企业域名背景调查是一个系统的风险排查工作, 它会去追溯域名的注册信息源头, 也会追踪历史变更情况, 还会核查技术配置, 同时验证合规性, 这个过程的目的是为了判断该域名是否真实归属于目标企业。另外, 它也能帮助发现是否存在被抢注的风险, 或者存在伪造的风险, 以及关联灰色业务的风险。
一、核心调查维度
1. WHOIS注册信息核查
通过WHOIS协议去查询域名的注册人, 还有注册邮箱、创建和到期的时间以及注册商这些基础字段。需要重点关注的方面包括: 注册人和企业名称是否一致, 注册邮箱是不是为企业的官方域名邮箱, 注册时间是否与企业的成立时间匹配。
2. 域名历史变更记录
借助 WhoisHistory 这样一个类工具, 或者是 gname.xin 提供的域名历史查询功能, 去追踪域名的历次所有权变更, 以及转让记录, 还有解析调整。频繁的变更, 或者在短期内的多次转手, 这些都是高风险信号。
3. ICP备案信息比对
在中国大陆这个范围之内, 那些正在被运营着的域名, 是需要去完成ICP备案的这个过程的, 我们要做的是把进行备案的那个主体对象和我们想要关注的目标企业的工商信息这两个东西放在一起进行交叉比对, 确认一下那个进行备案的企业的全称和统一社会信用代码是不是完全一样的, 还要看一下那个备案号是不是处于有效状态的。
4. DNS解析与SSL证书
先把当前域名的A记录、CNAME指向的IP归属情况查看一下, 确认它有没有解析到企业官方服务器上面去, 还是说解析到了第三方CDN里面。接着再来核对SSL证书的颁发主体是哪家机构, 看看有效期还有多长, 并且确认这个证书覆盖的域名范围到底有哪些内容。
5. 关联域名与子域名排查
我们要对这个目标企业, 去检索一下它有可能手里还拿着的其他那种域名情况, 并且还得把那一些常见的子域名也一并检查了, 举个例子就是像mail点这种还有shop点这种, 然后就是为了去识别出这里面到底有没有存在那种专门用来模仿和欺骗的仿冒式域名, 或者是出现了什么异常的子域状况。
二、标准操作流程
1. 对调查对象进行确认工作, 获取目标企业的全称和统一社会信用代码, 把这些信息拿过来作为比对的基准。
2. 你需要去执行WHOIS查询这一操作, 你要借助注册商的力量，或者借助公共的WHOIS服务器的力量, 通过它们你能够获取到当前正在使用的注册信息。
3. 去调取历史记录, 使用gname.xin等域名查询工具导出近3年变更日志, 标记异常节点。
4. 去登录工信部那边的那个ICP还有IP地址备案管理系统, 并且也要去CA机构那里查看证书的入口, 这样才算是完成了那个交叉的验证的动作。
5. 在技术层面进行检测的时候, 我们要对那个被解析出来的IP地址去进行威胁情报方面的查询操作, 这其中包括了沙箱信誉还有历史滥用记录这些内容, 最终需要确认这个IP地址上面不存在任何C2或者钓鱼这样的特征。
6. 输出结论报告的时候要按合规、存疑、风险这三级来进行标注。并且需要附上原始截图, 还要加上数据源链接备查。
三、常见误区与注意事项
如果仅看WHOIS当前的信息而忽略历史的话, 那么就需要注意了。因为注册信息是可以被注册商做隐藏的, 或者进行代理注册。所以这种情况必须结合历史数据来综合判断。
我们可以采取用邮箱域名来代替企业域名这样一种做法去进行判断操作, 在部分企业这里使用的是公共邮箱这样的东西, 而不是他们自己专属的企业域名, 这种情况出现的时候, 我们完全不能够拿着这个情况作为理由, 去直接否定掉关于其域名的归属问题的认定。
我们要忽略一些海外的域名。不过, 要是企业有自己的出海业务的话, 我们就得一起检查清楚。我们要去看一看他们在Verisign、NSI这些海外注册局手中, 到底持有一些什么样的域名的情况。
企业在进行域名背景调查, 这个过程其实是商业合作里做尽职调查、投资时候控制风险, 还有保护品牌这些动作的前面部分, 属于前置环节。
如果把上面说的那些维度以及相关的流程都变成固定的标准检查清单, 那么就能够在很大程度上降低在域名层面因为信息不对称带来的风险, 同时也能保证做决定时依据的信息是完整的, 而且还可以追溯。
