Audit bảo mật Domain Registrar là baseline assessment cho tài khoản có thể tác động tới quyền kiểm soát tên miền: user/role, MFA, recovery, session/token, notification/audit log, transfer-related state và change governance. Owner của URL này là baseline/audit 7 controls, không phải runbook triển khai từng setting.
Nếu bạn cần thứ tự cấu hình và acceptance test sau thay đổi, xem Runbook triển khai Registrar Security: MFA, Lock, phân quyền và kiểm tra PASS/FAIL.
Vì sao registrar account là privileged account?
Tùy registrar, tài khoản quản trị có thể thay contact, nameserver, transfer state, AuthInfo hoặc các thiết lập ảnh hưởng tới lifecycle của domain. Vì vậy registrar account nên nằm trong privileged-access inventory cùng cloud admin, DNS admin và email admin.
Rủi ro không chỉ là “mất domain”. Một thay đổi trái phép có thể ảnh hưởng website, mail routing, API, CDN hoặc dịch vụ xác minh qua DNS. Audit cần đánh giá control plane và recovery path, không chỉ password strength. Failure mode thực tế xem case Domain Hijacking do tài khoản Registrar không có MFA.
Control matrix: owner, evidence, PASS/FAIL và remediation
| Control | Owner/Evidence cần có | PASS khi | FAIL khi | Remediation direction |
|---|---|---|---|---|
| Credential | Account owner, password-manager policy | Credential riêng, không tái sử dụng | Shared/reused password không kiểm soát | Tách credential và governance |
| MFA | MFA state cho admin | Mọi admin có MFA phù hợp | Còn privileged user password-only | Bật MFA, ưu tiên phishing-resistant nếu hỗ trợ |
| User/Role | User list, role/scope | Quyền theo nhiệm vụ, owner rõ | Shared super-admin hoặc user cũ | Thu hồi access, giảm scope |
| Recovery | Email/phone/recovery material owner | Kênh recovery còn kiểm soát và được bảo vệ | Mailbox/số cá nhân cũ hoặc owner mơ hồ | Chuẩn hóa recovery path |
| Session/API token | Active session/token nếu provider expose | Token cần thiết, scope phù hợp | Token/session cũ không owner | Revoke/rotate và giới hạn scope |
| Logging/Alert | Audit log, notification setting, alert owner | Privileged change được ghi và có người xử lý | Không biết ai đổi setting | Bật log/alert và gắn runbook |
| Change approval | Ticket/change record cho thao tác blast-radius cao | Nameserver/transfer/recovery change có owner và rollback | Thay đổi ad-hoc không evidence | Áp approval/read-back phù hợp criticality |
Đây là mẫu control matrix để ghi evidence thực tế; không phải bằng chứng giả lập của SecureWebOps.
1. Credential và password governance
Không tái sử dụng password registrar cho email, hosting hoặc SaaS khác. Credential nên được quản lý qua cơ chế phù hợp với tổ chức và không chia sẻ qua kênh rộng quyền.
2. MFA cho mọi privileged user
CISA khuyến nghị MFA và hướng tới phương thức chống phishing; NIST SP 800-63B phân biệt phishing-resistant authentication với OTP nhập thủ công. Nếu registrar hỗ trợ passkey/FIDO/WebAuthn hoặc security key, đây thường là lựa chọn mạnh hơn OTP về khả năng chống phishing. Nếu chỉ có TOTP/SMS, vẫn nên bật MFA và tăng cường recovery/monitoring.
3. User, role và least privilege
Review định kỳ ai còn access và role nào có thể thay nameserver, transfer hoặc contact. Thu hồi vendor/nhân sự cũ. Nếu registrar hỗ trợ multi-user, tránh dùng một credential chung cho nhiều người.
4. Recovery channel
Recovery mailbox có thể trở thành đường vòng qua password mạnh. Mailbox cần MFA, owner rõ và không phụ thuộc vào một cá nhân duy nhất. Recovery phone/code cũng cần inventory và quy trình truy cập khẩn cấp.
Chi tiết về recovery design xem MFA & Recovery cho Domain Registrar.
5. Session, API token và integration
Nếu provider cung cấp token/API/OAuth integration, xem chúng như credential đặc quyền. Token không dùng cần revoke; token automation nên giới hạn scope nếu provider hỗ trợ. Khi incident, revoke session/token nằm trong containment checklist.
6. Notification và audit log
Ưu tiên alert cho login mới, thay recovery contact, nameserver change, unlock/transfer request và thay security setting khi provider hỗ trợ. Alert chỉ có giá trị nếu có owner và workflow xác minh change.
7. Change approval cho thao tác blast-radius cao
Nameserver change, transfer, recovery change và ownership update nên có change record, owner và rollback path phù hợp. Với domain critical có thể áp second-person review nếu quy trình nội bộ cho phép.
Registrar lock có thay thế account security không?
Không. Domain lock hỗ trợ hạn chế một số thay đổi/transfer tùy trạng thái, nhưng nếu attacker chiếm account có quyền gỡ lock thì lock không thay MFA, recovery security và role control. Xem Domain Transfer Lock cho phần EPP/transfer workflow.
Evidence audit nên thu thập
- Danh sách user/role và owner.
- MFA state của privileged user.
- Recovery email/phone và ownership.
- Active token/session nếu provider cung cấp.
- Transfer/domain status và lock state.
- Notification/audit log configuration.
- Baseline nameserver/contact/security setting.
- Change record và read-back cho thay đổi quan trọng.
Không phải registrar nào cũng expose cùng loại dữ liệu; audit phải ghi rõ evidence nào có và evidence nào không truy cập được thay vì suy đoán PASS.
Dấu hiệu cần điều tra ngay
- Login alert từ thiết bị/vị trí không nhận diện.
- Nameserver thay đổi ngoài change window.
- Recovery contact bị sửa.
- Transfer lock bị gỡ không có ticket.
- AuthInfo hoặc transfer request bất thường.
- Domain status thay đổi không phù hợp vận hành.
Khi điều tra, bảo toàn log/evidence trước khi reset hàng loạt, sau đó containment credential/session và xác minh nameserver/domain state từ nguồn đáng tin cậy.
Checklist baseline audit
- Khóa registrar và owner cho từng domain.
- Kiểm tra credential governance.
- Kiểm tra MFA cho mọi admin.
- Review user/role và vendor cũ.
- Review recovery email/phone/code.
- Review session/API token.
- Review transfer/domain status.
- Review login/change notification.
- Review audit log nếu provider hỗ trợ.
- Review change approval cho thao tác critical.
- Lưu evidence và trạng thái PASS/FAIL.
- Chuyển remediation sang runbook triển khai nếu cần.
Nguồn kỹ thuật tham khảo
- CISA — Require Multifactor Authentication
- NIST SP 800-63B — Authentication and phishing resistance
- ICANN — About Locked Domain
Kết luận
URL này là baseline/audit owner cho registrar security. Output cần là control matrix có owner, evidence, PASS/FAIL và remediation direction; phần cấu hình từng control được chuyển sang runbook triển khai để tránh hai URL cùng sở hữu một task.