اوسینت جت · سرنخهای شبکه
مکانیابی IP در اوسینت؛ چرا دو ابزار، دو شهر نشان میدهند؟
یک IP را در دو ابزار جستوجو میکنید؛ اولی یک شهر را نشان میدهد و دومی شهری دیگر را. کدام را در گزارش بنویسید؟ قبل از انتخاب، باید بدانید این IP مربوط به چه چیزی است، در چه زمانی دیده شده و هر ابزار چقدر عدمقطعیت دارد.
مکانیابی IP، یک نشانی اینترنتی را به محدودهای جغرافیایی نسبت میدهد. این کار برای فهمیدن زمینه شبکه مفید است، اما IP سرور سایت، واسطه ایمیل یا خروجی VPN را به نشانی خانه صاحب حساب تبدیل نمیکند. مسئله اصلی این است که در گزارش، دقیقتر از شواهد حرف نزنیم.
قبل از شهر، نقش IP را بنویسید
این نشانی از کجا وارد پرونده شد؟ پاسخ DNS یک سایت، سرنخی درباره مقصدی است که آن نام در زمان بررسی به آن اشاره میکند. IP داخل سربرگ ایمیل ممکن است متعلق به سامانه تحویل پیام باشد. IP در لاگی که مجاز به بررسی آن هستید، یک ارتباط دیدهشده را در همان سامانه ثبت میکند. این سه، سؤال یکسانی ایجاد نمیکنند.
عبارت «IP را از ایمیل درآوردم» برای بررسی دوباره کافی نیست. مشخص کنید نشانی دقیقاً در کدام فیلد و کدام پیام دیده شده است. برای این بخش، راهنمای خواندن سربرگ ایمیل کمک میکند. اگر سرنخ از دامنه آمده، نقش رکوردها را در راهنمای اوسینت دامنه مرور کنید.
گاهی شبکه توزیع محتوا جلوی سرور اصلی سایت قرار دارد؛ گاهی هم VPN یا یک شبکه اشتراکی میان کاربر و سرویس است. کنار IP یکی از این برچسبها را بگذارید: «مقصد سایت»، «واسطه»، «ارتباط ثبتشده در لاگ مجاز» یا «نقش هنوز روشن نیست». تا این مرحله روشن نشده، نام شهر ممکن است شما را به مسیر غلط ببرد.
اطراف نقطه نقشه را هم بخوانید
فقط اسکرینشات نقشه را ذخیره نکنید. نام ارائهدهنده، زمان جستوجو، کشور و شهر اعلامشده، مختصات و اطلاعاتی مثل شعاع دقت را نگه دارید. اگر شعاعی وجود ندارد، بنویسید «ارائه نشده»؛ نبودن شعاع به معنی خطای صفر نیست.
مستندات MaxMind توضیح میدهد که مختصات تخمینی باید همراه شعاع دقت خوانده شود و برای شناسایی یک خانه مشخص مناسب نیست. کلادفلر نیز مکانیابی IP خود را تخمین میداند و احتمال تغییر داده و اختلاف با ارائهدهندگان دیگر را بیان میکند. معنای فیلدها را از مستندات همان ابزار بخوانید؛ همه ابزارها مقیاس اطمینان مشترک ندارند.
از دو مختصات میانگین نگیرید تا یک نقطه «دقیقتر» بسازید. شاید در حال ترکیب دو پایگاه داده با زمان، تعریف یا نقش شبکه متفاوت باشید. تمیزبودن نقطه نهایی روی نقشه، مقایسه نادرست را درست نمیکند.
تمرین: دو شهر متفاوت، دو محدوده مشترک
این مثال کاملاً ساختگی و آموزشی است. نشانی 192.0.2.44 را فقط برچسب تمرین در نظر بگیرید. این IP در محدوده مخصوص مستندات IANA قرار دارد. نامها و خروجیهای جدول واقعی نیستند و نباید آن را پرونده یک کاربر تلقی کرد.
| مورد مقایسه | ارائهدهنده الف | ارائهدهنده ب |
|---|---|---|
| کشور اعلامشده | کشور ایکس | کشور ایکس |
| شهر اعلامشده | بندر شمالی | بندر غربی |
| شعاع اعلامشده | ۸۰ کیلومتر | ۱۲۰ کیلومتر |
| فاصله دو مرکز | در این مثال فرضی، ۶۰ کیلومتر | |
| نقش مشاهدهشده | مقصد سایت؛ ارتباط آن با دفتر شرکت روشن نیست | |
دو دایره همپوشانی دارند: فاصله مرکزها ۶۰ کیلومتر است و مجموع شعاعها ۲۰۰ کیلومتر. بنابراین تفاوت نام شهرها لزوماً به معنی ناسازگاری جغرافیایی دو تخمین گسترده نیست. با این حال، ناحیه مشترک هم به یک محل تأییدشده تبدیل نمیشود؛ ممکن است ارائهدهندگان از ورودی مشترک استفاده کنند و هیچکدام محل دفتر شرکت را نشان ندهند.
یک گزارش قابل دفاع چنین میگوید: «هر دو منبع نام یک کشور را برگرداندند، اما نام شهر و شعاع تخمین متفاوت بود. محدودههای اعلامشده همپوشانی دارند. این نتایج درباره مقصد شبکه مشاهدهشدهاند و محل فعالیت شرکت را روشن نمیکنند.» خواننده هم توافق را میبیند، هم محدودیت را.
برای دقت ادعا، سقف بگذارید
پیش از نوشتن نتیجه، سطحی را که شواهد پشتیبانی میکنند انتخاب کنید: شبکه، کشور، ناحیه گسترده، شهر یا آدرس. دو اسم شهر، مجوز نوشتن نام خیابان نمیدهند. چند رقم بیشتر بعد از اعشار هم محدوده خطا را کوچک نمیکند.
- کشور یکسان، شهرهای نزدیک و متفاوت: اگر نقش IP و زمانها قابل مقایسهاند، توافق در سطح کشور را ثبت کنید و نام شهرها را جدا نگه دارید.
- کشورهای متفاوت: نشانی دقیق، نقش، زمان بررسی و تعریف فیلدها را دوباره بررسی کنید. تا اختلاف حل نشده، یک کشور را با حدس انتخاب نکنید.
- یکی از ابزارها نتیجه ندارد: فقط نبود نتیجه را بنویسید. این اتفاق درستبودن ابزار دیگر را ثابت نمیکند.
- نقطه روی یک خانه افتاده: ساکن آن خانه را به پرونده وصل نکنید. مرکز نمایشدادهشده، یافتهای درباره یک خانوار نیست.
IP قدیمی را با نتیجه امروز قاطی نکنید
دو زمان لازم دارید: زمان دیدهشدن IP در منبع و زمان جستوجوی مکان آن. نتیجه امروز برای IP یک رکورد قدیمی، لزوماً موقعیت آن در روز ایجاد رکورد را بازسازی نمیکند. اگر داده تاریخی ندارید، همین فاصله را صریح بنویسید.
اگر ابزار هفته بعد مکان دیگری نشان داد، نتیجه قبلی را بیتوضیح پاک نکنید. مشاهده دوم را با تاریخ تازه اضافه کنید. ممکن است خود شبکه تغییر کرده باشد یا ارائهدهنده تخمینش را اصلاح کرده باشد؛ خروجی ساده جستوجو همیشه بین این دو توضیح فرق نمیگذارد.
قدم بعدی را از سؤال پرونده بگیرید
میخواهید دفتر یک شرکت را تأیید کنید؟ احتمالاً نقشه IP دیگر پاسخ تازهای نمیدهد. سراغ بررسی آدرس شرکت و منابع عمومی مناسب بروید. میخواهید زیرساخت یک سایت را بفهمید؟ مشاهده IP را کنار رکورد دامنه و تاریخ بگذارید. برای پرکردن جای خالی پرونده، از لینک ردیابی فریبنده برای گرفتن IP یک نفر استفاده نکنید.
وقتی چند سرنخ مرتبط دارید، نقشه ارتباطات باید تفاوت مهمی را حفظ کند: ارتباط شبکهای، خودبهخود ارتباط شخصی یا مکانی نیست. منبع و عدمقطعیت هر سرنخ را به روند تحقیق با هوش مصنوعی اوسینت جت بدهید تا پرونده برای بازبینی مرتب شود. قبل از سفارش گزارش، شرایط فعلی اعتبار و هزینه را بررسی کنید؛ انجام مقایسه پایه این مقاله به خرید گزارش نیاز ندارد.
در پایان، نشانی IP، نقش آن، منبع، دو زمان، خروجی ارائهدهندگان، میزان عدمقطعیت و نتیجه مجاز را کنار هم نگه دارید. ارزش گزارش فقط در اطلاعاتی که اضافه میکند نیست؛ گاهی دقیقترین کار، حذف یک ادعای مکانی بیپشتوانه است.
منتشرشده توسط تحریریه اوسینت جت · ۲۹ سپتامبر ۲۰۲۶
ادامه مسیر اوسینت
سرنخهای خام را به یک تحقیق ساختارمند در اوسینت جت تبدیل کنید
برای نتیجه بهتر، فقط به یک سرنخ اکتفا نکنید. شماره تلفن، ایمیل، یوزرنیم، دامنه، نام شرکت، تصویر، شهر، لینک شبکه اجتماعی و توضیح زمینه پرونده را کنار هم قرار دهید تا موتور اطلاعاتی اوسینت جت تحلیل دقیقتری بسازد.