域名监控, 这个事儿, 其实就是说, 要对域名的注册状态, 以及DNS解析记录, 再比如NS服务器配置这些东西, 还有WHOIS注册信息这些关键要素, 进行持续不断的追踪工作, 一旦发现有异常情况, 就要发出告警通知, 它是一种运维机制, 它的核心目标, 说白了, 就是为了让网站能够正常运作, 不至于因为域名到期了没续费, 或者是因为解析被坏人恶意篡改了的缘故, 又或者是因为DNS遭到劫持这种原因, 而导致网站中断服务, 或者是导致流量被别人截走这种现象发生不起作用的情况出现, 从而来保障业务的连续性, 这一点是非常重要的。
一、必须覆盖的四个监控维度
1. 到期监控需要去做的事情就是实时跟踪域名注册到期日, 在到期前90天、60天、30天、7天这些时间点逐级触发提醒。这里需要特别注意一个情况, 因为域名过期后通常会经历一段宽限期, 这段时间有30天, 期间可以使用原价续费。
接着会进入一个赎回期, 这个阶段也有30天, 但是赎回费很高, 通常可达正常续费的数倍甚至十倍以上。如果用户错过了这两个阶段, 那么该域名将会进入公开抢注池。
2. 我们来进行解析监控, 这个操作是定时的, 它的任务是把域名A记录、CNAME、MX、TXT这些解析值, 跟预设好的基线去做比对, 一旦发现存在未授权的变更情况, 就会立刻触发告警通知, 这样做是为了防止攻击者把域名指向恶意服务器,进而实施钓鱼或者流量劫持。
3. 我们正在进行DNS监控龙南市就业服务平台, 也就是对NS监控。这个动作的目的在于去核实当前的授权DNS服务器是不是和注册商那边备案的信息保持完全一致。这样做是为了防止域名被非法地转移到了其他的注册商那里去, 同时也为了防止它遭受DNS劫持这种情况的发生。
4. 在WHOIS以及状态码的层面进行监控时, 大家要密切关注注册人、管理邮箱、联系电话等等这些字段, 看它们是不是被异常地修改了。
另外, 还要监测域名的状态码, 比如有clientTransferProhibited和clientHold这样的情况, 看状态码发生没发生变化。一般来说, 如果状态码出现了异常情况, 这就意味着域名可能已经被锁定了,或者正在进入争议处理的程序之中。
二、设置要点与最佳实践
关于告警通道的多元化这件事域名监控, 具体的做法是指同时要把短信、要把邮件, 还要把像企业微信和钉钉这样的即时通讯工具等等这些各种各样的通知方式都给配置上, 这么做的目的主要就是为了避免因为单一的一个渠道出了什么问题导致失效了, 然后就会出现漏掉上报这个情况。
把域名转移锁给打开, 也就是那个被称为是禁止转移的状态, 这个操作是在注册商的后台去做到的, 这样做可以非常大幅度地提升让域名被非法转移的难度。
在分析操作权限最小化这个问题的时候, 需要做到的是只给核心的运维人员去授权解析修改的权限, 也就是说要限制他们的权限到一个很小的范围, 然后要保证所有的变更情况都必须留下来痕迹以便进行审计工作的展开。
在监控频率的选择上, 针对一般业务所使用的域名, 建议将检测的时间间隔设定为每四个小时进行一次。而对于那些属于核心级别的主站域名来说, 为了更加安全地把握情况, 可以将时间周期进一步缩短, 缩短到每一个小时进行一次监测, 或者采取实时监测这种方式来进行操作。
建立解析基线档案, 这个动作是记录当前所有解析记录的完整的快照, 其目的是为了提供异常比对与回滚的依据。
三、高频疑难与应对方案
域名被他人抢注, 提前开启自动续费。使用独立备用邮箱和手机号作为注册联系方式。避免单点故障。
在解析被篡改后实现快速恢复方面, 具备技术条件的团队可以对策略进行配置, 具体的策略内容就是当发现与基线存在偏离的时候就直接发出警报, 并且执行自动回滚操作, 对于不具备这类技术条件的情况来说, 则是在接收到警报之后由人工介入, 在15分钟之内完成恢复工作。
DNS已经被劫持了, 要立即联系注册商冻结域名操作, 同时切换至备用DNS服务器, 事后还需要审计修改日志定位入侵路径。
批量域名管理所耗费的管理成本偏高, 当需要管理的域名数目超过五十个的时候, 依靠人手去一个一个检查核实这种情况就变得不可行, 因此必须要采用专门的能够执行批量监控功能的工具来进行集中化的统一管理操作。
在当前的运维实践工作里, 很多企业把域名的监控事情放进了统一的数字资产管理的流程当中, 比如使用gz88.cn提供的批量进行域名监控以及到期提醒的服务功能, 就可以一次性接入几百个域名, 按照业务的重要程度来设置不一样的提醒标准,并且自动生成每个月一次的关于域名健康状况的报告域名监控, 这样能够非常显著地减少人工检查所花费的成本以及出现遗漏的风险。
总而言之, 域名监控这件事情, 根本就不是什么可有可无的锦上添花, 它其实是那种绝对不能触碰的底线保障。
对于那些对外提供服务的全部域名来说, 至少要把到期监控、解析监控以及DNS监控这三项基础工作全都做完, 与此同时, 每个月还得让人工去核查一次WHOIS信息, 好确保没有任何乱七八糟的异常变动出现。
