Запросить MX
Выполните команду и найдите обе MX-записи в ответе.
Практическая лаборатория
Выполняйте команды, разбирайте ответы и проверяйте свои выводы.
Выполняйте команды в браузере, разбирайте ответ и объясняйте, что удалось установить.
Домены, DNS, HTTP и сетевые сервисы. Учебные данные позволяют практиковаться без установки программ.
Кейсы
Методика · реальный объектgoogle.com: проверка доменной записи через RDAPВоспроизводимый разбор текущей регистрационной записи: от запроса к полям, которые можно цитировать в отчёте.Открыть кейс
Задача проверки
Получить регистрационные данные из авторитетного RDAP-сервиса, сохранить исходный JSON и отделить наблюдаемые поля от предположений о владельце.
Команда 01Запрос и сохранение ответа
macOS · Linuxcurl -sS "https://rdap.verisign.com/com/v1/domain/google.com" \
+ -o google.com-rdap.jsonКоманда 02Извлечение полей
Требуется jqjq '{handle, ldhName, status, events, nameservers: [.nameservers[].ldhName]}' \
+ google.com-rdap.jsonКоманда 03Контроль целостности
macOSshasum -a 256 google.com-rdap.jsonЧто фиксируем
- handle
- Идентификатор записи реестра
- events
- События и даты, указанные в ответе
- status
- Статусы домена
- nameservers
- Серверы имён из текущей записи
Граница вывода
RDAP подтверждает состояние регистрационной записи в момент запроса. Он не доказывает, кто фактически управляет сайтом, и не восстанавливает исторические значения без отдельного источника.
Официальные источники
Разбор · официальные материалыGenesis Market: как проверить масштаб операцииРазбираем, какие утверждения подтверждает пресс-релиз Минюста США от 5 апреля 2023 года и где заканчивается его доказательная сила.Открыть кейс
Задача проверки
Зафиксировать официальный материал, проверить заявленные дату, характер операции и масштаб, затем сформулировать вывод без переноса обвинений на неустановленных лиц.
Команда 01Сохранение первоисточника
macOS · Linuxcurl -L --fail --silent --show-error \
+ "https://www.justice.gov/archives/opa/pr/criminal-marketplace-disrupted-international-cyber-operation" \
+ -o genesis-market-doj.htmlКоманда 02Фиксация контрольной суммы
macOSshasum -a 256 genesis-market-doj.htmlКоманда 03Поиск ключевых упоминаний
macOS · Linuxgrep -Eio "Genesis Market|April 5, 2023|1\.5M|international operation" \
+ genesis-market-doj.html | sort -uЧто фиксируем
- Дата
- 5 апреля 2023 года
- Заявленный масштаб
- Данные более чем с 1,5 млн заражённых компьютеров
- Действие
- Международная операция и изъятие доменов
- Статус источника
- Официальное сообщение обвиняющей стороны
Граница вывода
Допустимый вывод: DOJ сообщил о международной операции против Genesis Market и описал заявленный масштаб площадки. Пресс-релиз сам по себе не заменяет судебные материалы и не подтверждает виновность каждого пользователя рынка.
Официальные источники
Разбор · кибератрибуцияSolarWinds: факт компрометации и пределы атрибуцииСопоставляем раннее предупреждение CISA и совместное заявление об атрибуции, не смешивая техническое наблюдение с выводом государства.Открыть кейс
Задача проверки
Сохранить официальные публикации, разделить подтверждённую эксплуатацию продукта, рекомендации защитникам и последующую публичную атрибуцию.
Команда 01Сохранение предупреждения CISA
macOS · Linuxcurl -L --fail --silent --show-error \
+ "https://www.cisa.gov/news-events/alerts/2020/12/13/active-exploitation-solarwinds-software" \
+ -o cisa-solarwinds-alert.htmlКоманда 02Сохранение заявления об атрибуции
macOS · Linuxcurl -L --fail --silent --show-error \
+ "https://www.cisa.gov/news-events/alerts/2021/04/15/nsa-cisa-fbi-joint-advisory-russian-svr-targeting-us-and-allied" \
+ -o cisa-svr-advisory.htmlКоманда 03Хеши сохранённых файлов
macOSshasum -a 256 cisa-solarwinds-alert.html cisa-svr-advisory.htmlЧто фиксируем
- 13.12.2020
- CISA сообщила об активной эксплуатации SolarWinds Orion
- Технический уровень
- Наблюдение о компрометации и защитные действия
- 15.04.2021
- Совместная публикация связала кампанию с российской СВР
- Аналитическое правило
- Атрибуцию цитируем с указанием автора оценки
Граница вывода
Корректная запись разделяет два слоя: CISA наблюдала активную эксплуатацию SolarWinds Orion; позднее власти США публично атрибутировали кампанию российской СВР. Самостоятельно выполненные здесь команды сохраняют источники, но не воспроизводят разведывательную базу атрибуции.
Официальные источники
Домены и DNSПочтовая инфраструктура: приоритет MXНайдите MX-сервер с наименьшим числом приоритета. Не принимайте MX за адрес веб-сайта.Открыть кейс
Задача
Найдите MX-сервер с наименьшим числом приоритета. Не принимайте MX за адрес веб-сайта.
Ход исследования
Четыре шага и проверка результата.
Прочитать приоритет
Сравните числа перед именами серверов. Меньшее число предпочтительнее.
Проверить поля
Отделите имя зоны, TTL, тип записи и имя почтового сервера. TTL — срок кэширования.
Зафиксировать вывод
Укажите предпочтительный сервер в проверке ниже. Не делайте вывод о владельце по одному MX.
Учебная команда
dig training.test MXГраница вывода
MX описывает маршрутизацию почты. Он не подтверждает владельца домена или доступность сервера.
Документация
HTTPЦепочка HTTP-перенаправленийПроследите два перехода и укажите значение второго заголовка Location.Открыть кейс
Задача
Проследите два перехода и укажите значение второго заголовка Location.
Ход исследования
Четыре шага и проверка результата.
Получить цепочку
Выполните запрос с -I -L. Каждая строка HTTP начинает отдельный ответ.
Разделить ответы
Сопоставьте 301 и 302 с их собственными заголовками Location.
Разрешить относительный путь
Второй Location — относительный путь. Он разрешается относительно URL текущего запроса.
Проверить границы
Введите второе значение Location ниже. Код 200 описывает ответ, а не достоверность содержимого.
Учебная команда
curl -I -L https://portal.training.testГраница вывода
Заголовок Location указывает направление перехода. Успешный конечный статус не подтверждает легитимность ресурса.
Документация
Порты и сервисыUDP: открытый порт или фильтрация?Определите состояние 53/udp и сохраните неопределённость результата.Открыть кейс
Задача
Определите состояние 53/udp и сохраните неопределённость результата.
Ход исследования
Четыре шага и проверка результата.
Выбрать проверку
Выполните учебную UDP-проверку только порта 53. Сетевое сканирование не выполняется.
Найти строку порта
В строке 53/udp отделите номер порта, протокол, состояние и название сервиса.
Сохранить неопределённость
Не сокращайте open|filtered до open. Отсутствие ответа допускает несколько объяснений.
Сформулировать наблюдение
Введите точное состояние ниже. Для уверенного вывода понадобятся дополнительные разрешённые проверки.
Учебная команда
nmap -sU -p 53 training.testГраница вывода
open|filtered не позволяет выбрать между открытым портом и фильтрацией. Имя domain само по себе не доказывает наличие DNS-сервиса.