Як захистити домен від незаконного захоплення?
Автор: Редакція Domeny.ForSale Опубліковано Оновлено
Коротко: Найважливіші заходи захисту домену — надійна автентифікація облікового запису в реєстратора, блокування перенесення, контроль даних реєстранта й гарантоване поновлення. Потрібно також захищати електронну скриньку, яку використовують для відновлення доступу, адже її захоплення може відкрити шлях до зміни налаштувань домену. У компанії доступ має належати організації, а не лише працівнику чи зовнішній агенції.
Що саме можуть захопити
Домен обслуговує реєстратор — компанія, яка дає змогу зареєструвати ім’я, поновити його та змінити конфігурацію. Захоплення домену може означати несанкціоноване перенесення до іншого оператора, зміну реєстранта або підміну серверів DNS, що спрямовують користувачів на сайт і пошту зловмисника.
Не кожна проблема із сайтом означає захоплення домену. Збій хостингу, некоректний сертифікат або зараження системи CMS можуть вивести сайт із ладу, хоча дані домену залишаться незмінними. Тому під час діагностики слід окремо перевірити обліковий запис у реєстратора, конфігурацію DNS, хостинг і пошту.
Захистіть обліковий запис у реєстратора та пов’язану електронну пошту
Увімкніть багатофакторну автентифікацію, яку позначають як MFA або 2FA. Крім пароля, вона потребує додаткового підтвердження, наприклад коду із застосунку для автентифікації або апаратного ключа. Якщо реєстратор пропонує кілька методів, застосунок або апаратний ключ зазвичай безпечніші за код SMS, хоча будь-який додатковий рівень захисту кращий за сам пароль.
Установіть унікальний довгий пароль і зберігайте його в менеджері паролів. Не використовуйте один пароль для реєстратора, хостингу та пошти. Збережіть резервні коди MFA в місці, недоступному із захищуваного облікового запису.
Особливого захисту потребує адреса електронної пошти для скидання пароля. Вона повинна мати власну MFA й актуальні способи відновлення доступу. Бажано, щоб ця скринька не працювала виключно в домені, який ви захищаєте: збій його DNS міг би ускладнити відновлення облікового запису.
Приклад: компанія використовує адресу admin (at) firma.pl для відновлення доступу до домену firma.pl. Після помилкової зміни DNS пошта перестає працювати, тому листи для відновлення доступу не надходять. Незалежна адміністративна адреса, належно захищена й контрольована компанією, зменшує ризик такої проблеми.
Увімкніть блокування та захистіть дані, потрібні для перенесення
Блокування перенесення ускладнює передавання домену іншому реєстратору без попереднього розблокування. Назва цієї функції залежить від оператора та доменного розширення: вона може називатися transfer lock, registrar lock або блокуванням операцій. Перевірте в панелі керування, які саме зміни вона блокує.
Код авторизації для перенесення, який часто називають AuthInfo або AuthCode, слід захищати так само, як пароль. Він не повинен потрапляти до звичайного листування, загальнодоступних документів чи системи заявок, доступної багатьом людям. Після завершення перенесення варто перевірити, чи дозволяє оператор згенерувати новий код.
Для доменів із високою цінністю для бізнесу можна розглянути посилене блокування змін, яке іноді пропонують як registry lock. Його зняття потребує додаткової, часто ручної перевірки. Доступність, обсяг захисту, аварійна процедура та ціна залежать від реєстратора й реєстру відповідного доменного розширення, тому їх потрібно уточнити безпосередньо в оператора.
Подбайте про поновлення, DNS і сповіщення
Втрата домену не завжди є наслідком атаки. Причиною може бути непоновлення, неактуальна платіжна картка або листи, що надходять на адресу, якою вже не користуються. Увімкніть автоматичне поновлення, але не покладайтеся лише на нього: контролюйте дату закінчення строку дії та встановіть незалежне нагадування завчасно.
Увімкніть сповіщення про вхід, зміну пароля, даних реєстранта, серверів DNS і спробу перенесення, якщо оператор їх пропонує. Отримавши сповіщення, перевіряйте подію, самостійно відкривши панель керування, а не переходячи за посиланням у листі. Фальшиві вимоги поновити домен — поширений привід для фішингу.
DNSSEC дає змогу одержувачу перевірити автентичність відповідей DNS і зменшує ризик їх підроблення під час передавання. Однак ця технологія не захищає обліковий запис у реєстратора від викрадення пароля, а домен — від закінчення строку дії. Впровадження потребує правильної конфігурації на боці оператора DNS і реєстратора; помилкові записи можуть спричинити недоступність послуг.
Упорядкуйте права на домен і доступ у компанії
Дані реєстранта мають указувати на належну особу або організацію відповідно до правил конкретного реєстру. Компанія не повинна залишати ключовий домен у приватному обліковому записі працівника, співвласника чи підрядника. Актуальні вимоги до даних і процедур зміни реєстранта потрібно перевірити в реєстратора, який обслуговує відповідне доменне розширення.
Обмежте кількість адміністраторів і негайно відкликайте доступ після зміни ролі або завершення співпраці. Раз на квартал можна проводити коротку перевірку: переглянути адміністраторів, MFA, адресу для відновлення доступу, блокування перенесення, дату поновлення, сервери DNS та останні операції.
Що робити після виявлення підозрілої зміни
Спочатку скористайтеся надійним пристроєм, змініть паролі до пошти й облікового запису в реєстратора та анулюйте активні сеанси. Потім зв’яжіться з реєстратором через його офіційний канал екстреного зв’язку, попросіть заблокувати операції та зберегти історію змін. Збережіть листи, сповіщення, номери заявок і знімки екрана, не змінюючи без потреби слідів події.
Якщо було змінено DNS, перед відновленням конфігурації збережіть поточні значення як матеріал для аналізу. Після повернення контролю перевірте також пошту, сертифікати, переспрямування й облікові записи в сервісах, паролі до яких можна скинути через адреси в цьому домені.
Практичний наступний крок — уже сьогодні ввійти до панелі керування реєстратора й перевірити чотири пункти: MFA, блокування перенесення, адресу для відновлення доступу та строк поновлення.
Дивіться також: DNSSEC — чи варто додатково захищати домен?
Читайте також
