域名安全防护检测的核心目标, 就是为了确认域名是否遭受DNS劫持、被恶意篡改或存在配置漏洞这种问题。对于企业IT管理员和个人站长来说, 建议每季度至少执行一次完整检测。特别是在发生重大变更之后, 比如在更换DNS服务商、SSL证书到期、或者账号密码重置的情况下, 必须立即进行检测。
你可以按以下五个步骤的顺序进行办理, 这五个步骤是按优先级排好的, 把整个流程全部做一遍大约需要花费二十分钟到三十分钟的时间。
第一步：NS记录一致性核查
先进入域名注册商的网站后台, 把现在存在的名字服务器记录全都看清楚并且记下来。接着, 借助工具进行网络诊断查找真实的名字服务器信息, 确认两者是完全相同的。要是发现名字服务器被改成了没有权限的服务器地址, 那就证明这个域名可能被控制了, 必须马上停止解析工作并且去联系域名供应商。
第二步：DNS解析链路验证
对域名里面涉及到的所有A记录还有所有的CNAME记录, 一个一个地去验证它们实际解析出来的结果是什么, 重点的检查工作如下。
需要搞清楚这个IP地址到底是属于咱们自己的单位, 还是说它是被我们授权的那个CDN节点的一部分。
是否存在未授权的CNAME指向外部域名
MX记录有没有可能被篡改呢, 因为这事关邮件的安全问题。
您能够在gname.xin平台的域名安全检测工具这里, 通过点击单一按钮的方法来, 一次性地、完整地做完全链路的扫描操作, 然后让系统自动地去标记那些出现异常的解析项目, 并且最终生成出一份专门的报告文件给用户。
第三步：注册局锁定状态确认
我们需要去检查一下那个域名的ClientLock的状态, 以及ServerLock的状态。在正常经营的过程中, 域名应该要确保至少
这样做是为了防止别人恶意地把域名转移到别的注册商那里去。要是锁定的状态出了什么异常, 比如说被关闭或者被拿掉了, 那一定要赶紧联系注册商。要让注册商来核实一下都是谁进行的操作。
第四步：证书与HTTPS配置审查
确认SSL证书四项指标：
有效期的相关事, 得在到期之前三十天的这个时间里, 把续期流程给启动起来。
证书链是不是完整的, 主要看中间那个部分的证书有没有被漏掉。
HSTS（HTTP Strict Transport Security）���否已配置
请确认一下那个证书所绑定的域名, 它是不是和你现在正在实际访问的那个域名, 完全一样。
第五步：Whois信息与账号安全审计
请你去核查一下在域名Whois里面登记的那个管理用的电子邮箱, 还有那个联系电话, 是否仍然由你本人在使用。
另外, 还要检查一下你的注册商账号是不是已经打开了两步验证这个功能, 也就是2FA, 以及密码是不是已经超过了90天还没有进行更换。那些很久没有去维护过的账号, 属于域名被擅自转移的高风险入口。
常见高危场景速查
检测频率建议
每个月都要动手做一下第一步和第二步的那些快速排查动作, 每一个季度呢就要把前面的那五整个步骤全都完整走一遍, 在咱们那个SSL证书马上要到期的时候, 也就是到期前头连着七天这段时间内, 一定要去专门做第四步的那个确认操作, 只要这个账号密码一被改完了, 那就马上去把这个第五步给执行掉。
在完成检测之后域名安全防护检测，倘若发现了任何异常情况, 需要立即进行截图, 以此保留相关证据, 与此同时要联系域名注册商以及DNS服务商, 从而开展协同处置工作, 借此避免损失进一步扩大。
