A fordított IP-keresés megértése
A fordított IP-keresés egy IP-címet visszaold a hozzá tartozó gazdagépnév(ek)re és földrajzi metaadatokra. Míg egy hagyományos DNS-lekérdezés egy domainnevet IP-címmé alakít, a fordított keresés ennek az ellenkezőjét teszi — PTR (Pointer) rekordokat kérdez le a DNS-ben, hogy megtalálja, melyik domainnév van hozzárendelve egy adott IP-címhez.
A fordított keresések alapvető eszközök a hálózatfelügyeletben, a kiberbiztonságban és a digitális kriminalisztikában. A rendszeradminisztrátorok segítségükkel ellenőrzik a levelezőszerverek konfigurációját (sok e-mail szerver elutasítja az érvényes PTR-rekorddal nem rendelkező IP-ről érkező üzeneteket), azonosítják a gyanús forgalmi forrásokat, és auditálják a hálózati infrastruktúrát. A biztonsági kutatók fordított kereséseket használnak adathalász kampányok vizsgálatához, command-and-control szerverek nyomon követéséhez és a támadói infrastruktúra feltérképezéséhez.
A PTR-rekordon túl egy fordított IP-keresés földrajzi információkat is feltárhat a GeoIP-adatbázisok segítségével. Ezek az adatbázisok IP-címtartományokat rendelnek fizikai helyekhez, internetszolgáltatókhoz (ISP) és autonóm rendszerszámokhoz (ASN). Bár nem pontosak utcacím szinten, ezek az adatok értékes kontextust nyújtanak a forgalom eredetéről és arról, hogy melyik szervezet kezeli az IP-blokkot.
Az eszköz működése
Ez az eszköz két párhuzamos keresést végez, amikor megad egy IP-címet: egy fordított DNS-keresést a PTR-rekordok és a kapcsolódó gazdagépnevek megtalálásához, valamint egy MaxMind GeoIP-adatbázis-lekérdezést a földrajzi hely, az internetszolgáltató, az ASN, az időzóna és a koordináták meghatározásához. Minden keresés szerveroldalon történik — a böngészőjéből nem kerül kapcsolatba harmadik fél API-jaival.