样的情况。
当你碰到这种类型的网址名称的时候, 一定要一个字母接着一个字母地仔细去对比, 看一看它们和真正的那个官方的地址之间到底有哪些不一样的地方。
SSL证书状态异常
高危的域名很多时候会用那种自签名的证书, 或者会出现证书的上面的名字跟域名的样子对不上的情况, 又或者是这个证书的签发机构是一个大家都不怎么知道的CA。
正常一点的公司的官网的HTTPS证书一般是由DigiCert还有Let's Encrypt这种大家觉得可信的机构来签发的, 而且证书里面的CN字段和你去访问的那个域名的名字是一致的。
如果浏览器直接给你显示了“不安全”这个字眼, 或者你在看证书的详细信息的时候发现发证的人和你要去的域名之间没有什么逻辑上的联系, 那你一定要非常警惕。
访问行为异常
高危域名的一些典型的行为表现, 是页面在加载完成之后, 会自己跳转到好几个其他的域名那里去, 还有可能会出现弹窗，强迫用户去填写银行卡号或者是个人的身份信息, 再就是诱导用户自己去把浏览器的安全提示给关掉, 又或者是去下载那个伪装成了Offic文档样子的exe可执行文件, 或者说页面里的内容在一刷新之后就会频繁地发生变化, 如果在访问了一个域名之后, 浏览器里不停地弹出新的标签页或者是广告窗口, 那么基本就可以判定它就是一个恶意的站点。
威胁情报匹配
把那个看起来有点可疑的域名提交到威胁情报的平台上去进行交叉验证。可以使用像m.dcqzss.cn这样的域名安全查询入口, 在里面输入域名来查看它有没有被标记成钓鱼网站、木马传播渠道或者挖矿节点。
与此同时, 还要留意这个域名的反向DNS记录是啥样的, 看看它的历史解析IP地址动不动就属于那些已知做恶意C2服务器的名单里头。光靠一个来源提供的信息不足以对事情下结论, 必须要至少有两个各自独立的情报来源来做交叉确认才行。
实操检测流程
在发现出现问题的域名之后, 需要按照下面的次序去执行相应的操作, 第一步是去做那个关于注册信息的查询工作, 使用的工具叫做WHOIS, 第二步要去检查一下这个SSL证书的详细内容是什么, 第三步是把那个网址放到一个叫做沙箱的安全环境里面去完成访问动作, 但是千万不能在正常使用的电脑设备上去做这件事, 第四步是要把相关的数据提交到一个叫做威胁情报的平台上面去进行比对分析, 最后一步是把页面上的信息和那个网址的链接地址都截图下来保存好, 以此来作为证据。
发现后的处置
在确认高危情况之后, 应该立刻把终端设备里的缓存和Cookie给清理掉, 然后把那些相关的账户密码统统修改好, 接着要向单位里面的信息安全部门或者是12321网络不良信息举报中心去提交域名的相关证据, 千万不要因为图省事就直接关闭网页页面而不做任何记录工作, 一定要把截图还有那个URL地址给留下来, 因为这些存下来的资料对于后面追查源头和还原事实来说是起到非常关键的作用的。
关于高危域名的识别问题, 目前并不存在一眼就能看穿的那个单一的指标因素, 我们必须要依靠把好几个不同的维度综合在一起进行交叉分析来做出判断。同时, 大家一定要去习惯养成那种先查询然后才使用的做法, 这样做可以非常有效地降低遭到钓鱼攻击或者是被恶意软件感染的这些风险概率。
