引言

作为品牌，企业如何最好地保护其在线存在、客户和声誉？M3AAWG 品牌保护工具包是一系列最佳实践指南，为每个相关主题提供实用信息和建议，帮助品牌保护自身免受在线滥用的侵害。

本文档聚焦于域名管理，阐述了如何保护品牌免受热衷于注册模仿品牌的域名以窃取信息和/或资产的不法分子的侵害。

M3AAWG 强烈建议所有品牌实施本文档中概述的最低安全要求。随着品牌的成熟，还应考虑文中提出的增强安全措施以进一步保护品牌。

最低安全要求

创建域名清单

域名清单有助于确定哪些域名最重要。创建一个公司拥有的域名登记册（Excel 表格也可，但专用数据管理工具更佳）。对每个域名，提供书面的用途说明，并指定所有负责其安全和维护的人员。持续记录新增、删除或变更的域名和人员。名称服务器和其他 DNS 管理也应在考虑范围内。

保护域名

将域名保护作为公司安全策略中不可或缺的持续组成部分。保持注册人账户信息私密安全。保护每个唯一用户账户和密码的账户信息。恢复只应由负责域名管理的最资深员工在最极端情况下执行。人员变更时，相应修改账户信息——尤其是密码。始终使用不同于转移联系人电子邮件地址的名称作为域名自助管理页面的登录名。使用角色地址而非个人地址，以确保不会因人员变动而导致访问丢失。

为每个域名账户启用多因素认证（MFA）。

更新联系人信息

保持联系信息准确和最新。为公司名称、法律地址、联系信息（电话、邮箱）的任何变更制定策略和流程。这些信息变更时，应触发对所有注册商的更新流程。

制定正式策略

建立适当的策略和实践来固化决策和流程，特别是域名退役或重配置相关事项。确保记录变更控制策略以及公司内相关部门在变更中的角色和职责。

全面文档化

策略、登记册以及与员工就域名事宜的定期沟通，有助于保持业务知情、为事件做好准备、随时接受需要发生的域名变更，并能够制定战略决策。

增强安全措施：速赢方案

使用域名控制与通知的别名

使用角色账户接收通知（如 domainregistrar@example.com），而非发送到特定个人的个人账户。这样 DNS 通知不会因人员轮换、休假、生病或育儿假而丢失。

恰当管理 DNS 权威

决定如何处理权威 DNS 需求。无论是使用免费/开源软件运行本地权威域名服务器、本地商业 DNS 设备、还是基于云的权威 DNS 服务，都需要通过 Zonemaster 等免费工具审计 DNS 配置。

选择合适的注册商

不同注册商服务于不同市场。作为与品牌紧密相关的高价值域名所有者，应考虑通过专门注册和保护关键资产的注册商来注册域名。生产域名或核心域名使用企业级注册商比零售注册商更合适。合适的注册商应普遍提供以下功能：冗余硬件、防止高价值域名意外过期、域名监控、双重认证保护域名管理控制台、注册商锁定服务、DNSSEC 支持。

注册相似域名（防御性注册）

考虑主动注册可能模仿品牌的 TLD（如当品牌域名为 brand.com 时注册 brand.co.uk）。制定高风险域名的注册策略，包括仿冒名称、拼写错误、常见缩写或缩写词。不可能无限注册，因此需确定优先级和预算，并根据持续经验重新评估。

SSL 证书管理与 DNS 管理结合

SSL/TLS 证书虽然不严格属于 DNS 相关，但通常由同一团队管理。为域名添加证书颁发机构授权（CAA）记录，有助于防止未授权签发 TLS 证书。

保持域名安全

将域名视为资产并进行风险评估。设置适当的 EPP 域名状态代码（包括 clientTransferProhibited、clientDeleteProhibited、clientUpdateProhibited）。此外，考虑实施"注册局锁定"服务（Registry Lock），通过注册商为注册人提供额外的带外保护，防止未经授权的更改或删除。

备份 DNS 配置

安全存储 DNS 配置，确保品牌在因任何原因丢失设置时总能恢复。制定域名和 DNS 配置的紧急恢复策略，并将其纳入业务连续性计划和桌面演练。将域名劫持纳入事件响应和业务连续性规划。

考虑监控第三方滥用域名

研究监控可能对品牌造成问题的第三方域名。有公司可靠地提供此服务。

攻击向量与缓解方案

域名抢注、仿冒域名（同形异义词）及其他侵占

考虑监控新注册的仿冒域名（或请服务商代为监控）。寻找新域名的来源包括：ICANN 的集中式区域数据服务（CZDS）（含所有 gTLD，不含 ccTLD）、SSL 证书注册记录、提供新注册或新观察域名的付费服务。

发现仿冒域名后，需审查其是良性还是恶意。恶意域名指用于分发恶意软件、僵尸网络 C&C、钓鱼、商务邮件入侵或发送垃圾邮件的域名。

恶意域名缓解：域名拿下请求

对于有恶意活动证据（如钓鱼或凭证窃取）的域名，请求方需提供详细的滥用证据。确定域名恶意或侵犯品牌后，可通过 WHOIS 信息联系注册商组织。如果托管提供商是独立实体，联系他们可能更快缓解托管内容。如果纯属商标侵权，可能适用 UDRP 程序或民事诉讼。

品牌侵权域名缓解

不涉及恶意活动的商标侵权域名，如果涉及可操作的恶意活动（如钓鱼、恶意软件分发等），可采用上述流程。如果域名处于停放状态，可通过其内容或 WHOIS 确定所有者后进行非正式函告。

电子邮件欺骗（Spoofing）

攻击者可能利用未发送邮件的域名发送欺骗性电子邮件。缓解措施：确保所有域名（包括不发送邮件的域名）都配置了 SPF、DKIM 和 DMARC 记录。停放域名应配置为拒绝所有邮件（如 SPF "-all"）。使用 DMARC 报告监控是否有未授权发件人尝试发送带有品牌域名的邮件。

账户劫持（Account Takeover, ATO）

攻击者可能使用窃取的凭证访问注册人账户并添加新域名（域名影射/Domain Shadowing），即向现有域名添加攻击者单独控制的子域名。攻击者不触碰正常网站和邮件，仅利用现有域名创建指向其他地方的新域名和子域名，使其难以发现。缓解措施：确保所有账户启用 MFA；监控异常行为（如登录活动异常）；利用开源工具或第三方供应商监控仿冒域名。

软件漏洞

攻击者扫描域名账户注册和管理门户的 Web 应用程序漏洞（如 SQL 注入）。成功利用漏洞可能导致多个域名账户凭证泄露。缓解措施：确保软件保持最新并打上最新补丁；引入负责任的漏洞披露计划以了解在野漏洞。

结论

本文档简要介绍了品牌管理和域名相关的一些问题。品牌所有者应考虑与参与域名流程法律和技术方面的个人进行面对面对话，以确保所有本地独有的事项被充分讨论。