Досье хоста

В обычных инструментах захвата фрагмент трафика даёт вам лишь IP и домен. В Trace Eagle один клик по хосту открывает его полное досье: кому он принадлежит, где он находится, здоров ли его сертификат и какую технологию он использует. Есть у вас IP или домен — один клик выполняет поиск. Это полезно для устранения неполадок, аудита безопасности и инвентаризации активов.

1. Кликабельно повсюду

Где бы в интерфейсе ни появился захваченный хост / IP / SNI, кликните по нему, чтобы открыть досье хоста (поле заполняется автоматически, и поиск начинается сразу):

Целевой IP и имя хоста в деталях HTTP-трафика
Целевой IP и SNI в деталях TCP / TLS-трафика
Пункт «Просмотреть досье хоста» в контекстном меню списка трафика и в просмотре пакетов
Панель активных соединений

Кликните — и откроется полное досье хоста.

Досье хоста: информация о принадлежности (IP / ASN / префикс маршрута), DNS-записи, проверка TLS-сертификата (оценка A) и веб-технологический стек на одном экране

2. Что входит в досье

Информация о принадлежности (чей это IP)

Разрешённый IP и обратный DNS (PTR)
ASN: номер + название + анонсируемые префиксы маршрутов (CIDR)
Владеющая организация, регистратор и страна
Сетевой блок (CIDR + тип выделения)
Контакт для жалоб о злоупотреблениях

Геолокация (где это находится)

Город / регион / страна (включая код ISO)
Точное местоположение, отмеченное на карте мира, видно с первого взгляда

Геолокация: город / регион / страна, с точным местоположением хоста, отмеченным на карте мира

DNS-записи

Записи A / AAAA / MX с указанием типа / значения / TTL

Проверка TLS-сертификата (насколько это безопасно)

Оценка безопасности A / B / C / F (с заметным цветовым маркером)
Совпадает ли имя хоста, доверенна ли цепочка сертификатов, и статус срока действия (истёк или нет / сколько дней осталось)
Версия TLS, издатель сертификата и субъект (организация)
С инструментом TLS-аудита можно также увидеть: полную цепочку сертификатов (субъект / издатель / срок действия / оставшиеся дни / DNS-имена / является ли CA / тип ключа / алгоритм подписи / самоподписан ли), список поддерживаемых протоколов, наборы шифров и их стойкость (маркеры слабых наборов / прямой секретности), набор, реально согласованный в этом рукопожатии, и логи прозрачности сертификатов (CT), которые перечисляют все имена хостов, которые покрывает один сертификат сразу, и дают их общее число, откапывая даже связанные субдомены, которые никогда не появлялись в трафике

Веб-технологический стек (что на нём работает)

Заголовок страницы, заголовок Server
Обнаруженные сервер / фреймворк / CMS / библиотека (показаны в виде тегов)

3. В чём это помогает

Устранение неполадок: увидеть с первого взгляда «к кому реально подключается этот трафик и через какой дата-центр / провайдера он идёт».
Аудит безопасности: проверить, доверенный ли сертификат, не истекает ли он скоро, достаточно ли стойкие наборы шифров и есть ли риск понижения версии.
Инвентаризация активов / атрибуция: использовать ASN, организацию и регистрационную информацию, чтобы определить принадлежность узла на другой стороне; затем, по данным логов CT, разом выявить все имена хостов, которые покрывает один сертификат, плюс связанные субдомены — способность атрибуции, которой у обычных инструментов захвата попросту нет.
Жалобы и обращения: получить контакт для жалоб о злоупотреблениях напрямую.

Один фрагмент трафика против полного досье: в обычных инструментах захвата фрагмент трафика останавливается на одном IP и одном домене; здесь один клик показывает принадлежность, геолокацию, проверку сертификата и технологический стек всё сразу.

Назад к Захвату через прокси