网站域名安全㉕知名域名被盗事件复盘（二）

网站域名安全㉕知名域名被盗事件复盘（二）

上一篇㉔ 复盘（一）看了外部钓鱼链，这一篇看更隐蔽的——内部渗透。

外部难攻，就攻内部

知名域名被盗事件复盘（二）。第一起是外部钓鱼，第二起更隐蔽：攻击者不碰你，而是从你的合作方、前员工、自动化密钥入手。这类「内鬼路径」往往防护最松，因为信任默认开着。

三类内鬼入口

第三方账号：外包、代运营共用域名权限，一处漏全盘漏；离职权限：前员工账号没回收，随时能登（呼应的离职回收）；API 密钥：写死在前员工脚本里的密钥，离职后仍可调。三者都靠「信任没收回」——比外部攻击更难防，因为看起来都是「自己人」。

封堵靠最小权限

药方是最小权限 + 生命周期管理：第三方给只读或限时权、离职即回收（见㉙ 审计）、API 密钥定期轮换并绑定来源。再配监控对异常调用告警（见⑪）。两起复盘合起来说明：域名安全一半在外部防护、一半在内部的「信任管理」。

合同写死权限

供应链与外包的权限，不能靠信任、要靠合同：明令禁止共享主账号、要求最小权限、违约即终止。把域名权限条款写进供应商合同，出事才有追责依据（呼应 清单）。口头约定在争议里几乎等于零，白纸黑字才拦得住内鬼，也才镇得住合作方。

权限定期回收

内鬼风险随人员流动放大，所以权限要「定期回收」而非「离职才收」。建议每季度对第三方、外包、前项目组的域名权限做一次清理，注销不再需要的账号与密钥。临时权限设到期日、自动失效。把权限当借出去的钥匙、而不是送出去的锁，域名的内部边界才收得紧，也经得起人员来来去去。

离职当天即收

内鬼防控最关键的时刻是离职当天：账号、密钥、API、权限清单逐项回收，不留「宽限期」。太多泄露发生在离职后那几天，旧权限还开着。把回收做成离职流程的标准一步，IT 与 HR 联动，当天清零。宽限是给内鬼的窗口，安全经不起这种好心。

内鬼之祸，十有八九出在权限没收干净、信任又给得太满。

内鬼封堵清单

• □ 第三方给最小、限时权限，不共享主账号。
• □ 离职即回收账号与 API 密钥。
• □ 密钥定期轮换，绑定来源 IP。
• □ 异常调用走监控告警。

下一篇㉖ 域名劫持的应急响应流程讲万一真出事，黄金几小时怎么止损。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。