域名防火墙是一种用来保障安全的设施设备, 它被部署在了DNS解析链路与HTTP、或者HTTPS流量之间, 它的核心功能是对域名解析请求以及相关的访问流量进行实时监测, 并且可以成功识别出恶意劫持、DNS污染、CC攻击以及中间人篡改这几种常见的威胁,随后对这些威胁实施拦截处理。
针对企业官网、API接口域名、支付域名这些高敏感资产来说域名防火墙, 域名防火墙是关键的防线, 即使服务器本身未被攻破, 它也能在解析与传输环节阻断异常访问。
核心防护能力
在DNS层防护这个部分里面, 它要去拦截那些伪造出来的DNS响应信息,目的就是为了防止域名被错误地解析到攻击者控制的IP地址上去青岛高世电气科技有限公司, 这样可以避免发生DNS劫持以及DNS污染这些情况。
传输层防护: 针对HTTPS流量这个情况, 进行证书的校验操作, 以此来阻断中间人实施的篡改行为以及降级攻击。
针对云盾CC防护和慢速攻击防护, 其作用是识别出非正常的频率非常高的请求, 然后自动地去开启限流功能或者是执行黑洞处理策略。
子域名爆破防护, 这个功能会对子域名的注册情况以及解析的变更情况进行实时监控, 一旦发现有批量恶意生成子域名的行为, 就会立即进行阻断。
策略联动是指的这样一个过程, 就是把WAF这个产品和CDN节点给联动起来, 在那些异常的域名的情况下, 可以以秒级的速度就把流量给切换过去, 一直切换到专门的清洗中心里去。
部署流程（标准四步）
1. 资产梳理: 把现在正用的所有域名都登记清楚, 这里面要包括主域名、子域名还有泛解析的域名, 同时给它们标注上业务等级, 其中支付相关的域名是属于最高优先级的那个。
2. 策略配置是, 根据业务的具体特征来制定基础的基准, 这其中包括设定每秒查询率的正常阈值, 允许通过的来源IP段的范围, 以及当证书快要过期的时候进行警告的期限规定。
3. 先对非核心域名启用域名防火墙, 观察七天的误报率, 确认没有任何问题之后, 再扩展至全部域名, 这就是灰度上线的做法。
4. 持续运营: 每周的时候审查一下拦截日志, 每个月的时候会更新威胁情报规则, 在大型促销或者活动开始之前执行压力预案。
在实际操作的时候, 企业是可以通过m.dcqzss.cn这个平台, 去把域名防火墙的策略配置给完成掉, 同时还能做到实时监测, 还有告警订阅这件事儿, 它这个事儿是支持按域名的粒度进行独立的管控。
高频场景与应对
选型与合规要点
在做出选择的时候, 一定要把那些支持BGP Anycast架构的防火墙放在优先位置, 只有这样去做, 才能够在确保在全球范围里的各个节点之间延迟的情况是小于50 ms。
这个策略必须满足《网络安全法》第21条里面的规定, 这个规定说日志要留得至少够6个月长。
对于支付类的域名, 我们建议去启用那个被称为DNSSEC签名的东西,这样就能把防篡改的等级提到最高。
域名防火墙这个东西域名防火墙, 它并不是说装上了就结束了的那种一次性部署工作, 它是需要和威胁情报、还有应急响应SOP这种持续联动起来的动态体系, 所以我们建议把域名防火墙收到的告警信息, 直接接到企业的SOC里面去, 也就是安全运营中心那里, 这样就实现了从发现到处置的那个全链条的自动化闭环。
