在高权重域名防范被劫持这件事上, 它的核心逻辑在于。这里所说的逻辑。并不是依靠单独的一项操作就能实现效果。而是需要由注册层的锁定措施和DNS层的加固动作以及持续不断的监控与响应这一整套流程协同工作才能发挥作用。
我们可以把这整个过程归纳为三道防线的组合。以下所提到的五个步骤是按照它们的优先级高低来依次执行的。如果按照这个顺序去落实操作。那么就可以覆盖掉绝大多数可能会出现的域名被劫持情况还有恶意转移这类场景问题。
开启注册商安全锁
你先要登录域名注册商那边的控制台如何保护高权重域名不被劫持，然后呢就进入那个域名的管理选项里面的安全设置部分, 接下来再把转移锁还有更新锁给开启起来, 一旦你把这些锁都打开了之后啊, 那就意味着在锁定状态下面, 要是有一些没有被证实过的第三方的关于转移的请求啦或者是想要修改信息的请求啦亦或者是要删除这个域名的请求呐都会被系统直接给拒绝掉的, 这确实是一个成本特别低同时也能够看到效果最快的第一道防线。
绑定专用安全邮箱与手机
把域名 WHOIS 里面填的那个联系邮箱, 换成一个专门给团队用的安全管理邮箱, 别再用个人的日常邮箱了, 再验证一下手机绑定的企业安全号码。
ICANN 还有那些主流的注册商都发过安全通告说, 百分之七十以上的域名被劫持这件事儿, 就是因为黑客搞社会工程学, 骗过了客服如何保护高权重域名不被劫持，然后拿到了账号的控制权, 那个用专用的邮箱再加上手机的双重身份验证的方法, 可以把攻击者想要发动攻击时面对的门槛大大提高的。
DNS解析加固
我们要在注册商那边开启DNSSEC, 也就是域名系统安全扩展这个东西, 然后给DNS的应答结果加上数字签名, 这样子就可以防止有中间人动手脚去篡改解析出来的结果了。
你需要对NS记录进行清理操作, 具体方法是只保留当前正在实际使用的DNS服务器地址, 同时要删掉那些由历史遗留下来的冗余条目, 这一系列动作的目的就是为了缩小攻击面。
需要在DNS服务商的平台后台完成“管理IP白名单”这项设置工作, 其目的就是把对解析记录进行增加删除修改这类操作的具体权限, 限定在指定的运维网络段内部去运行, 从而彻底禁止使用任意一个没有资格的IP地址来发起关于变更内容的申请或者动作。
自动续费与多注册商备份
建议你去把域名自动续费的那个功能给它打开, 然后还得把企业支付账户给绑定上去。这样做的意思就是防止等到期的时候没续上, 结果被其他人给抢了注过去, 接着又恶意地转手卖掉了。同时的话还是建议你可以用不同的注册商账号来交叉持有域名的管理信息, 比如说以A商家作为主要的, 以B商家作为备份的备用。
这么做的主要原因在于一旦主业的注册商那里突然发生了安全问题或者是业务中断的情况出现的话, 你就可以在最短的时间长度之内完成对域名的接管操作, 进而彻底杜绝那些因为单点存在故障而导致的各种问题现象发生。
持续监控与应急响应
接入像DomainTools这样的WHOIS变更监控服务, 或者接入Verisign WHOIS History, 一旦注册信息有了任何变动, 就会立即推送告警通知。
每周要对DNS解析记录, 这其中包括A记录、MX记录以及CNAME记录等进行巡检工作。并且需要核对一下这些记录里面, 是否有出现那些没有得到授权的修改情况。
当我们在注册商的后台那里, 去提前把紧急联系人的信息设定好, 然后再把冻结的流程也预先安排妥当的时候, 如果账号被盗了, 那么在三十分钟之内, 我们就能完成对域名的冻结操作, 并且同时也能够阻断转移这个行为。
每季度都要组织响应演练, 以此来保证团队成员对操作路径可以熟悉。
复核提醒: 上面的全部设定要每半年的时间去检查一遍；要是团队里的位置变了, 那就必须在一小时乘以二的时段之内, 把管理邮箱地址、手机号码还有紧急联系人的相关资料弄成最新状态。
