域名监控预警系统的核心功能是这样的, 它会对企业名下的所有域名资产进行持续监测, 这种监测是每周七天的全天候运行,也就是说每时每刻都在盯着域名监控预警系统, 这些监测工作主要集中在DNS解析出现异常情况的时候, 还有SSL证书快要过期的时候,或者WHOIS信息发生了变化的时候域名监控预警系统, 以及域名被人恶意抢注的高风险事件发生的时候, 在这些情况刚一冒头的时候, 就会立刻触发报警提醒, 这样的机制能把安全问题处理的反应时间从那种出事了再去修补的事后补救阶段, 一直压缩提前到在出事之前就把它拦住的事件事前拦截阶段。
核心监测维度
这个系统应当把下面的这些重要的方面全部都包含进去。
DNS解析监控是这么一件事, 它会对A、CNAME、MX、TXT这些记录的变化进行实时的检测, 并且能够识别出异常的解析情况, 同时也能发现中间人的劫持这种行为。
SSL证书生命周期就是去跟踪那个证书的有效期到底还有多久, 然后规定好要在它到期之前的30天、14天以及7天的时候, 分三个级别来发出警告通知。
WHOIS注册信息变更: 监测注册人字段变动, 监测注册商字段变动, 监测状态字段中的clientHold变动, 监测状态字段中的serverLock变动。
域名交易与抢注预警, 要盯着那些到期没有继续注册的域名变化情况, 还要观察域名转入和转出的动态, 并且对二级市场的交易情况进行实时监控。
内容合规监控, 这个环节要去检测一下域名所指向的页面里面是不是被注入了恶意的代码, 或者是页面本身有没有被替换成那些专门用来钓鱼的页面。
部署流程
1. 对资产录入进行设置, 把主域、子域和备用域这些所有的域名都接进监控系统去, 然后给配置DNS快照基线做好安排。
2. 这里是规则配置: 按照业务的优先级, 去设定告警的阈值, 还有通知的渠道, 这个渠道包含短信、邮件、Webhook还有企业IM。
3. 进行联调测试时, 需要模拟DNS篡改、证书过期等场景, 来验证告警链路端到端时延是否小于或等于5分钟。
4. 正式上线启动, 全面监控开始运行, 周期性巡检状态进入实际运作环节。
告警规则设置要点
分级机制是这样定义的。具体来说, 当出现域名被锁定这样的严重情况时。或者有解析劫持这种安全隐患时。就划分到了P0这一级。要是证书在十五天之内就要到期了。这种情况就被归类为P1。而如果仅仅是WHOIS记录里的常规信息发生了变更。那就算作是P2。通过这种方式来匹配不同的响应SLA。
降噪策略: 对于CDN切换这样的批量操作进行设置并放入白名单里面, 这样做的目的是为了防止那些误报的情况出现得太频繁, 从而让重要的告警信息不被淹没掉。
多通道冗余指的是, 在面对核心域名的告警情况时, 需要同时去触发起至少两种以上的不同通知渠道。这样做的主要目的是为了能够确保那些关键岗位的人员可以立马就察觉到相关情况。
应急响应机制
当警报被触发的时候, 系统就会自动地去执行以下这些步骤, 先是指把变更操作给冻结起来, 然后是生成事件工单, 接着是把安全值班人员给推送通知过去, 最后一步是记录那个完整的操作日志。如果属于P0级别的事件的话, 是需要要求在一十五分钟之内完成那个人工确认还有处置工作的。
以gname.xin这些域名管理平台作为例子来说的, 咱们可以在那个域名控制台里面直接去关联上监控告警的这个功能, 这样就能够实现从监测再到告警最后是处置的那个全链路的闭环效果, 是不需要再去跨平台进行切换操作的。
关键配置核查清单
需要判断是不是把所有的域名资产都给包括进去了, 这里头还要算上那些虽然不再使用了, 可是还待在注册局那边的域名。
DNS基线快照是否每24小时更新；
需要确认告警通知渠道是否已经完成了去重处理, 并且还进行了优先级排序。
需要判断是否能够接入到SIEM或者SOC平台, 进而实现日志的联动处理。
证书到期告警是否同步通知运维与业务双线负责人。
建议每一个季度都要对监控的规则还有资产的清单做一次复核, 要确保系统能够始终保持与企业里面最新使用的域名布局一致匹配。
