किसी संदिग्ध IP या डोमेन की जांच करें
अंदाजे के बजाय सबूत पैदा करने वाले क्रम में डोमेन तथ्यों, IP ओनरशिप और CIDR स्कोप के माध्यम से जांच को निर्देशित करें।
यह वर्कफ़्लो केवल शुरुआती जांच में मदद करता है। यह फ़िशिंग डिटेक्शन, थ्रेट-इंटेलिजेंस कवरेज या मैलिशियसनेस स्कोरिंग की सुविधा नहीं देता है।
यहाँ से तब शुरू करें जब
मामला आगे बढ़ाने का निर्णय लेने से पहले किसी संदिग्ध होस्टनेम, लॉगिन सोर्स या प्रोवाइडर रेंज के ट्राइएज की आवश्यकता होती है।
अनुशंसित क्रम
डोमेन रजिस्ट्रेशन और SSL से शुरू करें, IP ओनरशिप पर जाएं, फिर CIDR का उपयोग केवल तभी करें जब रेंज एनालिसिस की वास्तव में आवश्यकता हो।
यह क्रम क्यों मायने रखता है
आप बहुत व्यापक रूप से ब्लॉक करने से बचते हैं और जांच को दृश्यमान रजिस्ट्रार, ASN और सबनेट तथ्यों पर आधारित रखते हैं।
परिदृश्य (Scenario): संदिग्ध डोमेन
IP ओनरशिप पर जाने से पहले रजिस्ट्रार, हालिया निर्माण तिथियों, नेमसर्वर और सर्टिफिकेट टाइमिंग की समीक्षा करें।
1. Check a domain
2. Review registrar + nameservers
3. Inspect SSL issuer and days remaining
परिदृश्य (Scenario): संदिग्ध सोर्स IP
जब अलर्ट में पहले से ही पब्लिक सोर्स IP शामिल हो, तो ASN ओनरशिप से शुरू करें।
1. Lookup an IP
2. Compare ASN + range with the expected provider
3. Escalate with those facts
परिदृश्य (Scenario): प्रोवाइडर-व्यापी प्रश्न
जब कोई एकल-होस्ट लुकअप के बाद पूरी रेंज को अनुमति देना या ब्लॉक करना चाहता है, तो सबनेट मैथ का उपयोग करें।
1. Open CIDR calculator
2. Measure host count and boundaries
3. Decide whether a narrower rule is safer
जब आपको एक स्पष्ट शुरुआती प्रक्रिया की आवश्यकता हो, तो इन चरणों का पालन करें।
- जब आपके पास होस्टनेम, URL या लॉगिन ओरिजिन (origin) हो, तो पहले डोमेन की जांच करें।
- डोमेन स्टेप के बाद IP लुकअप करें या तुरंत करें यदि अलर्ट पहले से ही पब्लिक IP से शुरू होता है।
- CIDR कैलकुलेटर केवल तभी खोलें जब प्रश्न सबनेट या प्रोवाइडर-रेंज स्कोप तक विस्तृत हो जाए।
डोमेन के लिए WHOIS सामान्य बना हुआ है, जबकि संरचित RDAP डेटा अक्सर IP ओनरशिप लुकअप को शक्ति प्रदान करता है, जिसमें आवश्यकता पड़ने पर WHOIS फ़ॉलबैक होता है।
- रजिस्ट्रार, समाप्ति और नेमसर्वर के तथ्यों के लिए डोमेन पंजीकरण डेटा का उपयोग करें।
- ASN, रजिस्ट्री और नेटवर्क-रेंज संदर्भ के लिए IP ओनरशिप डेटा का उपयोग करें।
ये चरण आपको पब्लिक-रिकॉर्ड सबूतों को सत्यापित करने में मदद करते हैं। ये गहरी सुरक्षा समीक्षा या थ्रेट-इंटेलिजेंस डेटा वाले उत्पाद का स्थान नहीं लेते हैं।
- ये लुकअप स्वामित्व और पंजीकरण की जानकारी देते हैं। ये किसी पते या डोमेन को दुर्भावनापूर्ण नहीं आँकते।
- पूरे प्रोवाइडर रेंज को तब तक ब्लॉक न करें जब तक कि CIDR संदर्भ वह स्कोप न दिखा दे जिसे आप वास्तव में प्रभावित कर रहे हैं।