सैद्धांतिक रूप से आप ज्यादातर मामलों में एक सार्थक आत्मविश्वास स्तर दे सकते हैं। हालांकि, यह अभ्यास में बहुत कठिन बना देता है।
मैं अन्य जवाबों को ओवरलैप करने जा रहा हूं, और मैंने शायद सामान को याद किया है, लेकिन यह कम से कम एक विस्तृत तर्क है कि क्यों ये विशेष बिट्स मायने रखते हैं या नहीं।
हालांकि, मैक पते के किसी भी विचार को भूल जाओ। जब तक आपके पास नेटवर्क सेगमेंट तक सीधी पहुंच नहीं होगी, आप उन्हें नहीं देख पाएंगे।
पोर्ट स्कैन पर भी भरोसा न करें। यह केवल कुछ IP के लिए फ़ायरवॉल पोर्ट के लिए तुच्छ है, सॉफ़्टवेयर केवल कुछ IP पर सुनते हैं या एक IDS / IPS सिस्टम है जो एक स्कैन का पता लगाने पर फ़िल्टरिंग लागू करता है। ये सभी आपके परीक्षण को प्रभावित करेंगे।
ठीक है, इसलिए आप जिस तरह से बता सकते हैं वह सरल है: दो बक्से बिल्कुल समान होने की संभावना कम है जब तक कि वे किसी भी तरह से संबंधित न हों। इसलिए जो आप वास्तव में कर रहे हैं वह साबित करने की कोशिश कर रहा है कि वे अलग-अलग बक्से हैं, यह साबित करने की कोशिश नहीं कर रहे हैं कि वे समान हैं।
पिंग। आपको एक ही समय में दोनों का परीक्षण करने और बहुत सारे परीक्षण करने की आवश्यकता है। यह पता चला है कि जब नेटवर्क समय में घबराना होता है, तो यह काफी उच्च गुणवत्ता वाला छद्म यादृच्छिक शोर होता है, यदि आपके पास एक छोटे समय में पर्याप्त नमूने हैं, तो शोर का औसत आपको सटीक तुलना देने के लिए पर्याप्त है।
एक नेटवर्क में प्रत्येक परत 2 हॉप में विलंबता की एक छोटी मात्रा शामिल होती है, विभिन्न भीड़ का स्तर अलग विलंबता मान देगा। यदि दो आईपी काफी भिन्न समवर्ती विलंब दर्शाते हैं तो आप मान सकते हैं कि वे संभवतः एक ही बॉक्स नहीं हैं।
कैविट 1: दो अपलिंक (बंधुआ नहीं) वाला एक एकल सर्वर और प्रत्येक अपलिंक पर एक अलग आईपी के साथ कॉन्फ़िगर किया गया हो सकता है कि यह बंद करने के लिए पर्याप्त अपलिंक असंतुलन हो।
पोर्ट स्कैन। गंतव्य बंदरगाह तीन राज्यों में से एक में हो सकते हैं: सुनना, बंद करना, फ़िल्टर करना। वे वास्तव में बहुत उपयोग नहीं हैं जैसा कि ऊपर उल्लेख किया गया है, लेकिन अभी भी उपयोगी जानकारी होना बाकी है।
कई IP पर खुलने वाले पोर्ट के बॉक्स सबसे अधिक सभी IP पर एक ही सॉफ्टवेयर के चलने वाले हैं। यह संभव है कि, एक आईपी पर नग्नेक्स और दूसरे पर अपाचे, लेकिन ज्यादातर लोग परेशान न हों। समानताओं की तलाश के लिए चल रही सेवाओं को फ़िंगरप्रिंट करें। सॉफ़्टवेयर और संस्करण के लिए स्वयं के विज्ञापन के रूप में देखें, यह किस विकल्प का समर्थन करता है, होस्टनाम (यदि कोई हो) का विज्ञापन किया जाता है, यदि सॉफ़्टवेयर के व्यवहार में कोई विचित्रताएं हैं, तो इस तरह की चीजें।
इसके लिए वेब सेवाएं कम से कम उपयोगी हैं, बहुत अधिक उपयोगी हैं एसएमटीपी जैसी चीजें (भेजने में सहायता के कारण मिश्रण और मिलान करना, बहुत सी जानकारी लीक करना), एसएनएमपी (एक सूचना सोने की खान), एसएसएच (जो कई एसएसएच डेमॉन चलाता है)? ) और HTTPS (यदि आप किस्मत से बाहर हैं और वे एक ही सॉफ्टवेयर चला रहे हैं, तो आप SSL कॉन्फ़िगरेशन में अंतर की जांच कर सकते हैं, एक समान लेकिन असामान्य कॉन्फ़िगरेशन एक अच्छा संकेतक है)। NTP एक अच्छा परीक्षण हुआ करता था, लेकिन अब इसे डीओएस एम्पलीफायर के रूप में उपयोग करने के कारण इसे बहुत मुश्किल से बंद किया जा रहा है, SNTP वास्तव में उसी तरह से धूम्रपान बंदूक के लिए पर्याप्त सटीक नहीं है।
लेयर 3 फिंगरप्रिंटिंग। OS को दूरस्थ रूप से फ़िंगरप्रिंट करने का मुख्य तरीका यह TCP / IP कार्यान्वयन में quirks से है। यहां तक जाने के लिए सटीक विवरण बहुत लंबा है, लेकिन अनिवार्य रूप से पैकेट मेटाडेटा बहुत सारी जानकारी लीक करता है, जैसा कि एक बंद या फ़िल्टर किए गए पोर्ट कैसे कनेक्शन के प्रति प्रतिक्रिया करता है और एक मेजबान विकृत पैकेट प्राप्त करते समय कैसे व्यवहार करता है। हालांकि इन विशेषताओं को यह बताने के लिए कोई खास बात नहीं है कि क्या चल रहा है, वे एक विशेष टीसीपी / आईपी स्टैक से बंधे हर आईपी के लिए एक समान होने की गारंटी देते हैं। गौरतलब है कि विभिन्न प्रणालियों में अलग-अलग विशेषताएं होनी चाहिए।
कैविएट 2: दो बॉक्स जो वास्तव में एक ही ओएस और वेंडर पैच चल रहे हैं, समान दिखने की संभावना है। विंडोज पर, एक ही विंडोज संस्करण की दो प्रतियां ऑटो अपडेट चल रही हैं, जब तक कि उनके पास अलग-अलग फायरवॉल नहीं होंगे। लिनक्स पर अंतर मुख्य रूप से ठीक उसी प्रकार से संबंधित होने की संभावना है जो कर्नेल संस्करण और विकल्पों को शिप किया जाता है। यह परीक्षण केवल उच्च संभावना दे सकता है कि दो आईपी एक ही ओएस पर नहीं हैं।
फिर से खेलना। दोनों आईपी पर खुलने वाले बंदरगाहों की सूची के साथ, प्रत्येक आईपी पर समान कार्य करें और व्यवहार में विसंगतियों की तलाश करें। टाइम आउट, एरर मैसेज, रिट्री लिमिट्स आदि जैसी चीजें। कुछ सॉफ्टवेयर आईपी के आधार पर अलग-अलग होने के लिए कठिन या कम अक्सर कॉन्फ़िगर किए गए हैं। यदि आप जानते हैं कि एक आईपी किसी विशेष डोमेन के लिए मेल स्वीकार कर रहा है, तो देखें कि क्या अन्य आईपी भी उस डोमेन के लिए मेल स्वीकार करता है।
कैविएट 3: यह परीक्षण 2 के सेवा फिंगरप्रिंटिंग भाग की तुलना में कम गुणवत्ता वाला डेटा है क्योंकि यह सामान अलग-अलग आईपी पर अलग-अलग कॉन्फ़िगर करना आसान है और इसमें सभी प्रकार के पीछे के दृश्य संभव हैं। झूठे परिणामों की उच्च संभावना उन परिणामों में थोड़ा विश्वास पैदा करती है।
इसलिए जैसा कि मैंने कहा, अंतर्निहित सिद्धांत यह है कि विभिन्न होस्ट संभवतः अलग-अलग कॉन्फ़िगरेशन हो सकते हैं और यह जानकारी लीक करता है।
इसका क्या कारण है, यह बताने में बहुत मुश्किल है कि दो आईपी पर चलने वाली एक ही साइट एक ही सर्वर या दो सर्वर रीडायरेन्सी के लिए कॉन्फ़िगर की गई हो। यह सिस्टम व्यवस्थापक के लिए भी जिम्मेदार नहीं है जो अपने सिस्टम को समान रखने के लिए कॉन्फ़िगर प्रबंधन चला रहे हैं। और न ही यह उन मेजबानों के लिए है जो एक ही आईपी पते पर विभिन्न होस्ट पर चल रही कई सेवाओं को डीएनएटी कर रहे हैं।
वर्चुअलाइजेशन तकनीक कुछ अजीब स्पैनरों को काम में लेती है। डॉकटर जैसी कंटेनरीकृत प्रणालियाँ अलग-अलग कंटेनरों को बनाने के लिए ढेर के समान साझा कर रही हैं जो वास्तव में हो सकता है की तुलना में अधिक समान दिखती हैं। एक भौतिक निक के लिए ब्रिज किए गए वर्चुअल नैक्स को शारीरिक रूप से अलग हार्डवेयर से अलग करना असंभव है, लेकिन मुख्य रूप से इस तथ्य से उपजी नहीं है कि पुल सॉफ्टवेयर है और इस प्रकार पैकेट को मेजबान आईपी स्टैक से गुजरना होगा।
दोहराव के लिए परीक्षण करने की कोशिश कर रहे लोगों को भ्रमित करने के कई तरीके हैं। आप जिस चीज की आशा कर सकते हैं, वह एक ऐसा पैटर्न है जिसमें संदेह की मात्रा कम है।
सर्वर चलाने वाले लोगों के लिए यह नैतिक है, कि आप अपने सर्वर को यथासंभव कम जानकारी लीक करने के लिए कॉन्फ़िगर करें:
जहां तक संभव हो बैनर की जानकारी को बंद कर दें। आपके हमले के बारे में जितना कम हो सके उतना कम हमला आपके लिए बेहतर होगा।
सॉफ़्टवेयर को केवल उस IP पर कनेक्शन स्वीकार करें, जिस पर वह सेवा दे रहा हो और केवल तभी आवश्यक हो। यदि इसे बाहरी रूप से सुलभ होने की आवश्यकता नहीं है, तो इसे केवल लोकलहोस्ट से बांधें। हमले की सतह को कम करना हमेशा अच्छा होता है।
अगर आपको पूरी तरह से कुछ सुनना है, और आप दो आईपी के बीच संबंध से बचना चाहते हैं, तो असामान्य विकल्पों को न्यूनतम रखने की कोशिश करें। आप चाहते हैं कि इसमें मिश्रण हो।
डिफ़ॉल्ट ड्रॉप नीति के साथ फ़ायरवॉल चलाएं। मुझे लगता है कि एक आईडीएस सेटअप में मूल्य हो सकता है जो यादृच्छिक प्रतिक्रियाओं के साथ हमलावरों के प्रति प्रतिक्रिया करता है, शोर एक हमलावर के लिए अपने परिणामों पर भरोसा करना कठिन बना देगा, लेकिन इसके परिणामस्वरूप आपको बाहर खड़ा करना पड़ता है।
समय पर हमलों को रोकने के लिए यादृच्छिक विलंब मॉड्यूल बेकार हैं। सच में नहीं। एक यादृच्छिक संख्या चुनें फिर एक डाई को कई बार रोल करें, परिणाम को लिखें और उस संख्या को जो आपने शुरुआत में चुना था। आप जो समाप्त करते हैं वह एक निश्चित ऑफसेट के साथ एक सीमा है। यदि यादृच्छिक संख्या को प्रतिस्थापित किया जाता है तो रेंज चलती है। यदि सीमा बदली जाती है तो ऑफसेट समान रहता है और नई आधार रेखा प्राप्त करने के लिए नमूना प्रक्रिया को दोहराने की बात होती है।
आईपी स्टैक नॉर्मलाइज़र मौजूद हैं, लेकिन पिछली बार जब मैंने देखा तो सुरक्षा अनुसंधान का एक उपेक्षित हिस्सा था। यह एक सुरक्षा विक्रेता के लिए निवेश करने के लिए एक अच्छा बाजार होगा।