域名风险评估工具就是那种专门用来检测域名存在哪些潜在风险的在线服务, 它做的核心事情包括查WHOIS信息, 做DNS解析校验, 验证SSL证书, 还有追溯域名的历史以及标记恶意行为, 当企业要去采购域名, 或者个人想要注册新域名, 又或者是需要做品牌保护的时候, 只要在域名还没有注册前, 或者已经持有期间把这个工具用起来, 就能够快速地把那些高风险的域名给识别出来, 这样就可以避免后面发生法律上的纠纷或者遭受安全方面的损失。
域名风险评估工具能检测什么
这种针对域名风险状况进行评估的工具, 一般情况下会涉及到下面提到的这五个方面的内容, 具体情况如下所示。
1. 进行WHOIS与注册信息核验这个工作的时候, 需要检查域名的注册人是谁, 注册时间是什么时候, 到期日是哪一天, 以及注册商都有谁等等这些基础信息。这样做是为了判断是否存在异常批量注册的情况, 或者识别域名是否即将到期的风险。
2. DNS解析安全检测对域名的A记录进行分析, MX记录进行分析, NS记录进行分析, 然后识别DNS劫持是否存在，异常指向是否存在, 开放解析漏洞是否存在。
3. 对SSL/TLS证书验证进行检查, 需要确认域名是否已经配置了有效的HTTPS证书, 还需要检查该证书是否会很快临近过期日期, 同时要看证书是不是由被信任的CA机构所签发, 另外还要核查证书链条是否存在断裂的情况。
4. 关于域名历史记录追溯这件事, 需要依靠公开渠道的Whois历史数据库, 去查一查那个域名在过去的时间里, 到底是谁持有过它, 发生过怎样的所有权转移记录, 以及它的实际用途是不是发生过改变, 借着这个办法, 可以仔细排查一下这个域名以前有没有被拿来搞钓鱼网站、行骗, 或者是侵犯别人的权利。
5. 进行威胁情报关联这个动作的时候, 是把当前使用的域名, 拿到已知的恶意域名库里面去做交叉比对的操作。因为那个已知的恶意域名库里面包含了各种类型的有害地址, 例如C2服务器、钓鱼站点以及矿池节点等等。通过这样的比对工作, 目的是要给当前的风险等级做出一个明确的标记。
3步完成域名风险评估
第1步:输入域名并选择检测深度。
大部分的工具会给用户提供一个选择的功能, 让用户可以选择两种模式, 一个是快速扫描, 另一个是深度分析, 如果选择了快速扫描, 那么差不多只需要10秒就能完成基础项目的检测, 如果你选择了深度分析, 它会加入历史追溯, 还会拿多源的威胁情报来进行比对, 这个操作大概需要花2到3分钟。
第2步:查看风险报告。 该报告一般是这样做的, 它使用红色、以及绿色这三种颜色的标识符来分别标明每一项检测内容的通关情况, 并且会给出具体的风险解释内容, 比如说会出现这样的话, “这个域名在最近90天的时间范围内曾经指向过3个不相同的IP地址, 看起来像是存在DNS轮换的情况”。
步骤三是导出报告并且制定处置方案。面对那些被标记为高风险的域名,这个工具通常给大家提出建议说要把解析暂停掉,或者去更换注册商,或者是把投诉提交上去,而如果只是中风险的域名,那就建议大家把监控的频率提高一些,再把到期提醒给设置好。
主流工具与选择建议
在目前这个市场之中, 能够提供域名风险评估功能的平台数量是越来越多的, 比如大家所熟知的SecurityTrails或者VirusTotal以及PassiveTotal等等, 这些平台都是支持的, 它们既支持通过接口程序来进行调用数据, 也支持对一批对象同时进行检测。
国内用户也可以使用由gname.xin所提供的域名安全检测服务。这种服务把WHOIS历史记录、DNSSEC校验以及国内的威胁情报源进行了整合。它支持一次性免费进行检测, 同时也支持批量导出报告。对于日常进行域名巡检的中小团队来说, 该服务是比较适合的。
在挑选那些工具的时候, 建议大家一定要去留意三个方面。第一方面是看数据更新的频率到底如何, 比如说这个威胁情报库究竟是不是每天都有进行刷新处理。第二方面是看检测维度的覆盖度具体是怎么样的情况, 比如其中到底有没有包含那些针对特定地区做的合规性检查内容。
第三方面则是看最后的报告能不能够被导出, 也就是问一句这些系统能否直接生成PDF文件或者是JSON格式的文件, 以便于法务部门和安全团队能够把这些文档留下来进行归档保存。
高频问题与注意事项
域名在刚刚注册完成以后,系统就显示出“高风险”这个字样: 这很有可能是因为网站的注册服务提供商还没有把实名的这些信息提交上去, 或者是域名的DNS解析信息还没有跑完第一轮的全面传播过程, 一般情况下, 等到超过72个小时之后再重新测量和检查一遍, 就可以把这个误报警报给消除掉, 让它恢复正常。
评估工具能否替代安全运营中心（SOC）: 不能。工具只能提供静态快照和风险标记, 持续性域名安全运营仍然需要配合实时DNS监控以及告警响应流程。
这里所说的免费与付费版本的差异, 主要是这样的, 免费版通常会对每天进行检测的次数加以限制, 比如说, 每一天只能检测十次, 而它是不提供历史追溯功能, 也不开放API接口的, 相比之下, 付费版一般是可以无限制地进行检测的, 它还包含了能够定制告警阈值的功能, 同时也支持团队协作方面的运用。
做关于域名的风险方面的评估这件事, 它是对于域名从开始产生到最终结束这个全过程里的管理来说, 是一个打基础的那种环节。建议大家的企业方面要把扫描关于域名的风险这个东西, 放进每一个季度的安全检查计划表里去进行查看。
至于个人用的用户, 最少也要在域名到期之后要进行续费之前这段时间里, 做一次那种完整的检查动作, 好保证大家手里持有的那个域名, 一直是处于比较低的风险的这种状况里面去。
