A nem védett domain egy problémára váró domain. Minden évben márkák veszítik el a hozzáférésüket a domainjeikhez olyan támadások miatt, amelyeket néhány egyszerű beállítással meg lehetett volna előzni. A kár túlmegy egy webcím elvesztésén. Ha valaki átveszi az irányítást a domained felett, az irányítja a weboldaladat, az e-mailjeidet, a keresőrangsorodat és a látogatóid bizalmát a neved iránt. A domainbiztonság nem egyetlen eszköz vagy beállítás. Olyan védelmek kombinációja, amelyek együtt teszik nehezen kompromittálhatóvá a domainedet.
Mit fed le a domainbiztonság?
A domainbiztonság minden, ami megvédi a domainnevet a jogosulatlan hozzáféréstől, a jogosulatlan átvitelektől és a jogosulatlan módosításoktól. Három területet fed le.
Az első a fiókbiztonság. Ez a regisztrátori fiókod védelméről szól, hogy senki más ne léphessen be és ne módosíthasson semmit. Magában foglalja az erős jelszavakat, a kétlépcsős azonosítást és az elérhetőségi e-mail-cím lezárását.
A második az átviteli védelem. Ez megakadályozza, hogy valaki az engedélyed nélkül másik regisztrátorhoz vigye a domainedet. A regisztrátori zár és az engedélyezési kódok a fő eszközök ezen a téren.
A harmadik a DNS-védelem. A DNS-rekordjaid megmondják az internetnek, hol él a weboldalad, és hová megy az e-mailed. Ha valaki megváltoztatja ezeket a rekordokat, átirányíthatja a forgalmadat anélkül, hogy magát a domaint át kellene vinnie.
A legtöbb domainbiztonsági hiba abból ered, hogy ezen három terület egyike nyitva marad. A domainednek mindhárom lezárása kell ahhoz, hogy biztonságban legyen.
Melyek a domainedet fenyegető legnagyobb veszélyek?
A domainfenyegetések több kategóriába esnek. Mindegyik más gyengeséget céloz, és mindegyik más védekezést igényel.
Domain eltérítése
Eltérítésről akkor beszélünk, amikor valaki másik regisztrátorhoz viszi át a domainedet, vagy a saját fiókjára írja át a tulajdonjogot. Amint az átvitel lezajlott, elveszíted a lehetőséget, hogy kezeld, megújítsd vagy bárhová irányítsd. A visszaszerzés lassú, és nem mindig sikeres. Az eltérítés működésének és megelőzésének teljes leírását a hogyan védd a domainedet az eltérítéstől fejezetben olvashatod, lépésről lépésre.
Lejárt domainek elkapása
Amikor egy domainregisztráció lejár, türelmi időszakba kerül, és végül bárki számára regisztrálhatóvá válik. A támadók és a domainspekulánsok aktívan figyelik a lejáró domaineket, főleg azokat, amelyeknek kialakult forgalma és backlinkjei vannak. Abban a pillanatban, amikor egy domain felszabadul, bejegyzik. Ekkor a visszaszerzés azt jelenti, hogy tárgyalnod kell azzal, aki elkapta. A domain lejáratáról szóló fejezet elmagyarázza a lejárati idővonal minden szakaszát, és hogy mi történik az egyes szakaszokban.
Adathalász támadások regisztrátori fiókok ellen
Ez az egyik leggyakoribb belépési pont. A támadó olyan e-mailt küld, amely úgy néz ki, mintha a regisztrátortól jönne. Arra figyelmeztet, hogy a domained hamarosan lejár, gyanús belépést észleltek, vagy a fiókodat igazolni kell. A link hamis belépőoldalra vezet. Ha megadod a hitelesítő adataidat, a támadó megkapja a felhasználónevedet és a jelszavadat, és beléphet a valódi fiókodba.
A védekezés egyszerű, de fegyelmet igényel. Soha ne kattints e-mailben kapott belépési linkekre. Mindig közvetlenül a regisztrátorod weboldalára menj a böngésződön keresztül.
DNS-manipuláció
A DNS-manipuláció azt változtatja meg, hová mutat a domained, anélkül hogy megváltoztatná, kié. A támadó, aki hozzáfér a regisztrátori fiókodhoz vagy a DNS-szolgáltatódhoz, módosíthatja az A rekordjaidat, az MX rekordjaidat vagy a névszervereidet. A weboldalad forgalmát másik szerverre küldik. Az e-mailedet olyan postaládába irányítják, amelyet nem te irányítasz. A látogatók olyan oldalt látnak, amely úgy néz ki, mint a tiéd, de nem az.
A trükkös az, hogy a DNS-manipuláció órákig vagy napokig észrevétlen maradhat, ha nem figyeled aktívan a DNS-rekordjaidat. Mire észreveszed, a támadó elfoghatott ügyféladatokat, megszerezhetett belépési adatokat, vagy kárt tehetett a hírnevedben.
Social engineering
Egyes támadók teljesen kihagyják a technikai utat. Felhívják a regisztrátorod ügyfélszolgálatát, a nevedben lépnek fel, és kérik a fiók hitelesítő adatainak visszaállítását. Ha a WHOIS-adataid nyilvánosan láthatók, már megvan a neved, e-mail-címed, telefonszámod és címed ahhoz, hogy a történetük meggyőző legyen. Elegendő személyes adattal átjuthatnak a személyazonosság-ellenőrzéseken, amelyeket éppen a védelmedre terveztek.
Hogyan védd a domainedet regisztrátori zárral?
A regisztrátori zár, más néven átviteli zár, olyan állapotbeállítás, amely megakadályozza, hogy a domainedet másik regisztrátorhoz vigyék át. Ha a zár be van kapcsolva, minden átviteli kérelmet automatikusan elutasítanak. Ez az egyetlen leghatékonyabb védelem a jogosulatlan átvitelek ellen.
A legtöbb regisztrátor ingyen kínálja ezt a funkciót. Egyesek alapból kikapcsolva hagyják, ami azt jelenti, hogy be kell lépned, és magadnak kell bekapcsolnod. Csak akkor kapcsold ki, ha éppen új regisztrátorhoz viszed át a domaint, és utána azonnal kapcsold vissza.
A következő fejezet részletesen foglalkozik a domain zárolásával, beleértve a különböző zártípusokat, és hogy mikor melyik érvényes.
Miért számít a kétlépcsős azonosítás a domaineknél?
A kétlépcsős azonosítás (2FA) második ellenőrző lépést ad, amikor belépsz a regisztrátori fiókodba. Még ha a támadó adathalászattal vagy adatszivárgással ellopja a jelszavadat, nem tud bejutni anélkül, hogy a második tényezőt is ne ellenőrizné.
Használj hitelesítő alkalmazást SMS-ellenőrzés helyett. Az SMS-kódokat el lehet fogni SIM-csere támadással, amikor valaki rábeszéli a mobilszolgáltatódat, hogy a telefonszámodat egy általa irányított eszközre vigye át. Az alkalmazásalapú hitelesítőt nehezebb kompromittálni.
Kapcsold be a 2FA-t a regisztrátori fiókodon és a fiókhoz kötött e-mail-címen is. Ha bármelyik védelem nélkül marad, a támadó azon keresztül is bejuthat.
Hogyan védi az erős jelszó a domainedet?
A regisztrátori fiókod jelszava az első akadály a támadó és a domained között. Ha rövid, gyakori vagy másik szolgáltatásból újrahasznosított, ez az akadály gyakorlatilag nem létezik.
A támadók automatizált eszközöket használnak, amelyek más adatszivárgásokból származó, kiszivárgott felhasználónév-jelszó kombinációkat próbálnak ki a regisztrátorok belépőoldalain. Ha ugyanazt a jelszót használtad egy három éve feltört fórumon, a regisztrátori fiókod ma is veszélyben van.
Használj jelszókezelőt, amellyel legalább 16 karakteres véletlenszerű jelszót generálsz. Tárold a jelszókezelőben. Ne írd fel, ne használd újra, és ne használd egy másutt használt jelszó variációját.
Milyen szerepe van a WHOIS-adatvédelemnek a domainbiztonságban?
A WHOIS-adatvédelem a nyilvános WHOIS-adatbázisban lévő személyes regisztrációs adataidat a regisztrátor proxyadataira cseréli. A valódi neved, e-mail-címed, telefonszámod és címed rejtve marad mindenki elől, aki nyilvános lekérdezést futtat.
Ez biztonsági szempontból számít, mert minden személyes információ, amelyet a támadó megtalál, megkönnyíti a social engineeringet. Ha tudják a neved, az e-mail-címed és a címed, a megszemélyesítésed egyszerűvé válik. A WHOIS-adatvédelem eltávolítja ezeket az adatokat a nyilvánosság elől. A domain privacy fejezet leírja, hogyan működik, és kinek érdemes bekapcsolnia.
Érdemes bekapcsolni az automatikus megújítást?
Igen. Az automatikus megújítás megakadályozza, hogy a domained lejárjon azért, mert elfelejtetted a megújítás dátumát, vagy mert a megújítási e-mail a spam mappában landolt. A lejárt domain könnyű célpont. A támadók figyelik a lejárati adatbázisokat, és abban a pillanatban bejegyzik az értékes domaineket, amikor azok elérhetővé válnak.
Kapcsold be az automatikus megújítást minden domaineden. Utána ellenőrizd, hogy a megadott fizetési módod érvényes-e. A sikertelen fizetés használhatatlanná teszi az automatikus megújítást. Állíts be naptári emlékeztetőt a lejárat előtt 60 nappal tartalékként. Ha az automatikus megújítás bármi okból nem sikerül, marad időd javítani, mielőtt a domain felszabadul.
Hogyan válassz biztonságra figyelő regisztrátort?
Nem minden regisztrátor kínál azonos szintű védelmet. A regisztrátor kiválasztása előtt nézd meg, támogatja-e a 2FA-t, kínál-e regisztrátori zárat, benne van-e a WHOIS-adatvédelem, és hogyan kezeli az ügyfélszolgálatuk a fiók-helyreállítási kérelmeket.
Az a regisztrátor, amely alaposan ellenőrzi a személyazonosságot a fiókmódosítások előtt, biztonságosabb, mint az, amely gyorsan, minimális ellenőrzéssel dolgozza fel a kérelmeket. A gyors ügyfélszolgálat kényelme sebezhetőséggé válik, ha a támadó hív.
Olyan regisztrátort keress, amely az összes biztonsági funkciót a szokásos regisztráció részeként kínálja, nem fizetős kiegészítőként, amelyet neked kell eszedbe juttatnod bekapcsolni.
Hogyan nézzen ki a domainbiztonsági ellenőrzőlistád?
Menj végig ezen a listán minden domaineden. Ha bármelyik pont nincs kipipálva, javítsd most.
- A regisztrátori zár be van kapcsolva
- A kétlépcsős azonosítás be van kapcsolva a regisztrátori fiókodon
- A kétlépcsős azonosítás be van kapcsolva a regisztrátori fiókhoz kötött e-mailen
- A regisztrátori jelszavad egyedi, véletlenszerű és legalább 16 karakter
- A regisztrátori e-mail jelszava egyedi, és 2FA védi
- A WHOIS-adatvédelem be van kapcsolva
- Az automatikus megújítás be van kapcsolva
- A megadott fizetési módod érvényes, és nem jár le a következő megújítás előtt
- Megerősítetted, hogy a regisztrátorod fiók-helyreállítási folyamata erős személyazonosság-ellenőrzést követel
- Időnként ellenőrzöd a DNS-rekordjaidat, hogy semmi nem változott
A lista minden pontja egy konkrét fenyegetéssel foglalkozik. A regisztrátori zár megállítja a jogosulatlan átviteleket. A 2FA megakadályozza, hogy az ellopott jelszavak használhatók legyenek. A WHOIS-adatvédelem elveszi a social engineering alapanyagát. Az automatikus megújítás megelőzi a lejáraton alapuló támadásokat. Együtt teljes domainbiztonsági rendszert alkotnak.
Hogyan biztosítja a WEMASY a domainedet?
A WEMASY-ban a domainnevet a domainregisztrációval jegyeztetheted be.
A weboldalad oldalait a weboldalépítőben készítheted el.
A csomagok tartalmát az árak oldalon találod.
Gyakran ismételt kérdések
Ellophatják a domainemet, ha minden biztonsági beállítás be van kapcsolva?
Semmilyen biztonsági rendszer nem törhetetlen, de ha a regisztrátori zár, a 2FA, az erős egyedi jelszó és a WHOIS-adatvédelem együtt be van kapcsolva, a sikeres támadás rendkívül valószínűtlen. Minden réteg más támadási módot blokkol. A támadónak mindegyiket egyszerre kellene megkerülnie, ami sokkal több erőfeszítés, mint egy gyengébben védett domain megcélzása. Az oldalaidat a WEMASY weboldalépítőjében építheted fel.
Milyen gyakran nézzem át a domainbiztonsági beállításaimat?
Legalább háromhavonta egyszer. Lépj be a regisztrátori fiókodba, ellenőrizd, hogy a regisztrátori zár még be van-e kapcsolva, hogy az elérhetőségi e-mail-címed még elérhető-e, hogy az automatikus megújítás aktív-e, és nézd át a DNS-rekordjaidat olyan változások után kutatva, amelyeket nem te végeztél. Ha a regisztrátorod értesítő e-maileket küld, győződj meg róla, hogy olyan postaládába érkeznek, amelyet aktívan figyelsz.
A domainbiztonság más, mint a weboldal biztonsága?
Igen. A domainbiztonság magát a domainnevet védi, beleértve azt, hogy ki a tulajdonosa, hová mutat, és ki viheti át. A weboldal biztonsága a tartalmat, a kódot és az adatokat védi azon a szerveren, amelyre a domained mutat. Mindkettő kell. A tökéletesen védett weboldal is sebezhető, ha valaki átveszi az irányítást a domain felett, és elirányítja róla a forgalmat.
Számít domainbiztonságnak, ha van SSL-tanúsítványom?
Az SSL-tanúsítvány titkosítja a kapcsolatot a látogatód böngészője és a szerver között. Az átvitel közbeni adatokat védi, de nem védi azt, hogy ki birtokolja vagy irányítja magát a domaint. Ha a támadó átviszi a domainedet a saját fiókjára, új SSL-tanúsítványt állíthat ki hozzá. Az SSL az általános weboldalbiztonság része, nem kifejezetten a domainbiztonságé.
Mit tegyek először, ha úgy gondolom, hogy a domainemet feltörték?
Azonnal változtasd meg a regisztrátori fiókod jelszavát, és kapcsold be a 2FA-t, ha még nincs bekapcsolva. Utána nézd át a DNS-rekordjaidat jogosulatlan módosítások után kutatva. Vedd fel a kapcsolatot a regisztrátorod ügyfélszolgálatával, és jelentsd a feltételezett kompromittálódást. Ha elindítottak egy átvitelt, kérd, hogy fagyasszák le. Dokumentálj mindent képernyőképekkel a következő vitarendezési eljáráshoz.
A következő fejezet a domain zárolásáról szól, beleértve a különböző zártípusokat, a működésüket, és hogy mikor melyiket használd.