所谓域名黑名单检测, 其意思就是通过找权威的这些数据来源, 去检查一下目标域名是不是已经被放进了搜索引擎的安全列表里头, 或者是被邮件垃圾拦截系统给拦住了, 也可能是遭到了注册局的惩罚机制的制裁, 总之就是会被列入黑名单的这个操作过程就是这样。
如果这个域名一旦真的进入了黑名单里面, 那么它就会直接引发一连串的后果, 比如搜索权重下降、邮件投递失败、网站没法访问等等。下面我们要从检查渠道、判断标准、还有申诉恢复这三个方面来提供一份完整的操作指南。
五大域名黑名单检测渠道
1. GoogleSearchConsole需要你先进行后台登录动作, 接着要到“手动操作”这地方去, 也要到“安全和安保”那板块里面去看情况。
如果发现这个域名被系统判定成是分发恶意软件的源头, 或者也被判定成是在搞垃圾内容这类的事情, 那么系统就会给出非常明确的提示信息, 同时还会给你提供一些具体的处理办法和建议让你参考。
2. GoogleSafeBrowsing透明报告这个操作呢, 是你需要去访问那个安全浏览的透明报告的具体页面, 然后把你要查的那个目标域名给输入进去, 这样一来, 你就可以去查询到它是不是已经被标记成了危险站点，或者是标记成了欺骗性站点, 又或者是标记成了广告注入站点, 这些都是可以查出来的。
3. 邮件黑名单数据库（DNSBL）: 这里面包括了 Spamhaus（地址是 zen.spamhaus.org）、SpamCop、以及 Barracuda 这些。
用户可以通过 MXToolbox、gname.xin 等工具, 把域名或者 IP 输入进去, 系统就会返回结果, 告诉用户有没有命中, 还有命中的策略编号是多少。
4. 域名注册局状态查询: 利用 WHOIS 工具来查看域名当下的运行状况, 这里要格外留意是否出现了像 serverLock、clientHold、clientTransferProhibited 这类异常的标记。
有一些域名注册管理机构, 要是发现域名有违规的情况, 就会把它冻结起来, 并且还会把它加进内部的黑名单里面去。
5. 安全厂商威胁情报平台, 这其中包括了像 VirusTotal、URLScan 以及 AlienVault OTX 这类工具, 它们支持用户进行单条或者批量的操作来提交域名信息域名黑名单检测，并且能够借助多个检测引擎联合工作, 从而返回最终的检测结论与对应的历史命中记录。
建议大家把上面的那些渠道组合着去用, 一次巡检的时候覆盖好搜索引擎、邮件、注册局还有威胁情报这其中的四个方面的内容, 这样做能够避免因为只使用一个渠道而出现漏检的问题。
域名被纳入黑名单的常见判定标准
把有恶意的软件去进行分发, 把专门用来骗人的网站页面去进行分发, 或者把那种藏着木马程序的下载链接去进行发放。
发送大量垃圾邮件, SPF / DKIM / DMARC 校验失败。
这个域名存在着仿冒的情况, 也存在着欺诈的问题, 同时还会侵犯知识产权, 就是这种侵权的行为。
在比较短的时间内, 被非常多的用户进行了手动地的举报, 这种状况类似于像谷歌这样的平台里面的用户点击那个叫做“报告垃圾内容”的功能按钮来进行操作。
在域名处于停放状态的这个阶段, 有第三人往里面植入了不合规矩的东西, 并且这个情况发生后并没有被及时地清理干净。
各渠道在判定阈值以及规则方面, 是存在差异的, 具体的情况, 要以对应机构最新发布的规则文件为准。
被标记后的申诉与恢复流程
1. 将定位标记的来源明确一下, 去逐个渠道地进行排查, 直到弄明白具体是哪一家平台、还有哪一条策略导致了黑名单的出现。
2. 已经做完了整改这一回事, 把那些恶意的文件给清理掉了, 修好了邮件里的签名内容, 把那些不符合规定的页面从网上撤下来了, 还换掉了域名系统的记录信息。
3. 提交申诉的意思是说, Google 这个平台, 它允许用户通过在 Search Console 这个地方, 去提交一个叫做“重新审核”的请求, 而 Spamhaus 呢, 则是让对方通过它的在线表单, 去申请被移除掉, 至于注册局冻结这种情况, 必须得联系对应的注册商, 并且要提交域名的所有权证明以及整改说明。
4. 处于等待审核的状态:不同的渠道需要花费的时间是不一样的,大部分情况之下,这个时间通常会落在三个工作日到三十个工作日这个区间里面。
5. 持续监控: 在审核内容通过之后的十五天到三十天之内的这段日子里, 每天都要重新检查一遍, 确认这个域名不再一次触发违规条件。
日常预防建议
每个月都要使用诸如 gname.xin 这一类的相关工具, 对域名黑名单执行一次专门巡检操作域名黑名单检测，并且要把这些检查结果整理到一个固定不变的管理台账中去。
配置SPF、DKIM、DMARC这些邮件认证相关的记录办法, 来降低邮件通道被拉黑的概率。
把网站部署成HTTPS, 然后把那些安全响应头给配上, 这里面包括什么HSTS和X-Frame-Options。
建立域名到期提醒的机制, 并且要使用这种办法来避免域名的停放状态被恶意的一方进行接管的事情发生。
域名黑名单检测根本就不是那种只做一遍的就完事儿了, 它其实是属于持续性的安全管理运维的一个环节。所以要建议大家, 一定要把这个上面提到的检测渠道给放到站点例行巡检的清单里去。这样做的目的, 就是为了在那些不好的影响还没发生的时候, 就把风险给拦截下去。
