当一个域名疑似涉及钓鱼或者恶意软件的分发又或者垃圾邮件的时候, 去快速确认一下这个域名的情况, 看它是不是已经被列入到了恶意的域名黑名单里面去, 这才是进行安全处置的非常关键的第一步。目前来看, 你可以信赖并且用来查询的渠道大概主要有这么四类, 这四类的具体情况是这样的。
第一类就是各大安全厂商所发布的威胁情报的平台类型。第二类是关于DNS级别上的那个实时的叫做黑名单机制, 通常简写为RBL。第三大类就是那些专门用于在线检测域名安全性的一些工具服务。第四种情况则是对有关域名以及注册还有解析的相关信息来进行一个交叉上面的比对和验证。
关于这四大渠道, 接下来就分别把具体操作的方法逐一说明清楚。
安全厂商威胁情报平台
奇安信威胁情报中心、微步在线（ThreatBook）、CNCERT等机构均提供免费的恶意域名查询入口。
操作方式是, 打开对应平台的域名查询或者威胁检索页面, 输入要检测的域名, 比如evil-site.com, 提交之后, 系统就会返回该域名的威胁标签、首次发现时间、关联恶意样本以及历史告警记录。只要这个域名命中了不只一条威胁情报的信息, 那基本上就可以给它定一个恶意的结论。
DNS实时黑名单（RBL）
有些企业用的防火墙还有邮件网关里面, 已经自带了查RBL的这个本事, 平常咱们能用的那些公共的RBL服务, 比如Spamhaus还有BDS这些, 运维人员想查的话其实可以通过dig命令自己动手去查一下。
dig +short domain.zen.spamhaus.org
如果系统返回了127.0.0.x类型的应答结果, 这就说明那个域名被Spamhaus放进了黑名单列表里面。这种做法是能够在批量筛查的情况下来使用的。同样的, 它也是适合用在自动化检测的场景里面的。
在线域名检测工具
VirusTotal这个平台, 网址是virustotal.com, 它支持用户提交域名来进行检测工作, 能够把多家相关引擎给出的判定结果进行一种汇总处理。UrlScan.io这个服务能够提供对URL的沙箱行为分析功能。
还有gname.xin这个网址, 它能够提供关于域名注册信息的查询, 也能提供DNS解析记录的查询, 还可以提供历史WHOIS快照的集中查询功能, 这种工具适合在已经确认了域名的归属以及技术特征之后的时候, 被用来做一些辅助性的验证操作。
可以把上面的那些工具全都一起使用, 这样的话, 就可以得到一个完整的检测过程, 这个过程是从情报命中的时候开始, 接着会进行行为分析的操作,最后在注册溯源这里结束。
域名注册与解析交叉验证
你可以打开WHOIS工具去查一下那个域名的注册人到底是哪个恶意域名黑名单查询, 还有是什么时候注册的, 以及是哪个注册商搞的。然后你再结合DNS里的A记录、NS记录和MX记录一块去检查一下。
要是发现这个域名才注册没几天, 比如不到7天, 又用了隐私保护把注册人的信息藏起来, 而且解析出来的地址是国外的那些名声不太好的IP段, 那它就是恶意的可能性就一下子变得很高了。但是这一步只是给你提供一点帮忙判断用的信息罢了, 不能光靠它就说那个域名一定是恶意的。
查询结果解读要点
这种情况是单一引擎产生的命中检测结果, 因此把目标标记为可疑状态, 后续必须要借助多个进行交叉方式来予以确认。
当有多个引擎在同一时间都匹配到了结果, 并且这些结果所指的威胁类型是一样的时候, 这种情况就可以直接地被认定为是恶意的行为, 然后就需要立刻在网络边界的地方对其进行封锁处理。
没有在任何一个黑名单里面搜到, 这个情况并不代表说该域名就是安全的, 有一种比较可能的情况是它是一个刚刚注册出来的新域名, 然后它还没有被那种相关的管理系统给收录起来, 所以我们这边是建议大家要持续地去进行监控工作, 时间方面最好维持在七到十四天左右。
常见问题
问题是这样的, 咱们普通人能不能不用花钱就去查一下那个专门记录恶意域名的黑名单呢?
答: 是可以的。上面说的这些平台都给了免费的基础查询额度, 不用注册就能单次检索；如果要高频批量查询的话, 得开通企业账号。
关于查询结果显示出的误报这样的情况应当去怎么处理?
答案: 在公共RBL里面, 它的误报率大概是在百分之1到3之间。如果自己的业务域名被错误地列进去了, 可以通过相应的平台所提供的申诉通道来提交相关的说明材料。一般情况下, 系统会在48小时之内完成复核的操作。
问: 怎么样才能去把那个每天都进行监督检查的这套办法给弄好?
回答的部分是这样的,给大家提个建议就是最好要把业务域名以及相关的资产恶意域名黑名单查询, 每周都提交给两到三家威胁情报平台去做主动的检测工作, 同时呢还要配置好邮件网关里的RBL实时更新策略, 这样的话呢就可以形成一个被动拦截和主动发现结合在一起的保护体系。
