Teorik olarak çoğu durumda anlamlı bir güven düzeyi verebilirsiniz. Pratikte daha da zorlaştıran birkaç uyarı var.
Diğer cevaplarla örtüşmeye başlayacağım ve muhtemelen bazı şeyleri kaçırdım, ancak bu en azından bu belirli bitlerin neden önemli olup olmadığına dair ayrıntılı bir neden.
İlk önce, MAC adresleriyle ilgili düşünceleri unut. Ağ segmentine doğrudan erişiminiz yoksa, onları göremezsiniz.
Ayrıca port taramalarına güvenmeyin. Yalnızca belirli IP'ler için güvenlik duvarı bağlantı noktalarının önemsiz olması, yalnızca belirli IP'lerde yazılım dinlemesinin veya bir tarama algılandığında filtreleme uygulayan bir IDS / IPS sistemine sahip olması çok önemlidir. Bütün bunlar senin testini mahvedecek.
Tamam, öyleyse söyleyebildiğiniz yol basit: iki kutunun tamamen aynı olma olasılığı, aksi halde ilgili olmadıkça düşüktür. Yani gerçekte yaptığınız şey, farklı olduklarını kanıtlamaya çalışmak, aynı olduklarını kanıtlamaya çalışmak değil.
Ping. Hem aynı anda hem de çok fazla test yapmanız gerekiyor. Şebeke zamanlarında titreme olsa da, oldukça yüksek kaliteli sözde rastgele gürültü olduğu ortaya çıkıyor, eğer küçük bir zaman dilimi içinde yeterli numuneye sahipseniz, gürültünün size doğru bir karşılaştırma yapması için yeterli olduğu ortaya çıkıyor.
Bir ağdaki her katman 2 sekmesi küçük bir miktar gecikme süresi ekler, farklı tıkanıklık seviyeleri farklı gecikme değerleri verir. İki IP, önemli ölçüde farklı eşzamanlı gecikme gösteriyorsa, muhtemelen aynı kutu olmadığını varsayabilirsiniz.
Uyarı 1: İki yukarı bağlantılı (bağlı değil) ve her yukarı bağlantıda farklı bir IP ile yapılandırılmış tek bir sunucu, bunu atmak için yeterli yukarı bağlantı dengesizliğine sahip olabilir.
Port taraması. Hedef portlar üç durumdan birinde olabilir: dinleme, kapalı, filtrelenmiş. İçinde bulundukları, aslında yukarıda belirtildiği gibi pek kullanılmaz, ancak hala sahip olunması gereken yararlı bilgiler vardır.
Birden fazla IP'de bağlantı noktaları açık olan kutular büyük olasılıkla tüm IP'lerde aynı yazılımı kullanıyor olacaktır. Bir IP’de nginx ve diğerinde apache çalıştırmak mümkündür, ancak çoğu insan rahatsız etmez. Benzerlikleri aramak için çalışan hizmetleri parmak izi ile alın. Hangi yazılımın ve sürümün kendisini tanıttığını, hangi seçenekleri desteklediğini, hangi ana bilgisayar adının (varsa) reklamını, yazılımın davranışında tuhaflıklar olup olmadığını, bunun gibi şeyleri arayın.
Web servisleri bunun için en az kullanışlı, çok daha faydalı, SMTP (sendmail desteği nedeniyle karıştırılması ve eşleştirilmesi zor, çok fazla bilgi sızdırıyor), SNMP (bir bilgi altını madeni madeni), SSH (birden fazla SSH kimliği çalışıyor? ) ve HTTPS (şansınız yaver giderse ve aynı yazılımı kullanıyorsanız, SSL yapılandırmasındaki farklılıkları kontrol edebilirsiniz, aynı ancak sıradışı bir yapılandırma iyi bir göstergedir). NTP eskiden iyi bir testti ancak DoS amplifikatörü olarak kullanımının yoğun olmasından dolayı şu anda zor durumda kalıyordu, SNTP de aynı şekilde bir tüfek için yeterince doğru değil.
Katman 3 parmak izi. Bir işletim sistemini uzaktan parmak izlemenin ana yolu, TCP / IP uygulamasındaki tuhaflıklardandır. Kesin detaylar buraya gelmek için çok uzun ama esasen paket meta verisi, kapalı veya filtrelenmiş bir portun bir bağlantıya nasıl cevap verdiğini ve bir hostun hatalı biçimlendirilmiş paketleri alırken nasıl davrandığını açıkladığı gibi çok fazla bilgi sızdırıyor. Bu özellikler neyin çalıştığını söylemek için kesin bir şey olmamakla birlikte, belirli bir TCP / IP yığına bağlı her IP için aynı değere yakın olmaları garanti edilir. Önemli ölçüde farklı sistemler, önemli ölçüde farklı özelliklere sahip olmalıdır.
Uyarı 2: Aynı işletim sistemini kullanan iki kutu ve satıcı yamaları aynı görünecek gibi görünüyor. Windows'ta, otomatik güncellemeleri çalıştıran aynı Windows sürümünün iki kopyası, çalışan farklı güvenlik duvarları olmadığı sürece ayırt edilemez olacak. Linux'ta farklılıkların temelde tam olarak hangi çekirdek sürüm ve seçeneklerin gönderildiği ile ilgili olması muhtemeldir. Bu test sadece iki IP'nin aynı işletim sistemi üzerinde olmaması olasılığını yüksek verebilir.
Replay atakları. Her iki IP'de de açılan bağlantı noktaları listesi ile her IP'de aynı işlemleri yapın ve davranışlarda tutarsızlıklar arayın. Zaman aşımları, hata mesajları, yeniden deneme sınırları vb. Gibi şeyler. Bir IP’nin belirli bir etki alanı için posta kabul ettiğini biliyorsanız, diğer IP’nin de bu etki alanı için posta kabul edip etmediğini kontrol edin.
Uyarı 3: Bu, test 2'nin servis parmak izi kısmından daha düşük kaliteli veridir, çünkü bu, farklı IP'lerde farklı şekilde yapılandırılması daha kolaydır ve her türlü perde arkası etkileşimi ardında olasıdır. Yanlış sonuçların yüksek olması bu sonuçlara çok az güven duyulmasına neden olur.
Dediğim gibi, temel teori, farklı konakların muhtemelen farklı yapılandırmalar olacağı ve bilgi sızdıran olmasıdır.
Bunun hesaba katmadığı şey, iki IP üzerinde çalışan aynı sitenin aynı yedekleme veya artıklık için yapılandırılmış iki sunucu olup olmadığını söylemenin çok zor olduğudur. Ayrıca, sistemlerini çok benzer tutmak için yapılandırma yönetimi çalıştıran sistem yöneticilerini de hesaba katmaz. Tek bir IP adresine farklı ana bilgisayarlarda çalışan birden fazla hizmeti DNAT yapan ana bilgisayarları da hesaba katmaz.
Sanallaştırma teknolojisi çalışmalarında bazı tuhaf anahtarlar atar. Docker gibi kapsayıcı sistemler, ayrı kapların gerçekte olabileceğinden daha benzer görünmesini sağlamak için yığının yeterince paylaşıyor. Fiziksel bir bağa köprülenmiş sanal nics, fiziksel olarak ayrı donanımlardan ayırt etmek imkansız olmalı, ancak temelde köprünün yazılım olduğu ve dolayısıyla paketlerin ana IP yığından geçmesi gerekmediğinden kaynaklanmamalıdır.
Tekrarlanabilirlik için test etmeye çalışan insanları şaşırtmanın birçok yolu vardır. Umut edebileceğiniz en iyi şey, düşük bir şüphe marjı olan bir kalıptır.
Bunun ahlakı, sunucu çalıştıran insanlar için, sunucularınızı olabildiğince az bilgi sızdırması için yapılandırmanız gerektiğidir:
Afiş bilgisini mümkün olduğunca kısın. Saldırı, konfigürasyonunuz hakkında ne kadar az şey bilirse, sizin için o kadar iyi olur.
Yazılımın yalnızca üzerinde olması gereken ve yalnızca gerektiğinde IP üzerindeki bağlantıları kabul etmesini sağlayın. Dışarıdan erişilebilir olması gerekmiyorsa, yalnızca yerel ana bilgisayara bağlanmasını sağlayın. Saldırı yüzeyini azaltmak her zaman iyidir.
Eğer kesinlikle dinleyen bir şeyiniz olmalı ve iki IP arasındaki korelasyondan kaçınmak istiyorsanız, alışılmadık seçenekleri minimumda tutmaya çalışın. Karışmasını istiyorsun.
Varsayılan bırakma ilkesiyle çalışan bir güvenlik duvarına sahip olun. IDS kurulumunda rastgele yanıt veren saldırganlara cevap veren bir değer olabileceğini düşünüyorum, gürültü bir saldırganın sonuçlarına güvenmesini zorlaştıracak, ancak sizi öne çıkaracak.
Rasgele gecikme modülleri zamanlama saldırılarını önlemek için değersizdir. Hayır, gerçekten. Rastgele bir sayı seçin, ardından birkaç kez bir ölüme geçin, sonucu ve başlangıçta seçtiğiniz sayıyı yazın. Sonunda sabit bir sapma ile bir dizi. Rasgele sayı değiştirilirse, aralık hareket eder. Aralık değiştirilirse ofset aynı kalır ve bu sadece yeni bir başlangıç elde etmek için örnekleme işlemini tekrarlamaktan ibarettir.
IP yığın normalleştiricileri var, ancak son baktığımda güvenlik araştırmasının ihmal edilmiş bir kısmı vardı. Bir güvenlik satıcısı için yatırım yapmak muhtemelen iyi bir pazar olacaktır.