域名安全防护检测,不是一种单一的操作行为域名安全防护检测, 而是一个围绕6项核心指标来做的逐一排查的过程。因为, 这之中的, 任意一项如果出现了异常情况的话, 都是可能意味着, 这个域名已经是遭受了攻击, 或者是存在着被接管的这样一个风险了。
下面呢, 我们是按照检测优先级的顺序, 来对这每一项的情况进行一个说明的。那么, 要完成全部这6项的检测的话, 大约是需要花费15分钟的时间的。
DNS解析检测（最高优先级）
你登录到域名注册商的后台管理系统里面去, 把现在的情况核对一下, 看看当前的A记录到底对不对, 再看看CNAME记录和MX记录和你们业务实际部署的情况是不是完全一致。重点是要检查一下有没有出现没获得授权的那种NS记录的变更情况, 一定要把这个地方检查清楚。
然后你可以去操作那行代码命令, 也就是dig加上加号还有trace还有你那个域名的地址这一整串东西来验证一下, 同时也得用whois后面接上减号和字母h的那个方式来做个验证, 目的就是为了看看权威类型的DNS服务器有没有被别人改了或者被篡改了。
如果这个解析指向的不是我们自己的IP地址, 那么就必须立即联系注册的商家去锁定相应的域名。
SSL/TLS证书检测
运行openssl s_client -connect yourdomain.com:443 -showcerts这个命令, 以此来验证证书链的完整性怎么样。确认一下颁发机构, 也就是CA到底是不是可信的。还要确认证书没有过期。
最后要看一下证书的CN字段或者是SAN字段里的内容, 跟你的域名是不是完全匹配的。与此同时, 要去检查一下是不是存在那种中间人攻击的特征状况, 这种特征可能包括证书的序列号出现了异常情况, 或者证书的有效期显得异常短, 又或者是在证书链里面发现了一些非预期的、不是本来应该出现的中间CA。
WHOIS与域名管理信息检测
去把域名的WHOIS记录查一查, 然后仔细核对注册人用的邮箱、DNS服务器是什么、还有域名是什么时候注册的, 看看这些东西有没有被篡改的痕迹。
接着要把域名注册商那里的那个标着转移锁定意思的以及标着更新锁定意思的功能给开起来, 这样别人就没法动动手指就恶意地修改管理信息了。另外, 强烈建议你至少要用两个互不相干的独立邮箱来作为联系人的方式。
域名劫持与抢注风险检测
请去检查那一域名的注册状态字段, 这里的状态正常情况下应该显示为"ok"或者"clientHold"这个字样, 如果看到了"suspended"这一状况的话, 那就说明这个域名已经被注册商给暂停了。
还需要盯着那个日期看直到域名到期那一天为止, 并且要把自动续费这个东西给它设置上, 这样做就是为了防止域名过期之后被别人给直接抢注过去。与此同时也要注意一下那些拼写上有点变形的其他域的比如把.com换成了.net那样的是不是被别的人给注册走了, 因为存在这样一种风险那就是钓鱼行为的发生。
网站可用性与安全响应检测
使用像Uptrends或者Pingdom这样的多节点拨测工具, 让大家从不同的地区去访问这个域名, 确认能够返回正常的HTTP 200状态码, 还要检查在响应里面是不是混入了异常的跳转, 比如跳转到一个陌生的域名的302跳转, 或者有异常的脚本注入的情况, 这里重点要去验证网站是否存在被挂马以及注入了暗链这样的情况, 可以用在线查毒的工具来扫描一下页面的源码。
HTTP安全头部检测
可以借助浏览器内部的开发者工具来检查, 也可以通过执行curl -I这个命令来检查, 重点去看返回的响应头里面, 有没有包括那几个东西, 分别是所谓的HSTS也就是Strict-Transport-Security, 还有一个叫做CSP的Content-Security-Policy, 此外还得看X-Frame-Options, 以及X-Content-Type-Options这四项内容。
如果缺失了上述的那头部说明, 那么网站的防护配置就不算完整, 这就容易受到点击劫持攻击和MIME混淆攻击。
推荐检测工具
日常进行相关检测时, 可以使用DNSPod所提供的诊断工具, 也可以访问SSL Labs这个网站（其中域名是sslabs.com）, 同时还能借助BuiltWith以及SecurityTrails这样的平台来开展相关工作。
进行深度检测的时候, 需要查看注册商后台里面的安全日志信息, 需要调用域名Whois历史的查询结果工具（这个工具具体是指的DomainTools）, 还需要去云服务商那边获取数据（比如阿里云以及腾讯云这些平台提供的关于域名的安全监控功能内容）。
注意事项
在检测的时候, 假如发现DNS被篡改了, 第一优先的事情是联系注册商去执行域名锁定, 也就是clientHold这个操作,而不要直接去修改解析内容域名安全防护检测, 这样可以避免攻击者还在持续进行操作。所有的检测操作都建议使用独立的网络环境来弄, 免得在已经受感染的设备上面去做排查。
