域名风险评估工具的核心价值, 体现在它能在域名注册的那个阶段、收购的那个节点、还有上线之前的那个时间里, 系统地识别出存在潜在的安全问题以及合规风险。人们在选取工具的时候, 应当非常集中注意力去关注三个维度。这三方面分别是检测的覆盖程度、数据的更新是否及时、结果是能不能拿来直接执行操作。
这篇文章的内容, 是从核心检测项目进行出发、工具评判标准怎么定这些内容出发、实际操作流程是怎样的这几个层次上面展开叙述, 从而给出一份完全的关于选型和使用的手册。这份手册的目标是来帮助所有的读者, 在他们所持有的最短的时间内, 完成对他们域名的资产风险进行的全面摸底检查。
一、核心检测项
一个合格的域名风险评估工具, 应该至少覆盖以下这四种检测类型的维度。
1. 关于安全风险这一事项, 我们需要看清楚域名是不是被拿去搞钓鱼了, 或者被用来分发恶意软件, 又或者被拿来群发垃圾邮件。同时, 也要看看这个域名有没有已经被列入那些已知的威胁情报库里面, 有没有被放进行业黑名单里面。
2. 看看域名这一块有没有合规上面的风险, 比方说它是不是会涉及到商标侵权的情况, 或者是使用了行业里面明令禁止的词汇, 再或者它过往有没有被监管机构处罚过的记录。还要检查一册信息写得全不全, 再看一下做了实名认证之后的状态是符合不符合当地法律法规的具体要求。
3. 技术风险在于要看清楚DNS解析是不是出现了异常状态, 或者有没有指向一些看起来可疑的IP地址, 还要核对WHOIS信息的前后内容是否保持了一致性, 必须确认SSL证书是有效的并且没有过期, 最后也要检查系统中是否存在已经发生过IP劫持或者是DNS劫持的相关历史记录。
4. 关于商誉相关的风险情况需要关注, 也就是说要看一看这个域名的历史关联站点上面是否存在负的舆论影响, 另外就是要看一下它是否曾经被主流搜索引擎给处罚降低权重或者是出现了收录不正常的问题。
二、工具评判标准
选型时建议按以下四项标准逐一打分：
关于数据源的广度, 需要评估是否接入了多种来源的威胁情报,这些来源可以包括CNCERT通报、ICANN黑名单以及主流沙箱引擎等。此外大城新闻网, 还要检查数据的更新频率, 要求这个更新速度不能比每24小时更长。
是否向用户提供结构化的报告, 这个结构化的报告中包含风险等级、具体的命中项以及对应证据的链接, 而不是仅仅提供安全或不安全这样笼统的结论。
关于批量与集成能力这一事项, 大家需要弄清楚具体是不是能够支持那种批量性的域名扫描操作, 同时还需要看看是否具备API接口对接的功能, 以及是否能设置和运行那些定时的任务计划, 以此来确保可以完全满足企业进行资产周期性巡检时所提出的各项实际需求。
这所谓的合规可追溯性, 指的是检测结果有没有对应得起来非常清楚的法规条文或者行业标准的具体编号。这一点, 主要是为了便于后续去做那些法律相关的处置工作, 同时也是为了让审计过程能够留下可以查证的相关痕迹。
三、实操的流程是这样的, 按照以下的步骤去做, 三步就可以完成了。
第一步是进行资产盘点,导出需要评估的域名清单域名风险评估工具, 该清单包含主域名和子域名, 将相关内容统一整理为文本列表,并标注业务归属与上线时间。
先把这份清单给选好的那个工具导进去域名风险评估工具, 接着去执行那种什么都是能检测的超级扫描操作, 然后对那些被评为高风险级别的还有中风险级别的项要做个重点标记的动作, 并且顺便截图保存一下留作记录。
进行第三步, 那就是要处理完闭环, 去针对那些被命中到的项目, 按照风险级别的划分来制定处置的方案, 如果是高风险的项目就立刻把它下线或者换成其他的域名, 对于中风险的项目就去修复DNS或者更新证书, 要是低风险的项目就只是记录下来并且观察它, 所有的这些处置的动作都必须要把它记录在案。
拿 gname.xin 来说吧。它的域名风险检测接口。能够按照上面说的三个步骤来做工作。先进行批量扫描。然后输出结构化的报告。这样就形成了一个完整的工作闭环。这个能力。可以让它成为企业用来做日常域名资产巡检时的基础参照工具。
域名风险评估并不是一件只做一次的事情。我们给出的建议是把工具巡检这项工作放回到每一季度的安全例行工作当中去, 这样能够实现对资产风险状态的持续看和持续控, 进而确保风险这东西始终是处在可以被控制的那些范围里面的。
