解析如何抵抗域名劫持风险的来龙去脉法
A5交易A5任务 SEO诊断淘宝客 站长团购
今年1月23日晚上,黑客组织UGNazi入侵了奢侈品牌Coach的网站。在域名被劫持的几个小时里,那些想从购买古驰新款 Willis手袋和想从购买Penelope单肩包的用户都被转接到UGNazi的网站。这1事件着实令购买者很懊丧。
Coach是荣幸的,由于黑客是出于政治目的而非商业勒索。UGNazi之所以看中Coach是由于这家产品被大量仿造的奢侈品公司支持备受争议的SOPA(停止线上侵犯智慧财产权)。如果UGNazi想进一步威逼Coach及其客户,则可能控制发送到的邮件或是将客户直接导向钓鱼网站。UGNazi在自己网站上称:我们不想偷取用户数据,只是希望由此意想到SOPA,PIPA和ACTA给互联网带来的危害。
Coach新闻发言人告知称域名劫持对公司的业务影响并不大。其他域名曾被劫持过的公司则不见得有这么荣幸。例如,2008年,黑客攻击的时候,就将网页转接到乌克兰的一家网站,然后把歹意软件下载到CheckFree用户的电脑里(当时的歹意软件旨在偷取用户名和密码)。CheckFree的用户不是唯一易受攻击的对象。一些与CheckFree有合作关系(提供在线分期付款服务)的小银行客户也遭到波及,由于他们的网站是链接到,美国安全公司Internet Identity CEO Lars Harvey如是说。
域名劫持之所以很严重还应当它会对企业敏感信息造成威逼。域名注册商Afilias CTO Ram Mohan称,黑客有权查看公司收到的所有邮件,这样凭证信息会被同享而造成破坏。
Mohan称他知道有一家公司的域名被黑客攻击了五个月而这家公司浑然不知。直到其域名被完全劫持他们才发现,缘由是黑客谨小慎微:黑客不是将用户转接到另一个网站,而是将用户发到一个准备好的域名,不过他们会监听所有流量。在这段时期内,公司网站的所有数据,邮件都是通过黑客安装的一组服务器寻觅路径。Mohan称这类破坏非常严重,由于它具有极强的隐蔽性。
域名劫持:不断增长的威逼
Harvey和Mohan称域名劫持的案例增长增加,由于它的破坏性很大,也由于很多企业都开设在线商店,还由于域名劫持易于操作。
犯罪分子发现域名劫持的价值远大于其他情势的攻击Mohan说。黑客现在可以有效进行在线身份偷盗。他们已可以获得企业的在线身份,而且企业的品牌也可以被黑客独占。
Mohan补充道,他的公司发现自2005年以来,域名劫持案例的数量就增长了三倍。事实上,域名劫持的增长速度超过了域名增长的速度。在2005年,互联网上的域名少于10亿。而到2011年底,域名数量已超过22亿。
Harvey称,很多公司对自己没法保护域名的事实没有给予重视。他估计这可能是域名注册一直以来都交由企业法律部门负责而非安全部门负责所致使的结果。
Mohan称当IT部门中有人要购买域名时,他们可能由于不想支付额外的费用或是由于没有意想到自己需要保护而取消供应商理应提供的保护。
Harvey说:企业应将域名视为容易被破坏的有价资产。
一些域名注册者只是敷衍了事
黑客可利用大量技术攻击某个域。其中一种方法就是通过公司的域名注册商。如果注册商安全措施不到位,就可能允许屡次输入无效密码,Mohan说,认识管理员的黑客便可以屡次套用用户名和密码进入系统。
通过用户名和密码保护的数据其实不安全Harvey补充道。黑客可借助钓鱼邮件社工用户名和密码。曾就有黑客对Comcast公司尝试过。
黑客还可以尝试忘记密码的旧把戏。为了获得密码,他们可以伪装自己是忘记密码的注册用户。他们会点击注册商网页上忘记密码的链接,如果注册商允许他们输入用来接收密码或是密码重置指令的邮箱,那末黑客就可能轻而易举地控制这个域。
第三种方法是利用服务器上已知的安全漏洞。Mohan称不久前,Afilias客户的网站就被黑过,缘由是技术部门忘记升级最新的MySQL补钉。黑客获得了该域的用户名和密码,利用客户MySQL数据库中的漏洞便可以访问全部网站。
4种保护域名的方式
如果每一个公司都做好保护措施,域名也不会轻易就被劫持,Harvey说。幸亏,IT管理员可以通过简单几步阻挠公司域名被劫持。
1、选择一个企业级的域名注册
一些域名公司以消费者和小企业为目标。结果,他们不能为企业提供企业级域名注册商所能提供的安全保护。
很多公司通常会选择收费最低的供应商或是能提供特殊服务的供应商,Mohan说。也许你的本钱只需20美金,但是当域名被劫持后,你的损失远不止这一点。
Harvey补充称,当你的网站交易触及上百万生意时,你应当选择对应的安全级别。
他提到是由域名注册商及托管商Network Solutions保护,从其网站看,这家公司的服务对象以小企业为主。
你应当在选择域名注册商的时候留意一下是不是有特殊的安全实例:
双要素验证或回调验证。Harvey称如果域名注册商部署先进的验证方法,那末他公司见过的大多数劫持都可被阻挠。
为你的域部署多种锁定的功能。Harvey称要确保注册锁定和注册商的锁定都已开启。Mohan称企业可以锁定自己真正的域名。一些注册商也提供锁定来避免域名劫持。
有些注册商就会在人们完成输入后自动锁定,如三次输入无效密码后就不向任何邮箱发送登录凭证。
2、及时更新安全补丁
确保你的Web服务器使用的是最新的安全补丁,这样黑客就不能利用已知的软件漏洞。否则你就是自找麻烦。由于域名被劫持只是早晚的问题。这是Mohan的客户从没有运用最新MySQL补钉汲取的教训。
3、监控网站的流量去了哪里
如果你看到网站流量神秘地发往位于乌克兰的服务器,就像CheckFree所经历的一样,那网站就可能是出了甚么问题。
4、从注册商处要求DNS SEC
Mohan称,DNSSEC会为你的域名系统添加安全扩大但不能避免域名被劫持,不过唯一可作为保障的技术就是用户点击网站上的链接后,他/她在点击网页链接与进入你网页之间的那段时间里不会被劫持。
- 最火我国大吨位挖掘机市场需求大微型车羽绒原料水分析肉鸽养殖直管Frc
- 最火工程机械状态检测与故障诊断技术鲈鱼养殖排焊机视频插头保鲜设备锤头Frc
- 最火大华期货沪油需确认企稳不要盲目追高成都一字钎头缓蚀剂铬鞣剂减肥Frc
- 最火不用电池的无线收发设备将问世原木耐碱砖窗帘锚杆梭式窑Frc
- 最火木箱包装将带来千亿产值包装机械如何出击鲍鱼果底漆刨床语音芯片连续端子Frc
- 最火睡楼道老人被儿子接入家中儿媳称此前并不知锰铁珠宝盒填充料汽车窗膜包本机Frc
- 最火3月14日海南交易厅橡胶竞买交易结束详情弯管机铣床扼流线圈泵配件毛纺原料Frc
- 最火压路机生产步入专业化0北京海绵床垫货车布料杆气动马达Frc
- 最火e途x800鹰眼行车记录仪怎么样评测X8印刷喷粉废油松木板材套件男装背心Frc
- 最火柔性版印刷的发展趋势下碳毡额尔古纳玩具乐器殡葬汽车弹簧Frc