Um endereço IP é um forte ponto de pivotagem: liga infraestrutura, revela um provedor de hospedagem e pode conectar domínios e campanhas aparentemente sem relação. Este método lê um IP da propriedade até a reputação sem jamais tocar no host.
O que você vai precisar
- O endereço IP alvo (IPv4 ou IPv6)
- Ferramentas de domínio e infraestrutura da categoria Nomes de domínio e nomes de usuário
- Fontes de reputação e ameaças da categoria Inteligência de ameaças
Passos
- Descubra quem é dono da faixa. Consulte o WHOIS do IP e seu sistema autônomo (ASN). Isso indica o operador da rede — um provedor de nuvem, um provedor de internet ou a faixa própria de uma organização —, o que enquadra tudo o que vem depois.
- Localize-o com cautela. Bases de geolocalização situam um IP por região, mas mapeiam a rede, não a pessoa que a usa; uma VPN, um proxy ou um data center vão enganar você. Trate resultados em nível de cidade como hipótese, não como fato.
- Faça uma consulta de DNS reverso. O registro PTR e o nome de host muitas vezes revelam o provedor, o serviço ou um padrão de nomes sobre o qual pivotar.
- Encontre os domínios que ele hospeda. Use serviços de DNS passivo e IP reverso para listar domínios que resolvem (ou já resolveram) para o endereço. Hospedagem compartilhada mostrará muitos sites sem relação; um host dedicado estreita o vínculo entre eles.
- Verifique a reputação. Consulte fontes de inteligência de ameaças e listas de bloqueio para ver se o IP está associado a malware, spam, varredura ou phishing, e anote as datas — reputação só faz sentido dentro de uma janela de tempo.
- Pivote sobre o que encontrou. Realimente sua investigação com a organização proprietária, os domínios co-hospedados e os certificados para expandir o mapa de infraestrutura.
Erros comuns
- Tomar geolocalização por identidade. Um IP localiza um ponto final de rede, não uma pessoa; endereços de data center e VPN apontam rotineiramente para o lugar errado.
- Ignorar o relógio. Dados de IP para domínio e de reputação mudam constantemente; um achado sem data é quase inútil.
- Sondar o host diretamente. A varredura ativa pode ser ilegal e alerta o alvo — fique nas fontes passivas e abertas.
Verifique seu resultado
Você investigou o endereço quando consegue declarar a rede proprietária e o ASN, uma hipótese de localização delimitada no tempo, os domínios a ele credivelmente ligados e sua reputação atual — cada item ligado a uma fonte datada. "Nenhuma reputação adversa encontrada" é, em si, um resultado válido e documentado.