Zum Zuordnen eines Netzwerks für einen Sicherheitstest - Dummies

Als Teil der Ausgliederung Ihres Netzwerks vor dem Durchführen von Sicherheitstests oder einem ethischen Hack können Sie öffentliche Datenbanken und Ressourcen durchsuchen, um zu sehen, was andere Personen über Ihre Systeme wissen.

WHOIS-Lookups

Der beste Ausgangspunkt ist das Durchführen einer WHOIS-Suche mit einem der im Internet verfügbaren Tools. Falls Sie nicht vertraut sind, ist WHOIS ein Protokoll, mit dem Sie Online-Datenbanken wie DNS-Registrys abfragen können, um mehr über Domainnamen und IP-Adressblöcke zu erfahren. Möglicherweise haben Sie WHOIS verwendet, um zu überprüfen, ob ein bestimmter Internetdomänenname verfügbar ist.

Für Sicherheitstests stellt WHOIS die folgenden Informationen bereit, die einem Hacker die Möglichkeit geben können, einen Social-Engineering-Angriff zu starten oder ein Netzwerk zu scannen:

• Registrierungsinformationen für Internetdomänennamen, z. Namen, Telefonnummern und Postanschriften

• Für Ihre Domäne verantwortliche DNS-Server

Sie können WHOIS-Informationen an einer der folgenden Stellen nachschlagen:

• WHOIS. net

• Eine Domain-Registrator-Website, z. B. www. los Papa. com

• Die Website für den technischen Support Ihres Internetdienstanbieters

Zwei beliebte WHOIS-Tool-Websites sind DNSstuff und MXToolBox. Beispielsweise können Sie DNS-Abfragen direkt von MXToolBox aus ausführen, um Folgendes auszuführen:

• Allgemeine Informationen zur Domänenregistrierung anzeigen

• Anzeigen, welcher Host E-Mail-Nachrichten für eine Domäne verarbeitet (den Mail-Exchanger oder MX-Eintrag)

  < ! --3 ->

• Den Standort bestimmter Hosts zuordnen

• Bestimmen, ob der Host auf bestimmten Spam-Blacklists gelistet ist

Eine kostenlose Site, die Sie für einfachere Internet-Domain-Anfragen verwenden können, sind DNS-Tools. Ein weiteres kommerzielles Produkt mit dem Namen NetScanTools Pro ist hervorragend bei der Sammlung solcher Informationen.

Die folgende Liste zeigt verschiedene Such-Websites für andere Kategorien:

• U. S. Regierung

• AFRINIC (Regionales Internetregister für Afrika)

• APNIC (Regionales Internetregister für den asiatisch-pazifischen Raum)

• ARIN (Regionales Internetregister für Nordamerika, Teil der Karibik, und subequatorial Afrika)

• LACNIC (lateinamerikanische und karibische Internetadressen Registry)

• RIPE Network Coordination Center (Europa, Zentralasien, afrikanische Länder nördlich des Äquators und die Mittlerer Osten)

Wenn Sie sich nicht sicher sind, wo Sie nach einem bestimmten Land suchen sollen, gibt es bei The Number Resource Organization einen Referenzleitfaden.

Datenschutzbestimmungen

Überprüfen Sie die Datenschutzerklärung Ihrer Website. Eine bewährte Methode besteht darin, den Nutzern Ihrer Website mitzuteilen, welche Informationen gesammelt und wie sie geschützt werden, jedoch nicht mehr. Ich habe viele Datenschutzrichtlinien gesehen, die viele technische Details zu Sicherheit und verwandten Systemen enthüllen, die nicht veröffentlicht werden sollten.

Stellen Sie sicher, dass die Personen, die Ihre Datenschutzrichtlinien verfassen (häufig nichttechnische Rechtsanwälte), keine Details zu Ihrer Informationssicherheitsinfrastruktur preisgeben. Seien Sie vorsichtig, um das Beispiel eines Internet-Start-up-Geschäftsmannes zu vermeiden, der einmal mit den Sicherheitssystemen seines Unternehmens prahlte, die die Vertraulichkeit der Kundeninformationen sicherstellen (oder so dachte er). Wenn Sie zu seiner Website gingen, um seine Datenschutzrichtlinien zu lesen, stellten Sie fest, dass er die Marke und das Modell der Firewall, die er verwendete, zusammen mit anderen technischen Informationen über seine Netzwerk- und Systemarchitektur veröffentlicht hatte. Diese Art von Informationen könnte sicherlich von den Bösen gegen ihn verwendet werden. Keine gute Idee.